-
[ 목차 ]
유엑스링크(UXLINK) 개요 및 해킹 발생 배경
UXLINK는 Web3 및 소셜 미디어 연계 프로젝트로, 블록체인 생태계 내에서 AI 기술과 탈중앙화 소셜 네트워크 기능을 결합하려는 시도를 해온 플랫폼입니다.
2025년 9월경, UXLINK가 운영하던 멀티시그(multi-signature) 지갑이 공격당했다는 보도가 나왔습니다. 멀티시그 지갑은 여러 명의 서명이 있어야 자금을 이동할 수 있게 설계된 보안 장치입니다. 하지만 이번 공격에서는 멀티시그 체계가 악용된 것으로 보입니다.
보안 분석 회사 Cyvers Alerts는 해당 지갑에서 delegateCall 함수를 활용해 관리자 권한이 삭제되고, “addOwnerWithThreshold” 형태로 새로운 멀티시그 소유자가 추가된 정황을 포착했습니다. 이로 인해 공격자는 권한을 탈취할 수 있었고, 자금 이체가 가능해졌습니다.
공격자는 USDT, USDC, WBTC, ETH 등 다양한 자산을 유출했고, 일부는 UXLINK 토큰 형태로 이동되기도 했습니다.
피해 규모 및 자금 흐름
최초 보도에서는 약 1,130만 달러(USD) 규모의 자산이 유출된 것으로 알려졌습니다.
유출된 자산에는 약 400만 달러 상당의 USDT, 50만 달러 규모의 USDC, 3.7 WBTC, 25 ETH가 포함되었습니다.
또한 일부 UXLINK 토큰이 약 300만 달러 규모로 새 지갑으로 이체되었고, 그중 일부가 매도되었다는 보고가 있습니다.
공격 직후 토큰 가격은 급락했으며, 거래소 중 일부는 UXLINK의 입출금 서비스를 일시 중단하는 조치를 취했습니다. 예를 들어 업비트는 UXLINK 토큰의 Arbitrum 네트워크 입출금을 중단했습니다.
추가로, 공격자는 유출 자산을 여러 지갑 사이에서 옮기고 일부를 ETH 등으로 전환해 시장에 풀려 유동화를 시도한 것으로 알려졌습니다.
역공: 해커가 당한 피싱 공격
이 사건이 더욱 화제가 된 것은, 공격자가 해킹을 감행한 뒤 스스로 피싱(Phishing) 공격의 피해자가 된 정황이 드러났기 때문입니다.
보도에 따르면, 해킹 이후 약 5억 4,200만 UXLINK 토큰 (약 4,800만 달러 상당)이 피싱 공격을 통해 또다시 탈취된 것으로 보고됩니다.
즉, 해커가 해킹한 자산 중 일부를 다른 공격자(피싱 운영자)가 탈취한 셈입니다. 이 사건은 블록체인 공간에서도 “죄짓는 자도 함정에 걸릴 수 있다”는 아이러니한 교훈을 남겼습니다.
피싱 공격은 해커의 지갑이 스스로 “악성 컨트랙트”에 허가 승인을 해주는 방식의 정교한 수법으로 보입니다.
UXLINK 측의 대응 및 현재 상태
해킹 직후 UXLINK는 공식 채널을 통해 긴급 보안 공지를 발표했으며, 보안 사고가 확인된 멀티시그 지갑의 자금 이동을 제지하기 위해 거래소와 협력하고 사후 대응에 나섰습니다.
또한 프로젝트 측은 토큰 마이그레이션(token migration)과 새 스마트 컨트랙트 감사(audit) 절차를 현재 진행 중이라는 보고가 있습니다. 이 조치들은 향후 동일한 취약점 재발을 막기 위한 시도로 보입니다.
한편, 일부 거래소는 UXLINK 토큰을 거래 “유의 종목”으로 지정하거나 선물 마켓 상장 폐지를 검토 중이라는 움직임이 있습니다.
또한 입출금 중단 조치가 먼저 적용되었으며, 향후 안정성 확인 후 재개 여부를 공지하겠다는 안내가 있었습니다.
이번 사건의 의미와 시사점
보안 설계의 중요성
멀티시그 지갑은 보안 장치로 자주 사용되지만, delegateCall이나 권한 삭제/추가 같은 함수 조작이 가능하면 취약점이 될 수 있습니다. 이 사건은 스마트 컨트랙트 레벨 보안이 얼마나 중요한지를 다시 보여주는 사례입니다.
탈중앙성과 보안의 역설
UXLINK와 같은 Web3 프로젝트는 “탈중앙화”를 표방하지만, 실제 운영 구조에서는 중앙화된 권한 구조(관리자 권한 등)가 보안의 약점으로 작용할 수 있습니다.
투자자 보호의 한계
이번 사고로 인해 UXLINK 보유자 및 투자자는 갑작스런 가격 폭락과 유동성 리스크에 노출되었습니다. 특히, 토큰 유동성과 신뢰성 회복은 매우 어려운 과제입니다.
범죄자도 속는다
해커가 다시 피싱 피해자가 되었다는 사실은 블록체인 생태계의 복잡성과 위험성을 보여주는 상징적인 일화가 되었습니다.
투자자 유의사항 및 대응 전략
공식 발표 확인
보도나 루머만으로 판단하지 말고, UXLINK 공식 채널(웹사이트, 트위터, 커뮤니티 공지 등)을 통해 사실 여부를 먼저 확인해야 합니다.
연결된 지갑(Approve) 정리
이전에 UXLINK나 관련 DApp에 지갑 승인(approve)을 해둔 경우, 권한 해제(revoke) 등이 가능한지 체크해 두는 것이 좋습니다.
비상금 분리 보관
암호화폐 보유 시, 일부는 콜드 월렛(오프라인 지갑)이나 안전한 지갑에 분리 보관하는 전략이 필요합니다.
과도한 기대 지양
해킹 또는 보안 사고 이후에는 복구 가능성이나 신뢰 회복 여부가 불확실하므로, 기대 수준을 현실적으로 설정해야 합니다.
투자 리스크 고려
프로젝트 자체의 기술력, 보안 감사 이력, 개발팀 투명성 등을 투자 전 반드시 검토해야 합니다.