갈라체인 300만달러 탈취…실패 거래 서명 74개 재사용

본문

갈라체인에서 약 300만달러(약 41억원) 규모의 자산이 탈취됐다. 갈라체인은 공격자가 개인키를 훔쳤다는 증거를 확인하지 못했다고 밝혔으며, 공격자는 실패한 거래의 서명 74개를 재사용해 9개 지갑의 자산을 빼냈다. 갈라체인은 공격자가 개인키를 훔쳤다는 증거는 확인되지 않았으며, 공격자는 최대 55일 전 실패한 거래에서 수집한 서명 74개를 재사용해 9개 지갑의 자산을 빼냈다고 밝혔다. 갈라체인은 9월 14일 공개한 사후 분석 보고서에서 약 20억 GALA와 37종 안팎의 토큰이 유출됐다고 밝혔다. 가장 큰 단일 거래에서는 1억6398만 GALA가 한 번에 빠져나갔다. 취약점은 실패한 거래 처리와 서명 검증 방식이 맞물리며 발생했다. 거래가 실패해도 서명된 거래 내용은 공개 원장에 남았지만, 중복 제출을 막는 고유 키는 소비되지 않아 같은 서명을 다시 제출할 수 있었다.

당시 SDK는 실제 호출된 작업에서 서명 형식을 도출하지 않고 요청에 포함된 형식 정의를 검증에 사용했다.

갈라체인은 공격자가 8월 18일 1066건의 거래를 제출했으며 거래 간격의 중앙값은 4.5초였다고 밝혔다. 갈라체인은 2025년 11~12월 CertiK 권한 검토와 2026년 1월 Hashlock SDK 검토에서 해당 문제가 발견되지 않았다고 밝혔다. 브리지는 서로 다른 블록체인 사이에서 자산을 이동시키는 통로인 만큼, 출금 검증과 거래 승인 절차가 공격의 주요 지점이 될 수 있다. 이번 사건의 핵심은 개인키 탈취 여부와 별개로 공개 원장에 남은 실패 거래와 서명 검증의 빈틈이 결합할 수 있었다는 점이다.