암호화폐 거래 기업 ‘윈터뮤트’가 최근 약 1억6000만 달러의 해킹 피해를 입었으며, 이는 ‘배니티 주소’ 버그로 인한 것으로 밝혀졌다.
지난 20일 윈터뮤트(Wintermute)‘는 스마트 컨트랙트 자산을 예치하는 일종의 암호화폐 월렛 계정인 이더리움 금고(Ethereum vault)로부터 약 1억 6000만 달러가 해킹됐다는 소식을 전했다.
암호화폐 전문 매체 더블록에 따르면 윈터뮤트 팀은 현재 해당 사안에 대한 공식적인 사후 분석을 하지는 않은 상황이지만 보안업계 전문가가 몇가지 의견을 제시하고 있다.
폴리곤(Polygon) 최고 정보 보안 책임자직을 수행중인 무딧 굽타(Mudit Gupta)는 해커가 금고의 취약점을 간파하고 관리자 주소의 개인 키를 산정해 금고의 자금을 편취해갔을 것으로 분석했다.
한편 윈터뮤트는 당시 보유하고있던 암호화폐를 업체들에 대출해주고 빌리는 역할을 수행하는 기업으로써 해당 자산을 금고에 보관하고 있었다.
이 금고는 ‘0x0000000’로 시작하는 관리자 주소로 설정돼있었는데, ‘배니티 주소(vanity address)’라고도 부른다. 즉, 배니티 주소는 윈터뮤트 금고의 거래를 인증할 때 필요한 관리자 계정으로 활용되고 있었다.
이 배니티 주소는 식별할 수 있는 이름 또는 숫자가 포함되어있거나 일정한 스타일을 갖고있으며, 프로파니티(Profanity) 등의 온라인 도구를 이용해 생성 가능하다.
한편 탈중앙화 거래소 ‘애그리게이터 1인치(1inch)’는 프로파니티를 활용해 구축된 ‘배니티 주소’에 대해 안전성이 낮다고 주장하는 내용의 보고서를 발표한 바 있다.
애그리게이터 1인치가 발표한 바에 의하면 프로파니티 생성 주소에 연동돼있는 개인 키는 랜덤 방식의 대입 계산으로 설정될 위험이 있다.
한편 굽타 등 보안 전문가들은 윈터뮤트의 주소가 배니티 주소와 동일하므로, 해커가 개인 키를 산출하고 윈터뮤트의 금고를 해킹한 다음 다른 주소로 자산을 전송했을 것이라고 분석하고 있다.