Mixin Network, 클라우드 데이터베이스 침해로 2억 달러 손실 — 사용자들에게 절반을 감당하라고 통보

2023년 9월 23일 새벽, 공격자들이 Mixin Network의 클라우드 서비스 제공업체 데이터베이스를 침해해 약 2억 달러 상당의 메인넷 자산을 탈취했다. 100만 명의 사용자, 약 10억 달러의 수탁 자산, 48개 블록체인 지원을 주장하는 크로스체인 전송 네트워크인 Mixin은 모든 입금과 출금을 중단하고 Google과 보안 업체 SlowMist를 불러들였다.

대응 과정은 회사의 실제 구조를 드러냈다. 온체인 메시지로 도둑에게 전리품을 돌려주면 2천만 달러의 현상금을 주겠다고 제안했고, 창립자 Feng Xiaodong은 중국어 라이브스트림에서 Mixin이 도난 자금의 최대 50%를 복구하고 나머지는 회사가 나중에 매입하겠다고 약속한 채권 토큰으로 전환하겠다고 사용자들에게 말했다. 비평가들은 "탈중앙화" 인프라가 단일 클라우드 데이터베이스에서 실패한 아이러니를 지적했다.

이번 침해는 2023년 제3자 암호화폐 침해 사고 중 최악의 시기에 발생했다. 며칠 전 Elliptic은 5,400만 달러 규모의 CoinEx 탈취 사건을 북한의 Lazarus Group 소행으로 지목했으며, Mixin은 OpenSea와 Nansen에 이어 일주일 만에 공급업체를 통해 공격당한 세 번째 암호화폐 기업이었다. Mixin의 재무 상태로는 대형 거래소처럼 자본의 5분의 1에 해당하는 손실을 흡수할 수 없었고, 그래서 절반이 종이 형태로 사용자들의 장부로 넘어갔다.

약 2억 달러의 사용자 암호화폐 — 회사 자본의 약 20%; 입금과 출금 동결; 사용자들에게 절반은 현금으로, 절반은 IOU로 돌려주겠다고 제안

단일 클라우드 서비스 제공업체 데이터베이스 뒤에 수탁을 두는 것은 탈중앙화 프로토콜이 제거하기 위해 존재하는 바로 그 중앙 지점을 재현한 것이다.

2억 달러의 전리품에 2천만 달러의 현상금을 건 것은 회사가 기술적으로 자금을 회수할 수 없으며 도둑이 협상하기를 바란다는 것을 인정한 것이다.

50% 복구 약속과 채권 토큰은 운영상의 실패를 회사를 살려두면서 사용자가 부담하는 부채로 전환했다.

같은 달 OpenSea, Nansen, CoinEx에서 발생한 공급업체 침해는 제3자 인프라가 공격 표면 밖이 아니라 그 일부임을 보여주었다.

프로토콜은 스스로를 탈중앙화라고 부를 수 있지만, 사용자들의 돈은 하나의 클라우드 데이터베이스 뒤에 놓여 있을 수 있다. 수탁이 중앙화되면 손실은 가장 약한 청구권을 가진 사람, 대개 사용자에게 떨어진다.

Mixin이 취약점 수정 작업을 하는 동안 입금과 출금은 계속 중단되었으며, 창립자의 라이브스트림과 온체인 현상금 메시지가 회사의 공개적인 회계였다. 50% 복구와 채권 토큰 계획은 Mixin이 IOU를 매입할 수 있을 때까지 사용자 돈의 사라진 절반을 사용자 자신의 장부에 올려놓았다. 이번 침해는 제3자 암호화폐 인프라에 혹독한 분기를 마감했다. OpenSea와 Nansen은 공급업체를 통해 침해당했고, CoinEx는 Elliptic이 Lazarus 소행으로 지목한 습격에서 5,400만 달러가 유출되었으며, Mixin이 무너지기 전 104일 동안 다섯 건의 해킹으로 거의 2억 4천만 달러가 탈취되었다.