레저 하드웨어 지갑 변조 사건이 유럽으로 번졌을 가능성이 제기된 가운데, XRP 레저에서도 이론상 18조 개가 넘는 XRP를 생성할 수 있었던 코드 취약점이 공개됐다. 두 사안 모두 하드웨어 공급망과 블록체인 기반 소프트웨어의 보안 문제를 드러냈다. 다만 문제가 광범위하게 확산됐거나 실제 악용됐다는 증거는 현재까지 확인되지 않았다.
유럽 매장에서 구입한 레저 기기서 변조 의심 흔적
X 이용자 요하네스는 2주 전 유럽 전자제품 유통업체 미디어마크트(MediaMarkt)에서 구입한 레저 기기 안에서 의심스러운 부품을 발견했다며 사진을 공개했다. 사진 속 장치는 아시아 크립토빌리스(CryptoBilis) 판매 제품에서 발견된 것과 유사한 초기형 변조 장치로 보인다. 유럽에서 발견된 기기와 관련해 자금이 도난당했다는 증거는 없다.
요하네스는 기기가 정상적으로 작동하지 않는 것일 수도 있고, 공격자가 변조된 제품이 더 유통될 때까지 기다리는 상황일 수도 있다고 말했다. 아시아 레저 기기 사건을 조사한 마크 카펠레스 전 마운트곡스 최고경영자(CEO)는 해당 기기 안테나 표기를 근거로 ‘유라시아 버전’일 가능성을 언급했다. 공격자가 이동통신 주파수 대역이 다른 지역에 맞춰 변조 장치를 여러 종류로 준비했을 수 있다는 설명이다. 레저는 유럽에서 발견된 제품이 기존 사건과 연관됐는지 확인하지 않았다.
앞서 아시아에서는 레저 공식 인증 판매업체인 크립토빌리스에서 판매된 일부 기기가 변조된 것으로 드러났다. 이 판매업체는 최근 소유주가 바뀌었다. 변조 방식에 따라 공격자가 지갑 복구 문구를 읽고 자금을 옮길 수 있는 것으로 알려졌으며, 기기는 진품 인증을 통과할 수 있어 통상적인 인증만으로 이상 여부를 확인하기 어려울 수 있다.
레저는 크립토빌리스에 판매와 배송 중단을 요청하고, 최근 90일 안에 해당 업체에서 기기를 구입한 고객에게 새 레저 기기로 자산을 옮기는 방안을 고려하라고 안내했다. 회사는 최신 공지에서 영향을 받은 기기의 수가 제한적이라고 밝혔다. 사이버 보안업체 와이팜엑스(Yfarmx)는 피해가 471개 주소에 걸쳐 약 9,340만 달러에 이른다고 추산했지만, 레저는 이 금액을 확인하지 않았다.
크립토빌리스는 인도네시아, 말레이시아, 필리핀에서 레저 공식 판매업체로 등록돼 있다. 유럽 기기가 아시아 사건과 관련된 것으로 확인되면 조사는 한 지역의 유통 경로를 넘어 제품의 재판매와 시장별 기기 버전 등 공급망 전반으로 확대될 수 있다.
XRP 레저 취약점, 이론상 18조 개 이상 생성 가능
보안업체 베리아 랩스(Veria Labs)는 XRP 코드에서 정수 오버플로 취약점을 찾아 25만 달러의 버그 바운티를 받았다. 취약점은 2015년부터 XRP 레저 관련 코드에 존재했으며 현재는 수정됐다. 이를 실제로 악용한 흔적은 확인되지 않았다.
베리아 랩스 공동창업자 케이든 리아오는 인공지능 에이전트가 XRP 레저 소프트웨어인 리플드(rippled)를 점검하는 과정에서 심각도가 상대적으로 낮은 취약점 두 가지를 발견했다고 밝혔다. 각각의 영향은 제한적이었지만, 연구진은 두 문제를 결합해 더 큰 규모의 공격이 가능한 방식을 설계했다.
리아오에 따르면 공격 거래 하나로 이론상 18조 개가 넘는 XRP를 생성할 수 있었다. 이는 현재 총공급량의 184배에 해당한다. XRP의 시가총액이 약 940억 달러라는 점을 감안하면, 취약점이 악용됐을 경우 네트워크 전체의 자산 가치에 영향을 줄 수 있었다는 게 그의 설명이다. 다만 이론상 가능한 규모가 실제로 같은 양의 토큰이 발행되거나 자금 손실이 발생했다는 뜻은 아니다.
