아이오텍스 브리지 공격 받아…"48시간 내 복구·보상안 공개"

아이오텍스(IoTeX)는 멀티체인 브리지 'ioTube'에서 보안 침해가 발생했다고 밝혔다.

23일 아이오텍스 엑스(X·옛 트위터) 공지에 따르면 이번 사고는 지난 21일 발생했으며, ioTube의 이더리움 측 브리지 계약이 공격 대상이 됐다. 아이오텍스 팀은 사고 인지 직후 긴급 대응 체제로 전환했다고 밝혔다. 공격은 이더리움 측 브리지 계약에서만 발생했으며, 레이어1 체인과 주요 자산은 영향을 받지 않았다고 설명했다.

아이오텍스는 "IoTeX 레이어1 체인과 합의 메커니즘, 네이티브 스마트컨트랙트는 침해되지 않았다"며 "IoTeX 체인 상의 IOTX 토큰 및 중앙화 거래소 보유 자산은 안전하다"고 밝혔다. BSC 및 베이스 체인 측 브리지 계약도 영향을 받지 않았다고 덧붙였다.

공격자는 이더리움 측 검증자 계약의 소유자 계정을 탈취한 뒤, 악성 버전으로 계약을 업그레이드해 서명 및 검증 절차를 우회한 것으로 파악됐다. 이후 MintPool과 TokenSafe를 장악해 4억1000만 CIOTX를 발행하고, 브리지 준비금에서 약 440만달러 상당의 자산을 유출했다.

아이오텍스는 발행된 4억1000만 CIOTX 중 86% 이상을 이미 잠그거나 동결 조치했다고 밝혔다. 12.8%에 해당하는 5240만 IOTX는 바이낸스로 이동한 것으로 확인돼, 현재 동결을 위해 협력 중이라고 설명했다. 탈중앙화거래소(DEX)에서 교환된 170만 IOTX(0.4%)만이 실질적 손실 위험에 노출된 상태라고 전했다.

브리지 준비금 자산은 약 2183 ETH로 전환됐으며, 이 중 약 1572 ETH가 토르체인을 통해 비트코인으로 브리지된 것으로 파악됐다. 아이오텍스는 현재 4개의 비트코인 주소에서 총 66.78 BTC를 확인했으며, 해당 주소는 24시간 모니터링 중이라고 밝혔다.

아이오텍스는 현재 체인 패치를 배포 중이며, 충분한 검증자가 업데이트를 완료하면 네트워크 운영이 자동으로 정상화될 것이라고 설명했다. 거래소 출금은 24~48시간 내 재개될 것으로 예상되며, 브리지는 독립적인 보안 감사를 마칠 때까지 전 체인에서 중단된다.

아울러 48시간 이내 피해 사용자에 대한 보상 계획을 발표하고, 커뮤니티 대상 온라인 질의응답(AMA)을 진행할 예정이다. 법 집행기관 및 온체인 분석업체와도 협력 중이며, 공격자 주소에 대해 화이트햇 보상 제안을 온체인 메시지로 전달할 계획이라고 밝혔다.

한편 아이오텍스는 멀티시그 및 24시간 타임락 도입, 브리지 검증자 분산화를 위한 거버넌스 제안(IIP-55) 가속화, 거래 한도 제한 및 버그 바운티 프로그램 확대 등 추가 보안 강화 조치를 추진하겠다고 덧붙였다.