솔라나 트레이딩 봇 해킹으로 약 100만 달러 손실, 49개 지갑 자금 전액 유출

해커, 제3자 취약점을 통해 9,408 SOL 탈취

솔라나(Solana) 및 이더리움 가상 머신(EVM) 네트워크를 지원하는 텔레그램 기반 암호화폐 거래 봇인 블룸(Bloom)은 2026년 10월 26일 보안 침해 사고를 겪었으며, 이로 인해 사용자 지갑에서 약 9,408 SOL이 사라졌습니다.

블룸의 공식 조사 결과에 따르면 도난당한 암호화폐의 가치는 약 947,000달러로 집계되었으나, 초기 블록체인 분석 추정치에서는 피해액이 954,000달러에 가까운 것으로 나타났습니다.

블록체인 모니터링 계정인 ‘온체인 렌즈(Onchain Lens)’가 의심스러운 이체 내역을 포착했으며, ‘온체인 알러트(Onchain Alert)’는 공격자가 탈취한 자금을 ‘드레이너(drainer)’로 의심되는 지갑으로 통합했다고 보고했다. 온체인 알러트는 X를 통해 다음과 같이 경고했다:

"한 해커가 49명의 피해자로부터 9,408 SOL을 빼돌렸으며, 이는 해당 해커가 보유한 드레이너 지갑 중 하나에서 발생한 일입니다 [wallets], 최종 수치는 이보다 훨씬 더 클 수 있습니다."

이 모니터링 계정은 가장 큰 규모의 개별 탈취 건을 1,636 SOL(약 166,000달러 상당)로 확인했다. 초기 보고에 따르면 공격자는 주로 SOL 보유량을 표적으로 삼았으며, 일부 USDC 스테이블코인 잔액은 건드리지 않은 것으로 나타났다.

블룸, 피해자 9명 확인 및 개인 키 도난 가능성 배제

초기 보도에 따르면 피해자는 49명으로 추정되었습니다. 그러나 Bloom의 후속 조사 결과, 해당 수치는 49개의 피해 지갑 주소를 관리하는 9명의 사용자로 좁혀졌습니다. 회사는 제3자 소프트웨어 모듈과 관련된 복잡한 원격 코드 실행(RCE) 취약점을 공격의 진입점으로 확인했습니다. Bloom은 X를 통해 다음과 같이 밝혔습니다:

"어떤 개인 키도 유출되지 않았으며, 영향을 받지 않은 지갑은 안전하며, 피해를 입은 모든 사용자에게는 블룸이 전액 보상할 것입니다."

이러한 구분이 중요한 이유는 RCE 악용을 통해 공격자가 사용자의 개인 키를 직접 추출하지 않고도 침해된 소프트웨어 환경을 조작할 가능성이 있기 때문입니다. 그러나 블룸은 무단 이체를 승인하는 데 사용된 정확한 메커니즘을 공개적으로 밝히지 않았습니다. 회사는 예방 조치로 서비스를 일시적으로 중단하고, 영향을 받은 고객들에게 지원 채널을 이용하도록 안내했습니다.

"예방적 보안 조치로 현재 모든 블룸 시스템이 오프라인 상태입니다. 서비스가 안전하게 복구되는 대로 공식 채널을 통해 공지할 예정입니다. 그때 모든 사용자는 블룸 매니저와 크롬 확장 프로그램에 다시 로그인해야만 블룸을 정상적으로 사용할 수 있습니다. 양해해 주셔서 감사합니다,"라고 팀 측의 X 계정은 전했습니다.

조사 진행 중, 블룸은 100% 보상 약속

블룸은 고객들이 손실을 감당하도록 내버려 두지 않고, 모든 비용을 부담하겠다고 약속했다. 회사는 다음과 같이 밝혔다.

"블룸은 도난당한 자금의 100%를 피해 사용자가 지정한 보안 지갑으로 직접 전액 환불해 드릴 것입니다."

블룸은 또한 도난당한 암호화폐의 행방을 추적하고, 동결 및 회수 방안을 모색하며, 공격자의 신원을 파악하기 위해 노력 중이라고 강조했다. 성명에서는 팀이 2018년부터 소프트웨어를 개발해 왔으며 2021년부터 암호화폐 시장에서 운영해 왔음을 강조했다. 피해를 입은 고객들에게는 잔여 자산을 새로 생성된 지갑으로 이체할 것을 권고했다.

블룸은 보상 마감 기한을 공개적으로 정하지 않았으며, 정상 운영이 언제 재개될지 발표하지도 않았다. 이 소식은 암호화폐 업계 전반에 걸쳐 시스템 버그, 데이터 유출, 해킹 사건이 잇따르고 있는 가운데 전해졌으며, 많은 이들이 인공지능(AI) 지원 시스템을 원인으로 지목하고 있다.

이번 침해 사건은 고객 지갑을 관리하는 트레이딩 봇에 대해 불편한 기술적 의문을 남기고 있다. 만약 개인 키가 안전하게 보호되었다면, 해킹당한 제3자 소프트웨어가 정확히 어떻게 100만 달러에 가까운 자금을 이동할 수 있는 권한을 얻게 된 것일까?