개인 키 하나 털려서 230억 원이 찍혀 나왔다 — Resolv 해킹 사건 분석

무슨 일이 있었나요?

DeFi(탈중앙화 금융) 프로토콜인 Resolv에서 약 2300만 달러(한화 약 300억 원)가 탈취되는 해킹 사건이 발생했어요. 해킹의 원인은 놀랍도록 단순했는데요, 프로토콜을 관리하는 개인 키(Private Key) 하나가 유출된 거예요. 공격자는 이 키를 이용해서 스마트 컨트랙트의 관리자 권한을 탈취하고, 새로운 토큰을 대량으로 발행(민팅)한 다음 시장에서 현금화했어요.

이 사건을 블록체인 분석 기업 Chainalysis가 상세하게 분석했는데요, 그 내용이 블록체인 보안뿐 아니라 일반적인 소프트웨어 보안에도 중요한 교훈을 주고 있어요.

어떻게 해킹이 이뤄졌나요?

공격 과정을 단계별로 풀어볼게요.

먼저 공격자는 어떤 경로로든 Resolv 프로토콜의 관리자 키를 손에 넣었어요. 이 키가 어떻게 유출됐는지 정확한 경로는 아직 밝혀지지 않았지만, 일반적으로 이런 사건에서는 피싱, 내부자 유출, 안전하지 않은 키 저장 방식(예: 일반 텍스트 파일로 보관) 등이 원인이 되거든요.

관리자 키를 얻은 공격자는 스마트 컨트랙트의 업그레이드 권한을 이용해서 컨트랙트 로직을 변경했어요. 이게 뭔 말이냐면, 많은 DeFi 프로토콜이 업그레이드 가능한 프록시 패턴(Upgradeable Proxy Pattern)을 쓰거든요. 쉽게 비유하면, 건물의 마스터키를 가진 사람이 건물 내부 구조를 마음대로 바꿀 수 있는 것과 비슷해요. 관리자 키가 곧 마스터키인 거죠.

컨트랙트 로직을 바꾼 후, 공격자는 원래 불가능했던 양의 토큰을 새로 발행했어요. 그리고 이 토큰을 DEX(탈중앙화 거래소)를 통해 빠르게 다른 자산으로 교환하고, 여러 지갑과 믹서를 거쳐서 자금 추적을 어렵게 만들었어요.

왜 이런 구조가 문제인가요?

이 사건의 핵심 문제는 단일 장애점(Single Point of Failure)이에요. 아무리 스마트 컨트랙트의 코드가 완벽하고, 감사(Audit)를 여러 번 받았더라도, 관리자 키 하나가 뚫리면 모든 보안이 무력화되는 거예요. 탈중앙화를 표방하는 프로토콜이 실질적으로는 하나의 키에 모든 권한이 집중돼 있었던 거죠.

이건 블록체인만의 문제가 아니에요. 일반 웹 서비스에서도 비슷한 패턴을 볼 수 있거든요. AWS의 루트 계정 키가 GitHub에 올라가서 수천만 원의 클라우드 비용이 발생한 사례, SSH 키가 유출돼서 서버가 통째로 장악된 사례 — 모두 같은 맥락이에요. 하나의 비밀(secret)에 너무 많은 권한이 집중되면, 그게 바로 가장 큰 취약점이 되는 거예요.

업계에서는 이런 문제를 해결하기 위해 멀티시그(Multi-Signature) 지갑이나 타임락(Timelock) 같은 메커니즘을 쓰거든요. 멀티시그는 중요한 작업을 할 때 여러 명의 서명이 필요하게 만드는 건데, 은행에서 큰 금액을 출금할 때 복수 승인이 필요한 것과 같아요. 타임락은 관리자 작업이 즉시 실행되지 않고 일정 시간 후에 실행되게 해서, 그 사이에 커뮤니티가 이상한 점을 발견하면 막을 수 있는 장치예요. Resolv는 이런 안전장치가 충분하지 않았던 것으로 보여요.

한국 개발자에게 주는 시사점

블록체인 개발을 하지 않더라도 이 사건에서 배울 점이 있어요.

시크릿 관리는 아무리 강조해도 지나치지 않아요. API 키, 데이터베이스 비밀번호, 서비스 계정 키 같은 것들이 코드에 하드코딩되어 있지는 않은지, .env 파일이 git에 올라가 있지는 않은지 점검해보세요. HashiCorp Vault, AWS Secrets Manager 같은 시크릿 관리 도구를 쓰는 게 좋고, 최소 권한 원칙(Principle of Least Privilege)을 적용해서 하나의 키가 모든 걸 할 수 있는 상황을 피해야 해요.

관리자 권한에는 반드시 다중 인증과 접근 제어를 적용하세요. 프로덕션 데이터베이스 접근, 배포 파이프라인, 인프라 변경 같은 민감한 작업은 한 사람의 권한으로만 이뤄지면 안 돼요. 코드 리뷰가 머지 전에 필수인 것처럼, 인프라 변경에도 승인 프로세스가 있어야 해요.

블록체인 쪽 개발을 하고 있다면, 스마트 컨트랙트의 관리자 키 관리 전략을 반드시 재점검해보세요. 멀티시그 적용, 타임락 설정, 그리고 업그레이드 권한의 최소화가 기본이에요.

정리하자면

개인 키 하나의 유출이 300억 원의 피해로 이어진 이 사건은, 보안에서 가장 약한 고리가 전체 시스템의 보안 수준을 결정한다는 오래된 교훈을 다시 한번 확인시켜 줘요. 여러분이 관리하는 시스템에서 "이것만 뚫리면 끝"인 단일 장애점은 없는지, 한번 점검해보시는 건 어떨까요?