해커가 바이낸스를 통해 탈취한 자금을 세탁하면서 그래비티 브릿지에서 540만 달러가 유출됐다

• 펙스실드는 5월 30일, USDC 430만 달러와 이더(ETH) 274개를 포함해 총 약 540만 달러 규모의 그래비티 브리지 해킹 사건을 확인했다.
• 이번 도난 사건으로 2026년 5월 펙스실드가 추적한 브리지 해킹 피해액은 총 3억 2,800만 달러를 넘어섰다.
• 공격자는 여전히 2,102 ETH(약 423만 달러)를 보유하고 있으며, 온체인 분석가들이 자금 세탁 경로를 추적 중이다.

바이낸스와 체인지나우를 경유한 자금 흐름

이더리움과 코스모스 생태계 간 토큰을 이동시키는 프로토콜인 그래비티 브릿지(Gravity Bridge)가 블록체인 보안 업체 펙스실드(Peckshield)가 포착한 새로운 해킹으로 약 540만 달러의 손실을 입었다. 도난당한 자산에는 약 430만 달러 상당의 USD 코인(USDC), 약 55만 3,000달러 상당의 이더(ETH) 274개, 43만 4,000달러 상당의 테더(USDT), 그리고 약 6만 4,000달러 상당의 PAYG 토큰 14,164개가 포함되었다. 공격자는 탈취한 자금을 즉시 이동시켰다. 펙시실드의 분석에 따르면 탈취된 자금의 일부는 이미 비수탁형 스왑 서비스인 체인지나우(Changenow)와 거래량 기준 세계 최대 암호화폐 거래소인 바이낸스(Binance)를 통해 세탁된 것으로 나타났다. 경보가 발령된 시점을 기준으로, 공격자는 여전히 약 423만 달러 상당의 이더(ETH) 2,102개를 보유하고 있었으며, 이는 탈취된 자금의 대부분이 여전히 온체인에 남아 있어 추적 가능할 수 있음을 시사한다.

바이낸스 같은 중앙화 거래소를 통해 자금을 이동시키는 것은 도난당한 코인을 합법적인 유동성과 혼합하여 자금 흐름을 흐리게 할 수 있지만, 플랫폼의 규정 준수 팀이 신속하게 대응할 경우 자금이 동결될 위험에도 노출됩니다. 체인지나우(Changenow)와 같은 스왑 서비스는 자금이 거래소에 도달하기 전에 추적하기 더 어려운 토큰으로 변환하는 데 자주 사용됩니다.

Gravity Bridge의 기능

Gravity Bridge는 이더리움과 상호운용 가능한 체인 네트워크인 코스모스(Cosmos)를 연결하는 크로스체인 브리지(사용자가 한 블록체인에서 다른 블록체인으로 토큰을 이동할 수 있게 해주는 소프트웨어)입니다. 코스모스 SDK를 기반으로 구축된 이 서비스는 '잠금 및 발행(lock-and-mint)' 모델을 채택하고 있습니다. 이 모델에서는 한 체인에서 토큰을 잠그고 다른 체인에서 이에 상응하는 토큰을 발행한 뒤, 사용자가 다시 브리징할 때 해당 토큰을 소각하고 상환합니다.

그라비티 브리지는 소규모 다중 서명 지갑이나 허가형 운영자 그룹에 의존하는 대신 자체 검증자 세트를 활용해 크로스체인 트랜잭션에 서명합니다. 이는 시스템을 더욱 탈중앙화하고 해킹을 어렵게 만들기 위한 설계입니다. 하지만 이러한 아키텍처가 브리지를 공격으로부터 완전히 면책시켜 주지는 못합니다. 설계상 브리지는 막대한 양의 잠긴 자산을 보유하게 되며, 이로 인해 탈중앙화 금융(DeFi) 분야에서 가장 수익성이 높은 표적 중 하나로 전락하기 때문입니다. 검증 로직에 단 하나의 결함만 있어도 모든 자산을 한꺼번에 해제할 수 있습니다.

크로스체인 브릿지에게 혹독했던 한 해

비트코인닷컴 뉴스(Bitcoin.com News)가 최근 보도한 바에 따르면, 2026년 5월 중순까지 단 8건의 별도 사건만으로도 브리지 해킹으로 3억 2,800만 달러 이상이 유출된 점을 고려할 때, 그라비티 브리지(Gravity Bridge) 사건은 크로스체인 인프라가 혹독한 시기를 겪는 와중에 발생했다.

이러한 패턴은 일 년 내내 끊임없이 이어져 왔습니다. 5월 18일, 공격자들은 베루스-이더리움 브리지에서 약 1,150만 달러를 탈취했으며, 범인은 절도 전 토네이도 캐시를 통해 자금을 조달했습니다. 앞서 4월에는 드립 프로토콜(Drift Protocol)에서 약 2억 달러 이상이 유출된 것으로 추정되는 공격이 발생했으며, 별도의 침해 사고로 켈프DAO(KelpDAO)의 레이어제로(Layerzero)

어댑터에서 116,500 rsETH가 유출되어 대출 시장에 잠재적인 부실 채권 위험이 노출되었다.

시바리움(Shibarium) 브리지에 대한 240만 달러 규모의 플래시 론 공격을 포함해 소규모 피해 사례도 쌓여가고 있다. 이러한 일련의 사건들은 단순한 불운의 연속이라기보다 구조적인 문제를 시사한다. 브리지는 두 체인의 상이한 보안 모델을 조화시켜야 하며, 입출금을 검증하는 코드는 (검증 체크 누락, 키 유출, 거버넌스 결함 등 다양한 원인으로 인해) 반복적으로 가장 취약한 고리로 드러났다.

향후 전개 예측

당면한 문제는 도난당한 540만 달러 중 얼마나 회수할 수 있을지다. 공격자가 여전히 약 423만 달러 상당의 ETH를 보유하고 있는 만큼, 거래소와 분석 기업들은 해당 자금을 식별해 동결할 기회를 얻었으며, 프로토콜들은 회수를 협상하기 위해 대중의 압력과 온체인 메시지를 점점 더 많이 활용하고 있다. 예를 들어, 베루스(Verus) 해커는 회수 합의에 따라 280만 달러의 현상금을 챙긴 채 결국 850만 달러를 반환했다.

현재 Gravity Bridge 이용자들은 근본 원인과 피해 예금자들에 대한 보상 계획을 상세히 담은 공식 사고 보고서를 기다리고 있다. 브릿지들이 계속해서 드러나는 검증 취약점을 해결할 때까지, 멀티체인 경제의 가장 중요한 연결 고리들은 여전히 가장 빈번하게 털리는 대상이 될 것으로 보인다.