자노, 취약점 공격에 3690만개 무단 발행…한 달치 체인 롤백

가상자산(암호화폐) 프로젝트 자노(Zano)가 취약점 공격으로 약 3690만개의 미승인 토큰이 발행된 사실을 확인했다. 자노 측은 비정상 발행분을 제거하기 위해 약 한 달치 블록체인 기록을 되돌리기로 했다.

2일(현지시간) 가상자산 전문매체 코인텔레그래프에 따르면 자노는 사후 분석 보고서를 통해 공격자가 게이트웨이 주소의 취약점을 악용해 두 차례에 걸쳐 대규모 ZANO를 무단 발행했다고 밝혔다.

공격자는 지난 8월 29일 한 건의 거래만으로 약 1840만ZANO를 발행했다. 이후 9월 25일 같은 방식으로 약 1840만ZANO를 추가 생성했으며 프리덤달러(fUSD)도 무단 발행한 것으로 파악됐다.

문제는 비정상적으로 생성된 토큰이 정상 ZANO와 동일하게 작동했다는 점이다. 자노 측은 해당 토큰이 일반 거래에도 활용될 수 있었고 정상 물량과 사실상 구분하기 어려웠다고 설명했다. 이에 따라 무단 발행 이전 시점까지 체인을 되돌리는 방식의 복구를 결정했다.

공격자는 8월 28일 게이트웨이 주소를 등록하고 100ZANO의 수수료를 낸 뒤 테스트를 거쳐 다음 날 첫 공격을 실행했다. 첫 무단 발행은 약 한 달간 탐지되지 않았으며 두 번째 발행 이후 내부 조사 과정에서 이상 징후가 확인됐다.

자노 측은 인공지능(AI) 기반 테스트와 내부 감사, 버그 바운티 프로그램에서도 해당 취약점을 사전에 발견하지 못했다고 인정했다.

롤백으로 취소되는 정상 거래에 대해서는 별도 복구 절차가 진행될 예정이다. 자노 측은 개발자 펀드와 팀원 개인 자금, 외부 기여금을 활용해 거래소와 결제 서비스에서 영향을 받은 입출금 내역을 순차적으로 복원할 계획이다.