Across Protocol, 해킹 공격 후 웹사이트 복구: 피해액 35만 달러로 추정

크로스체인 프로토콜인 Across Protocol은 2026년 11월 10일 발생한 피싱 공격 후 웹사이트 복구를 보고했습니다. 프로젝트에 따르면 공격자들은 도메인 across.to를 장악하고 방문자를 암호화폐를 훔치기 위해 설계된 가짜 페이지로 리디렉션했습니다. 이 사건은 플랫폼과 상호작용한 후 자금 손실을 보고한 사용자들의 보고와 함께 발생했습니다. 11월 11일, Across는 도메인에 대한 통제권을 회복하고 정상적인 서비스 운영을 재개했다고 발표했습니다.

Across 프로젝트는 이더리움과 다른 블록체인 네트워크 간에 디지털 자산을 전송할 수 있도록 합니다. 조사 중에 팀은 사용자가 애플리케이션을 열거나, 암호화폐 지갑을 연결하거나, 거래 또는 토큰 관리 권한을 확인하지 않도록 권고했습니다. 이 경고는 공격자들이 사용자의 자산에 접근할 수 있는 악성 작업 서명 위험과 관련이 있었습니다.

공격자들이 Namecheap을 통해 도메인 통제권을 획득

Across의 성명에 따르면, 공격은 11월 10일 약 18:45 UTC에 시작되었습니다. 공격자들은 도메인 등록기관 Namecheap에 대한 사회공학적 방법을 사용하여 프로젝트의 도메인 설정을 변경할 수 있었습니다. 이후 사용자가 일반 주소에 접근하면 시각적으로 실제 서비스를 모방한 피싱 페이지에 도달할 수 있었습니다.

Across 팀은 도메인이 탈취된 지 15분 이내에 사건에 대한 경고를 받고 가짜 사이트에 대한 접근을 차단하기 시작했다고 보고했습니다. SEAL911 대응팀 전문가들은 주요 암호화폐 지갑의 보호 시스템에서 해당 주소를 피싱으로 표시하는 데 도움을 주었고, Cloudflare는 이후 해당 DNS 기록을 제거했습니다. 이를 통해 도메인에 대한 완전한 통제권이 회복될 때까지 악성 페이지에 대한 접근을 차단할 수 있었습니다.

Across에 따르면, 공격은 사용자가 프로토콜과 상호작용하는 웹 인터페이스에 영향을 미쳤습니다. 타사 통합 및 API를 사용하는 클라이언트는 영향을 받지 않은 것으로 보고되었습니다. Across의 기본 스마트 계약이 손상되었다는 정보는 없었습니다.

사용자 손실 약 35만 달러로 추정

사건 중 여러 사용자가 소셜 네트워크 X에서 암호화폐의 사라짐을 보고했습니다. 그 중 한 명은 9,000 USDC의 손실을 보고했으며, 다른 한 명은 7건의 거래 결과로 Plasma 네트워크에서 7,053 USDT0의 도난을 보고했습니다. 초기에는 Cointelegraph가 이러한 보고를 독립적으로 확인할 수 없었으며, Across 팀은 청구자들로부터 조사를 위한 운영 세부 정보를 요청했습니다.

이후 보안 플랫폼 전문가 GoPlus는 총 피해액을 약 35만 달러로 추정했습니다. 그들에 따르면, 공격은 이더리움, Arbitrum, Base, BNB Chain, Ink, Plasma 네트워크의 암호화폐 지갑에 영향을 미쳤습니다. Bitquery의 별도 연구에서는 5개의 블록체인에서 9개의 지갑으로부터 약 34만 8천 달러에 달하는 전송이 밝혀졌지만, 두 평가의 방법론과 범위는 다릅니다.

연구자들에 따르면, 가짜 페이지는 사용자에게 토큰 전송 권한을 확인하도록 유도했습니다. 이러한 작업은 제3자 주소나 스마트 계약이 소유자의 개인 키를 얻지 않고도 자산을 관리할 수 있게 할 수 있습니다. 그러나 최종 피해 금액과 영향을 받은 사용자 수는 아직 Across에 의해 공식적으로 공개되지 않았습니다.

Across는 손실 보상을 약속

11월 11일, Across 팀은 Namecheap 창립자 Richard Kirkendall의 도움으로 도메인에 대한 통제권이 회복되었다고 보고했습니다. 프로젝트에 따르면, 모든 시스템이 다시 정상적으로 운영되고 있으며 도메인 탈취의 원인에 대한 조사가 진행 중입니다. 앞으로 며칠 내에 Across는 사건의 원인과 보안 조치를 설명하는 상세 보고서를 발표할 예정입니다.

“모든 영향을 받은 사용자는 전액 보상받을 것입니다,”라고 Across 팀은 X에서 밝혔습니다. 번역: “모든 영향을 받은 사용자는 손실에 대해 전액 보상받을 것입니다.” 성명 당시 지급 일정 및 손해 확인 절차에 대한 구체적인 내용은 공개되지 않았습니다.

공격 중 사이트와 상호작용하고 의심스러운 작업을 서명한 사용자들은 팀에 의해 제3자 계약에 부여된 권한을 확인하고 필요시 이를 철회하도록 권고받았습니다. 웹사이트 복구는 피싱 페이지를 통해 이전에 부여된 권한을 자동으로 취소하지 않습니다.

이번 사건은 암호화폐 서비스에 대한 위협이 스마트 계약 취약점뿐만 아니라 외부 인프라의 손상에서도 올 수 있음을 보여줍니다. 블록체인 프로토콜이 운영 중일 때도 공식 도메인의 탈취는 대체된 인터페이스와 상호작용하는 사용자에게 재정적 손실을 초래할 수 있습니다.