Blink Wallet에서 최근 보안 사고가 발생해 플랫폼이 자산을 대신 보관하던 수십 개 계정의 자금이 공격자에게 이체됐다. 정확한 피해 금액과 공격 시점, 공격에 사용된 기술적 경로는 아직 모두 공개되지 않았다.
이번 사건은 플랫폼이 이용자를 대신해 자산을 관리하는 커스터디 계정에서 발생했다. 커스터디 방식에서는 일반적으로 플랫폼이 계정 키 또는 자산 관리 업무를 맡고, 이용자는 플랫폼 시스템을 통해 입금·이체·출금을 진행한다. 따라서 플랫폼 계정 권한이나 내부 시스템, 연계 서비스가 침해되면 피해 범위는 개별 이용자 한 명에 그치지 않고 공격받은 구성요소의 권한 범위에 따라 달라질 수 있다.
영향받은 계정은 ‘수십 개’ 수준
현재까지 확인된 내용에 따르면 피해 대상은 Blink Wallet의 ‘수십 개 미만의 소수’ 커스터디 계정이며, 해당 계정에 있던 자금은 이미 이동됐다. 공개된 정보에는 정확한 계정 수와 이체된 자산의 종류, 블록체인상 거래 금액, 최종 이동 경로가 포함되지 않았다.
계정 수가 수십 개라는 사실만으로 플랫폼 전체 이용자가 영향을 받았다고 보기는 어렵다. 실제 범위는 Blink Wallet의 기술 조사와 온체인 주소 추적, 피해 계정 대조 결과를 함께 확인해야 판단할 수 있다. 계정별 잔액이 크게 다를 수 있기 때문에 현재로서는 계정 수만으로 전체 재무 손실 규모를 추정하기도 어렵다.
피해 금액과 공격 경로는 미공개
현재 핵심적으로 확인되지 않은 사항은 공격자가 어떻게 계정 접근 권한을 확보했는지, 이체된 자산이 특정 블록체인에 집중됐는지, 플랫폼이 관련 기능을 일시 중단했는지, 피해 이용자에 대한 보상 가능성이 있는지 등이다. 이 내용은 자산 회수 가능성과 플랫폼의 후속 조치에 대한 이용자 판단에 직접 영향을 미친다.
공개 자료만으로는 이번 사고가 스마트컨트랙트 취약점, 인증 절차의 실패, 내부 권한 오용, 제3자 서비스 침해 가운데 어디에서 비롯됐는지 확인할 수 없다. 조사 결과가 발표되기 전까지 특정 기술 원인으로 단정해서는 안 된다. 블록체인 거래 기록은 자금 흐름을 추적하는 데 도움이 될 수 있지만, 온체인에서 확인된다는 사실만으로 자금 회수가 보장되는 것은 아니다.
커스터디 지갑의 권한 관리와 대응 주목
Blink Wallet 사건은 커스터디 지갑의 자산 분리, 권한 관리, 보안 대응 체계에 다시 관심을 집중시키고 있다. 비수탁형 지갑은 이용자가 직접 개인키를 보관해 플랫폼이 자산을 직접 통제하기 어렵다. 반면 커스터디 지갑은 플랫폼이 계정 시스템과 키 관리 절차, 거래 승인 체계를 지속적으로 운영해야 한다. 두 방식은 편의성이 다른 만큼 위험이 발생하는 지점도 다르다.
피해 이용자들이 우선 확인해야 할 내용은 자신의 계정이 조사 대상에 포함됐는지, 관련 자산이 동결 또는 추적되고 있는지, 출금·이체·계정 접근 기능에 일시적인 제한이 적용됐는지다. 플랫폼은 피해 계정을 식별한 기준과 사고 발생 시점별 경과, 향후 보상 또는 서비스 복구 계획도 설명해야 한다.
이번 사건은 2026년 9월 발생했으며, Blink Wallet은 기술 조사와 자금 확인 결과를 추가로 공개해야 한다. 정확한 피해 금액과 공격 경로, 이용자 조치 방안이 확정되기 전까지 확인된 사실은 공격자가 약 수십 개 커스터디 계정에서 자금을 이체했다는 점과 전체 피해 범위가 아직 확정되지 않았다는 점이다.