베리아 랩스는 9월 22일 관련 팀에 취약점을 알렸고, 리플엑스(RippleX)는 사흘 뒤 수정 작업을 마쳤다. 리아오는 개별적으로는 심각도가 낮은 문제들이 결합될 수 있다는 점이 취약점이 오랫동안 발견되지 않은 이유 중 하나일 수 있다고 말했다. 현재 악용 정황은 확인되지 않아 코드상 잠재적 영향과 실제 온체인 사건을 구분할 필요가 있다.
부테린, AI가 암호기술에 미칠 영향 평가 촉구
이더리움 공동창업자 비탈릭 부테린은 연구자 저스틴 드레이크가 제기한 ‘벙커 모드’ 경고에 지지를 표했다. 드레이크는 수학 연구에서 인공지능의 발전이 이어지면 양자컴퓨터가 기존 암호 체계를 위협하기 전에 현재 블록체인이 사용하는 암호기술에도 부담이 될 수 있다고 우려했다.
부테린은 이용자들이 서둘러 자산을 새 지갑으로 옮길 필요는 없지만, AI가 수학 연구를 가속하면서 생길 수 있는 암호학적 위험을 업계가 진지하게 다뤄야 한다고 말했다. 드레이크는 AI 에이전트가 타원곡선 암호나 격자 기반 암호에서 새로운 수학적 구조를 발견할 가능성에 대비해야 한다고 제안했다.
오픈AI는 최근 과거에 해결되지 않았던 수학 연구 성과 수백 건을 공개했다. 다만 해당 성과는 현재 암호학과 관련이 없으며, AI 에이전트가 기존 블록체인 암호를 해독할 수준에 근접했다는 증거도 없다. 일부 프로젝트와 분석가들은 관련 경고가 단기 위험을 과장할 수 있다고 본다. 반면 지지자들은 복잡한 수학 문제를 푸는 AI의 발전 속도를 고려하면, 현재까지 공격 사례가 없다는 이유만으로 장기 보안 평가를 미뤄서는 안 된다고 주장한다.
삼성 월렛, 미국서 USDC 송금 기능 출시 예정
삼성은 10월 마지막 주부터 미국 내 자격 요건을 충족하는 갤럭시 이용자에게 삼성 월렛의 USDC 송금 기능을 제공할 계획이다. 약 8,200만 명이 대상이 될 것으로 예상된다. 이용자는 해외의 호환 가능한 암호화폐 지갑으로 USDC를 보내거나, 자격 요건을 갖춘 은행 계좌로 자금을 옮길 수 있다. 서비스는 60개국 이상에서 지원되며, 수취인은 현지 통화로 돈을 받을 수 있다.
기능을 이용하려면 본인 인증을 마쳐야 한다. 스테이블코인 계정과 결제 인프라는 배스천(Bastion)이 제공하고, 코인베이스는 코인베이스 프라임 볼트(Coinbase Prime Vault)를 통해 2차 수탁을 맡는다. 솔라나와 수이는 기술 파트너로 이름을 올렸다. 스테이블코인 송금이 기존 모바일 결제 서비스에 들어오지만, 실제 이용 가능 국가와 은행 경로, 계정 자격은 서비스 출시 시점의 지역별 규정에 따라 달라진다.
이번 주 주요 암호화폐 등락
주말 기준 비트코인은 2.8% 하락한 8만3,435달러, 이더리움은 6.5% 내린 2,562달러, XRP는 7% 하락한 1.40달러에 거래됐다. 전체 암호화폐 시가총액은 약 2조8,200억 달러였다.
시가총액 상위 100개 종목 가운데 이번 주 상승률이 가장 높았던 알트코인은 스타크넷(StarkNet)으로 91% 올랐다. 바이낸스 라이프(Binance Life)는 25.4%, 셀레스티아(Celestia)는 20.8% 상승했다. 스타크넷은 양자내성 레이어1으로 전환하겠다고 발표한 뒤 상승세를 보였다.
하락률 상위 종목은 베니스 토큰(Venice Token)이 18.5%, 스카이(Sky)가 16.2%, 유니스왑(Uniswap)이 15.4% 각각 내렸다.
톰 리, 이번 상승 사이클서 이더리움 2만5천~5만 달러 가능성 언급
비트마인(Bitmine) 회장 톰 리는 금요일 토큰2049 행사에서 이더리움 가격이 연말 전에 5,000달러를 넘어설 수 있다고 말했다. 그는 이번 사이클이 끝나기 전에는 이더리움 한 개당 2만5,000~5만 달러에 ‘쉽게’ 도달할 수 있다고도 주장했다. 이는 리 개인의 시장 전망이며 확정된 결과를 의미하지 않는다.
