110만 달러 규모의 암호화폐 카드 해킹 사건 이후 네오뱅크 토큰 가격이 49% 하락했습니다

Solana 기반 네오뱅크 Avici와 연결된 AVICI 토큰이 암호화폐 카드 인프라 해킹 사건 이후 한때 약 49% 급락했습니다. 이번 사고에서는 여러 카드 프로그램에 걸쳐 약 110만 달러 규모의 자금이 유출된 것으로 추적됐습니다.

이번 사건은 Avici 자체 지갑 시스템 전체가 해킹된 것이 아니라 카드 결제에 사용하기 위해 자금을 이동시키는 과정에서 이용되던 외부 카드 인프라의 스마트 컨트랙트가 공격받은 사례입니다.

Avici의 카드 인프라 제공업체인 Rain은 일부 프로그램에서 사용하던 구형 Solana 컨트랙트의 취약점이 공격에 악용됐다고 밝혔습니다.

Avici에서는 1,685명의 사용자가 영향을 받았으며 피해액은 약 50만800달러로 집계됐습니다. 또 다른 암호화폐 네오뱅크 Tria에서도 636명의 사용자가 피해를 입었고 손실 규모는 43만 달러 이상으로 보고됐습니다.

온체인에서 추적된 전체 피해 규모는 약 110만 달러로, Avici와 Tria 외에도 같은 Rain 인프라를 이용하던 일부 프로그램이 영향을 받은 것으로 추정됩니다.

110만 달러 규모의 암호화폐 카드 해킹은 어떻게 발생했을까?

이번 공격의 핵심은 Avici 이용자가 직접 관리하는 일반 암호화폐 지갑이 아니라 카드 결제용 자금이 이동된 별도의 스마트 컨트랙트였습니다.

Avici는 사용자가 직접 자산을 관리하는 셀프 커스터디 방식의 네오뱅크를 표방하고 있지만, 카드로 사용할 자금을 충전하면 해당 자금 일부가 카드 결제 처리를 담당하는 외부 인프라로 이동합니다.

Rain에 따르면 공격자는 일부 프로그램에서 사용되던 구형 Solana 컨트랙트의 취약점을 악용했습니다.

온체인 거래 분석에서는 공격자가 서명된 승인 정보를 이용해 개별 카드 담보 계정에 자신을 관리자 권한으로 추가한 뒤 자금을 인출하는 방식이 반복적으로 사용된 것으로 나타났습니다.

탈취된 스테이블코인 일부는 SOL로 교환된 후 Ethereum으로 이동했고, 이후 암호화폐 믹서 Tornado Cash로 전송된 것으로 추적됐습니다.

다만 공격자의 신원은 현재까지 공개적으로 확인되지 않았습니다.

Avici는 이번 공격이 카드 사용을 위해 자금을 보관하던 Solana 컨트랙트에 한정됐으며, Avici의 Solana 및 Ethereum 호환 네트워크 셀프 커스터디 지갑 자체는 영향을 받지 않았다고 밝혔습니다.

AVICI 토큰은 왜 한때 49%까지 급락했을까?

보안 사고가 알려지면서 AVICI 토큰 가격도 급격하게 움직였습니다.

AVICI는 24시간 최고가 약 0.43달러에서 사상 최저 수준인 약 0.217달러까지 하락하며 한때 약 49% 떨어졌습니다. 이후 가격은 약 0.378달러 수준까지 일부 회복하기도 했습니다.

이번 하락은 암호화폐 시장 전체의 움직임보다는 Avici라는 특정 프로젝트의 보안 위험과 신뢰도를 시장이 다시 평가하면서 발생한 움직임으로 보는 것이 더 적절합니다.

특히 Avici처럼 카드 결제 서비스를 핵심 상품으로 제공하는 네오뱅크의 경우 사용자가 실제 생활에서 사용하는 자금과 서비스 인프라가 직접 연결되어 있습니다.

따라서 카드 관련 보안 사고는 단순한 스마트 컨트랙트 오류를 넘어 플랫폼의 자금 관리 능력과 서비스 신뢰성에 대한 우려로 빠르게 이어질 수 있습니다.

다만 토큰 가격이 49% 하락했다는 사실만으로 향후 가격 방향까지 판단할 수는 없습니다. 보안 사고 대응과 피해 보상 진행 상황, 카드 서비스 정상화 여부 등이 이후 시장 평가에 영향을 줄 가능성이 있습니다.

피해 사용자들은 보상받을 수 있을까?

Avici는 이번 사고로 영향을 받은 1,685명의 카드 잔액을 전액 보상하겠다고 발표했습니다.

따라서 기존 보도에서 보상 여부가 확인되지 않았다고 설명하는 것은 현재 상황과 맞지 않습니다.

Tria 역시 영향을 받은 사용자들의 손실을 전액 보상하겠다는 방침을 밝혔습니다.

다만 Avici가 정확히 어떤 재원과 방식으로 피해 금액을 지급할 것인지, 실제 환급이 언제 완료될 것인지에 대해서는 추가 확인이 필요합니다.

Avici는 이번 사건을 미국 연방수사국(FBI)의 인터넷범죄신고센터에 신고했다고 밝혔습니다.

Rain 역시 문제가 발생한 구형 컨트랙트를 사용하는 프로그램을 업그레이드했으며 이후 추가적인 비인가 활동은 확인되지 않았다고 설명했습니다.

이번 사건에서 주목해야 할 것은 무엇일까?

이번 사고에서 가장 중요한 부분은 셀프 커스터디 암호화폐 카드의 구조입니다.

사용자가 자신의 지갑에서 암호화폐를 직접 관리한다고 하더라도 실제 카드 결제를 위해 자금을 충전하는 순간 해당 자금이 외부 결제 인프라의 스마트 컨트랙트로 이동할 수 있습니다.

즉 셀프 커스터디라는 표현만으로 카드 사용 과정 전체의 자산이 항상 사용자의 직접 통제 아래 있다고 판단해서는 안 됩니다.

Avici의 일반 셀프 커스터디 지갑은 이번 공격의 영향을 받지 않았지만 카드 결제용으로 이동한 자금은 제3자 인프라 취약점에 노출됐습니다.

이번 사건은 암호화폐 카드나 블록체인 기반 네오뱅크를 평가할 때 지갑 자체의 보안뿐 아니라 카드 발급사, 결제 인프라 제공업체, 스마트 컨트랙트 구조까지 함께 확인해야 한다는 점을 보여줍니다.

향후에는 Avici와 Rain의 추가 사고 조사 결과, 실제 피해 보상 완료 여부, 카드 서비스 정상화 상황 그리고 AVICI 토큰 가격이 보안 사고 이전 수준을 회복할 수 있는지가 주요 관찰 대상이 될 것으로 보입니다.