Polkadot 금고는 네트워크의 새로운 탈중앙화 스테이블코인 dotUSD가 출시되면서 몇 달 전에 코드베이스에서 수정된 보안 결함을 공격자가 이용해 138만 달러를 잃었습니다. Polkadot 및 Kusama 인프라 팀인 Parity Technologies는 해당 버그가 6월에 수정됐지만 10월 24‑26일 사이에 발생한 공격 전까지 프로덕션에 반영되지 않았다고 11월 2일 보고서에서 밝혔습니다.

취약점 발생 원인 및 분류 오류

이 결함은 처음에 Parity의 평가가 dotUSD와의 연동을 고려하지 않아 중간 심각도로 분류되었습니다. 그러나 침해가 직접적인 재정 손실을 초래하면서 등급을 크리티컬로 상향 조정했습니다. 보안 연구자는 10월 20일 코드 수정 사항을 공개했으나 Parity의 버그 바운티 정책 위반이라는 이유로 댓글을 삭제했으며, Parity는 이 공개가 공격자에게 도움이 되었을 가능성이 있다고 보고했습니다.

악용 방식

공격자는 Polkadot Asset Hub의 크로스‑체인 메시징(XCM) 시스템을 목표로 dotUSD의 기록된 공급량을 실제 토큰 이동 없이 감소시켰습니다. 이 불일치는 DOT/dotUSD 유동성 풀을 왜곡시켜 금고가 유일한 유동성 공급자인 상황에서 인위적인 가격을 통해 약 138만 1천 달러를 소진하게 만들었습니다. 금고가 손실을 흡수했지만 Parity는 사용자 자금은 침해되지 않았으며 dotUSD는 USDT로 완전히 백업된 상태라고 확인했습니다.

긴급 조치 및 사후 처리

10월 24일 의심스러운 활동이 포착되자 Snowfork는 컨센서스 릴레이어를 중단해 Snowbridge 브리지를 통한 추가 악성 트랜잭션을 일시 차단했습니다. 그러나 공격자는 10월 26일 독립 릴레이어를 운영해 Parity가 런타임 업그레이드 2.5.1을 배포하기 6시간 전까지 침해를 재개했습니다. 10월 30일 진행된 추가 업그레이드로 dotUSD의 기록된 공급량이 정상화되고 남은 유동성이 복구되었습니다. Parity는 이번 사건이 보안 프로세스의 빈틈을 드러냈다고 밝혀 취약점 평가 강화, 배포 검증 개선, 모니터링 확대 및 AI 기반 위험 코드 탐지 프레임워크 도입 계획을 발표했습니다.

향후 관찰 포인트

관계자들은 향후 업그레이드 시 Polkadot의 개편된 보안 프로토콜이 어떻게 작동하는지, 특히 네트워크가 크로스‑체인 기능을 확대함에 따라 어떤 영향을 미치는지 주시할 것입니다. 또한 OpenGov DAO 내에서 금고 손실 보상 메커니즘 및 버그 바운티 프로그램 개편에 대한 법적·거버넌스 대응도 관심 대상입니다.