리는 비트마인이 이더리움 총공급량의 5%를 보유한다는 목표에 가까워지고 있다고 밝혔다. 회사는 현재 약 600만 ETH를 보유하고 있으며, 목표 달성까지 약 10만 ETH가 남았다. 그는 공급량의 5%를 보유 상한으로 삼고 있으며, 비트마인이 그 이상으로 보유량을 늘리지는 않을 것이라고 말했다.
콜드카드 공식 X 계정에 피싱 링크 게시
비트코인 전용 하드웨어 지갑 업체 콜드카드(Coldcard)는 일요일 공식 X 계정에 권한 없는 피싱 링크가 게시됐다고 밝혔다. 회사는 오프라인 이중 인증을 사용했는데도 해당 게시물이 공식 계정에 올라왔다고 설명했다. 게시물은 이후 삭제됐으며, 콜드카드는 공식 웹사이트가 coldcard.com이라고 안내했다.
디파이라마(DefiLlama)의 해킹 추적 자료는 7월 콜드카드 공격과 관련한 손실을 1억1,500만 달러로 추산했다. 이번 피싱 링크가 게시된 구체적인 원인과 게시물로 인해 이용자 자금 피해가 발생했는지는 아직 공개되지 않았다.
토르체인, USDT 145만 개 한때 동결됐다가 해제
토르체인(THORChain) 기술 공동창업자 채드 바라포드는 스테이블코인 발행사 테더가 설명 없이 네트워크의 USDT 금고 주소를 블랙리스트에 올렸다가 몇 시간 뒤 제한을 해제했다고 주장했다.
바라포드는 금요일 네 개 지갑에 분산된 토르체인 자금 약 145만 USDT가 동결됐다고 말했다. 약 두 시간 뒤에는 테더가 관련 주소를 모두 해제해 거래가 재개될 것이라고 밝혔다. 테더가 동결 이유를 공개할지, 이번 조치가 더 광범위한 규정 준수 또는 위험 심사와 관련됐는지는 확인되지 않았다.
뉴욕주, 셀시우스 창업자 매신스키 업계 진입 영구 금지
뉴욕주 검찰총장 레티샤 제임스와 셀시우스(Celsius) 전 CEO 알렉스 매신스키가 합의에 도달했다. 합의에 따라 매신스키는 암호화폐·증권·상품 업계에 영구적으로 진입할 수 없으며, 조건에 따라 최대 3,500만 달러를 지급할 수 있다.
뉴욕주가 금요일 공개한 합의는 2023년 제기된 민사소송과 관련돼 있다. 소송은 셀시우스가 2022년 파산하기 전 매신스키가 플랫폼의 안전성에 대해 수십만 명의 투자자를 오도했다고 주장했다. 매신스키는 현재 복역 중이며, 연방법원은 사기 혐의로 징역 12년을 선고하고 별도로 4,800만 달러가 넘는 금액의 몰수를 명령했다.
프랑스서 7개월간 암호자산 관련 폭력 사건 90건
프랑스 사법당국은 7개월 동안 암호자산과 관련된 납치, 갈취, 협박, 강도 사건 90건을 기록했다. 사건이 잇따르면서 암호자산 보유자의 신변 안전 문제가 부각됐다. 위험은 계정과 지갑 보안을 넘어 오프라인에서 자산을 보관하는 문제로도 이어지고 있다.
한편 암호화폐 대출 활동은 7월 이후 55% 증가했다. 업계는 AI를 활용한 공격과 서로 연결된 여러 프로토콜의 문제가 연쇄적인 영향을 낳을 가능성에 직면해 있다. 거래소와 대출 프로토콜, 개인 이용자의 자금 운용은 각자의 보안 조치와 수탁 구조, 유동성 관리에 따라 달라진다.
리얼비전(Real Vision) 창업자 라울 팔은 AI 관련 주식 상승세가 주춤하고 달러가 약세를 보이면 일부 자금이 암호자산으로 다시 유입될 수 있다고 말했다. AI 에이전트가 이더리움과 솔라나 사용을 늘릴 가능성도 언급했다. 다만 이는 시장에 대한 그의 판단이며, 이번 주 비트코인과 이더리움, XRP가 모두 하락한 시장 상황과는 구분할 필요가 있다.