지캐시 위조 버그 4년 잠복…AI가 찾은 보안 틈

본문

콜드카드 펌웨어 오류와 AI 기반 거래 자동화 악용 사례도 이어졌다. 인공지능(AI)이 수년간 공개된 가상자산 코드를 다시 분석하면서 인간 연구자가 놓친 취약점과 공격 경로가 잇따라 드러나고 있다. 지캐시(Zcash·ZEC)에서는 무제한 위조 코인을 만들 수 있는 결함이 발견됐고, 콜드카드에서는 오래된 펌웨어 오류와 연결된 비트코인 탈취가 발생했다. 실디드랩스는 5월 29일 AI 보조 감사 과정에서 지캐시 오처드 회로의 취약점이 발견됐다고 밝혔다. 이 결함은 영지식 증명의 검증 조건이 충분히 제한되지 않은 'soundness failure'로, 공격자가 정상 증명처럼 보이는 데이터를 만들어 탐지되지 않는 위조 ZEC를 무제한 생성할 수 있는 문제였다. 이후 로컬 테스트 환경에서 실제 공격 코드를 작성해 위조 ZEC 생성 가능성이 확인됐고, 개발팀은 6월 2일까지 긴급 수정 작업을 마쳤다.

코인카이트는 일부 시드가 충분한 무작위성을 갖지 못해 공격자가 오프라인에서 재생성할 수 있었다고 밝혔고, 갤럭시리서치는 확인된 피해를 1778.84 BTC, 8600개 이상 주소, 1억1270만달러(약 1563억원) 규모로 집계했다. 에이전트 웜홀은 피해 규모를 당시 기준 약 15만~20만달러(약 2억800만~2억7700만원)로 정리했다. AI가 공개된 외부 입력을 번역 요청으로 처리한 뒤 결과가 별도의 거래 시스템에서 실행 가능한 명령으로 받아들여졌고, 추가 확인 절차와 지출 한도가 충분하지 않았던 구조가 문제를 키웠다. 체이널리시스는 최근 6개월 동안 소스코드가 검증되지 않은 스마트계약에서 약 3670만달러(약 509억원)가 탈취됐다고 분석했다.

TRM랩스는 '클로드가 만든 차익거래 봇'을 내세운 유튜브 영상 9개와 관련해 2026년 2~8월 224명이 234개 악성 스마트계약에 총 274.60 ETH, 약 51만7205달러(약 7억1700만원)를 전송했다고 밝혔다.

지캐시 사례에서 위조 코인 생성은 로컬 테스트 환경에서 확인됐지만 메인넷 악용 여부는 별도 사안이고, 콜드카드 사례에서도 피해 규모와 AI 사용 여부는 같은 방식으로 다뤄야 한다.