Qubic 체인 재가동, 피해자들은 130만 달러 QU 반환 요구

1,404개 지갑에서 자금이 유출된 후 Qubic, 운영 재개

큐빅은 10월 18일 발생한 보안 사고로 2시간도 채 되지 않아 약 2.94조 QU 토큰이 도난당한 후 블록체인을 재개했습니다. ‘컴퓨터(Computors)’로 알려진 네트워크 검증자들은 추가 손실을 막기 위해 85,371,949틱에서 거래를 중단했습니다.

10월 19일 저녁, 블록체인은 다시 거래 처리를 재개했다. 10월 20일, 큐빅은 검증자들이 복구 계획을 승인하고, 보상 청구 포털을 개설했으며, 신원이 확인된 피해자들에게 보상금 지급을 시작했다고 발표했다.

이번 공격은 Qubic의 블록체인을 해킹한 것이 아니었습니다. 대신, 해커는 소유자가 암호화폐에 접근할 수 있게 해주는 비밀 문자열인 취약한 지갑 복구 시드를 악용했습니다.

애플 소프트웨어의 취약점으로 인해 지갑이 노출되었다

문제는 특정 지갑이 이러한 비밀 복구 문자열을 생성하는 방식에 있었다. 구버전의 Qubic 지갑 소프트웨어는 암호화폐를 보호하기에 충분히 안전하지 않은 난수 생성기를 사용했다.

이 결함은 아이폰 및 아이패드의 브라우저, 맥의 사파리, 그리고 구버전의 Qubic iOS 애플리케이션을 통해 생성된 지갑에 영향을 미쳤습니다. 공격자는 예측 가능한 복구 시드를 재구성하여 소유자의 비밀번호를 알지 못해도 접근 권한을 얻을 수 있었습니다. 큐빅은 10월 19일경 출시된 지갑 버전 4.26.4에서 이 문제를 수정했으며, 보안성이 취약한 생성기를 더 안전한 방식으로 대체했다고 밝혔다.

그러나 소프트웨어를 업데이트한다고 해서 기존 복구 시드가 수정되는 것은 아닙니다. 해당 소프트웨어로 지갑을 생성한 사용자는 완전히 새로운 지갑을 생성하고 자금을 이체해야 합니다. 다른 기기에서 기존 지갑을 단순히 열어보는 것만으로는 안전해지지 않습니다.

큐빅, 복구 청구 접수 개시와 함께 도난 자금 동결

Qubic이 네트워크를 중단하면서 도둑의 도주 계획은 좌절되었습니다. 도난당한 토큰의 약 87.1%는 블록체인에 갇힌 채로 남아 있었으며, 암호화폐 거래소 MEXC는 나머지 12.9%를 보유한 계정을 동결했습니다. 이후 Qubic은 영향을 받은 온체인 자금을 보호된 에스크로에 보관하여, 검증자들이 확인된 소유자에게 암호화폐를 반환하기 시작할 수 있도록 했습니다. 개발팀은 피해자들이 2027년 5월 1일까지 Qubic의 공식 복구 포털을 통해 청구 신청을 제출할 수 있다고 밝혔습니다. 신청자는 피해 지갑 식별 정보, 새로 생성된 수취 지갑, 서명된 소유권 메시지 및 증빙 자료를 제출해야 합니다. 승인된 청구는 지급 전 7일간의 이의 제기 기간을 거칩니다. MEXC에 보관된 자금의 회수는 거래소 측의 조치와 법 집행 절차에 따라 달라집니다.

Qubic은 또한 합법적인 복구 지원 과정에서 지갑 시드를 넘기거나 수수료를 지불하도록 요구하지 않는다고 사용자에게 경고했습니다. 블록체인은 다시 움직이고 있지만, 이번 사건은 암호화폐 보유자들에게 불편한 의문을 남깁니다. 지갑을 보호하는 소프트웨어가 공격자에게 열쇠를 넘겨줄 수 있다면, 보안이 뚫리지 않은 블록체인이 무슨 소용이 있을까요?