Initia, MoveVM 스크립트 캐시 취약점으로 270만 달러 익스플로잇 피해
TREE NEWS 보도: 모듈러 롤업에 특화된 레이어1 블록체인 네트워크인 Initia가 약 270만 달러 상당의 디지털 자산이 도난당한 보안 침해를 공개했다. 베이징 시간 10월 23일 22시 59분에 발생한 이 공격은 Initia의 MoveVM 스크립트 캐싱 메커니즘의 취약점을 악용해 공격자가 보안 검사를 우회하고 가상 머신 상태를 위조할 수 있게 했다.
프로토콜의 공식 성명에 따르면, 공격자는 이 결함을 악용해 토큰 총 공급량을 변경하지 않은 채 자신의 계정에서 WETH, iUSD, USDC 토큰을 생성했다. 즉 이들 자산에는 실제 담보가 없었다. 네이티브 INIT 토큰은 발행되지 않았으며 총 공급량도 영향을 받지 않았다. 네트워크가 일시 중단되기 전에 공격자는 LayerZero, Noble, CCTP와 같은 크로스체인 채널을 통해 105 WETH, 약 140만 AUSD0, 108만 USDC를 포함한 약 270만 달러 상당의 자산을 브리지로 빼냈다. 도난당한 자산은 이후 1,135.52 ETH로 교환되었으며 현재 이더리움 메인넷 주소에 보관되어 있다.
기술적 분석과 즉각적인 대응
이번 익스플로잇은 MoveVM의 스크립트 캐싱과 상태 검증 간 상호작용의 중대한 약점을 드러낸다. 가상 머신 상태를 위조함으로써 공격자는 시스템을 속여 유효하지 않은 토큰 잔액을 수용하게 만들 수 있었다. Initia는 수정 작업을 진행하는 동안 L1과 롤업 네트워크를 모두 일시 중단했으며, 수정은 보안 감사와 함께 며칠 내에 완료될 것으로 예상된다. 팀은 자산 회수를 위해 보안 파트너와도 협력하고 있다.
이 사건은 크로스체인 인프라에 존재하는 지속적인 위험과 모듈러 블록체인 아키텍처에서 상태 무결성을 보장하는 복잡성을 부각시킨다. 자금 유출에 여러 브리지 프로토콜(LayerZero, Noble, CCTP)이 사용되었다는 점은 공격자가 자산을 생태계 전반으로 신속하게 이동시켜 회수 노력을 어렵게 만드는 방식을 보여준다.
업계 시사점과 향후 전망
Initia 익스플로잇은 MoveVM처럼 견고한 가상 머신조차 캐싱과 상태 관리에 미묘한 취약점을 품을 수 있음을 상기시킨다. 모듈러하고 상호 연결된 블록체인 네트워크가 확산됨에 따라 공격 표면이 확대되며, 특히 크로스체인 통신과 스마트 컨트랙트 실행의 교차점에서 두드러진다.
Initia에게 향후 며칠은 매우 중요하다. 팀은 취약점을 패치할 뿐만 아니라 사용자와 투자자의 신뢰를 회복해야 한다. 자산 회수 과정은 보안 업체 및 경우에 따라 법 집행 기관과의 협력에 의존하므로 장기화될 수 있다. 이 사건은 또한 새로운 VM 구현에 대한 보안 감사의 적절성과 비정상적 발행 이벤트에 대한 실시간 모니터링의 필요성에 대한 의문도 제기한다.
투자자와 사용자는 네트워크 재개 일정과 개선 계획의 세부 사항을 Initia의 공식 채널에서 주시해야 한다. 광범위한 DeFi 및 크로스체인 생태계에서는 스크립트 캐싱 메커니즘과 상태 검증 프로세스에 대한 감시가 강화될 수 있으며, 이는 Move 기반 체인에 대한 보다 엄격한 감사 기준으로 이어질 가능성이 있다.
