Ronin Bridge 해킹 사건 리서치

Thu, 03 Apr 2025 05:29:45 GMT

**_양지훈(Yang jihun) | 개발 부서_**

![Image](https://upload.cafenono.com/image/slashpagePost/20250403/140907_s3FQQHF7I8U7K4YFTn?q=80&s=1280x180&t=outside&f=webp)

> **면책조항** : 본 글은 일반적인 정보 제공을 목적으로 작성되었으며, 법률, 사업, 투자 또는 세금 관련 조언을 제공하지 않습니다. 본 글을 기반으로 투자 결정을 내리거나 이를 회계, 법률, 세무 지침으로 사용해서는 안됩니다. 특정 자산이나 증권에 대한 언급은 정보 제공의 목적일 뿐, 투자에 대한 추천이 아님을 밝힙니다. 본 글에서 표현된 의견은 저자의 개인적인 의견이며, 관련된 기관, 조직 또는 개인의 견해를 반영하지 않을 수 있습니다. 본 글에 반영된 의견은 사전고지 없이 변경될 수 있음을 유의하십시오.

---

## **_Unit1. 배경정보_**

---

2022년 3월, 블록체인 역사상 두 번째로 큰 규모의 암호화폐 해킹 사건이 발생했다. 피해 규모는 약 6억1500만 달러, 한화로는 약 7400억 원에 달하는 막대한 금액이었다. 이 사건은 단순한 금융사고를 넘어, 당대 블록체인 생태계의 구조적 문제와 과도한 확장 욕구가 낳은 결과라는 점에서 큰 충격을 안겨주었다.

사건의 중심에는 블록체인 기반 모바일 게임 _액시 인피니티(Axie Infinity)_ 와 이를 운영하는 _로닌 네트워크(Ronin Network)_ 가 있었다. 액시 인피니티는 사용자가 NFT 형태의 캐릭터 ‘액시즈’를 수집하고 전투시키며 암호화폐를 획득할 수 있는 게임이다. 특히 코로나 팬데믹 동안 실직자가 많았던 필리핀 등지에서는 이 게임이 생계 수단이 될 정도로 폭발적인 인기를 끌었다. 수많은 유저가 ‘게임을 하면서 돈을 버는(play-to-earn)’ 구조에 매료되었고, 액시 인피니티는 단숨에 세계적인 블록체인 게임으로 떠올랐다.

이처럼 급증하는 사용자 수요를 감당하기 위해, 개발사인 베트남의 _스카이 마비스(Sky Mavis)_ 는 로닌 네트워크를 통해 이더리움과 액시 인피니티 내에서 얻은 디지털 자산을 교환할 수 있도록 브리지(Bridge) 구조를 설계했다. 그러나 2021년 11월부터 폭발적으로 늘어난 트래픽을 처리하는 과정에서 서버 부하가 커졌고, 이를 완화하기 위해 보안 프로토콜이 일시적으로 완화되었다. 상황이 안정된 후에도 강화된 보안 절차를 복구하지 못한 채 방치되면서, 결국 해커들이 이 틈을 타 백도어를 통해 침투했다.

### _블록체인 생태계의 구조적 취약점_

이 사건은 단순한 기술적 허점 이상의 문제를 드러냈다. 전문가들은 이를 두고 “암호화폐 기업의 전형적인 문제”라 지적한다. 보안보다는 수익 확대에 집중한 설계, 검증되지 않은 코드 사용, 과부하에 취약한 인프라 등은 블록체인 기반 서비스들이 흔히 반복하는 실수였다.

뿐만 아니라 로닌 브리지 해킹은 암호화폐 생태계 자체의 구조적 한계도 보여준다. 블록체인 거래는 되돌릴 수 없는 ‘불가역성’을 특징으로 하기 때문에, 한 번 탈취된 자산은 사실상 회수가 불가능하다. 이 점은 해커들에게 막대한 유인을 제공하며, 랜섬웨어와 달리 협상 없이도 바로 ‘현금화’가 가능한 고수익 범죄 수단으로 작용한다.

일립틱(Elliptic)의 분석에 따르면, 이 사건은 역대 다섯 손가락 안에 드는 대규모 해킹이며, 앞서 발생한 폴리네트워크(6.11억 달러), 코인체크(5.32억), 마운트곡스(4.7억) 등과 함께 블록체인 기술의 안전성에 대한 회의감을 키우는 결정적인 사건으로 기록되었다.

결국 로닌 브리지 사건은 단순한 해킹을 넘어, 블록체인 기술이 대중화되는 과정에서 발생하는 보안의 맹점과 이를 둘러싼 생태계의 미성숙함을 고스란히 보여준 사례로 평가된다. 이는 향후 암호화폐 기반 서비스들이 반드시 보안 설계와 트래픽 관리 역량을 갖춘 구조로 진화해야 함을 강하게 시사한다.

---

## **_Unit2. 해킹 사고가 일어난 블록 및 트랜잭션_**

---

2022년 3월 23일, 로닌 브리지(Ronin Bridge)를 통해 두 건의 의심스러운 트랜잭션이 발생하며, 역사상 최대 규모 중 하나의 DeFi 해킹 사건이 발생했다. 해당 트랜잭션은 이더리움 메인넷의 **블록 번호 #14442850**에 기록되었으며, 공격자는 총 **173,600 ETH**와 **2,550만 USDC**를 탈취했다.

첫 번째 트랜잭션은 약 **2,550만 USDC**를, 두 번째 트랜잭션은 **173,600 ETH**를 해커의 지갑으로 송금한 것으로 확인되었다. 이 중 하나의 대표 트랜잭션 해시는 다음과 같다:

🔗 [0x6e8d3e79f3a5a2c41848c76305b7fc2b9a62b03c1a6d099c3e5cd7499f46bfc3](https://etherscan.io/tx/0x6e8d3e79f3a5a2c41848c76305b7fc2b9a62b03c1a6d099c3e5cd7499f46bfc3)

이 트랜잭션들은 CAMS(Crypto Asset Monitor Solution) 등 블록체인 보안 솔루션에 의해 추적되었으며, 이후 거래소로의 자금 이동과 자산 분산 등이 추가로 확인되었다.

## **_Unit3. 해킹 과정 및 플로우 분석_**

---

로닌 브릿지 해킹 사건은 탈중앙화 네트워크에서의 검증자 노드 보안 취약점을 악용한 조직적 사이버 공격이었다. 공격자는 로닌 네트워크의 9개 검증자 중 5개의 프라이빗 키를 확보함으로써, 5/9의 멀티시그니처 요건을 충족시키고 가짜 출금 트랜잭션을 승인하는 데 성공했다.

### _Unit3.1. 해킹 흐름 요약_

1. **검증자 키 탈취**

Sky Mavis 내부 시스템 또는 제3의 취약점을 통해 검증자 노드에 대한 키 접근 권한이 해커에게 넘어간 것으로 추정된다.

Ronin Network에서 자금을 유출하기 위해서 사용한 validator의 주소는 다음과 같다.

0x11360eacdedd59bc433afad4fc8f0417d1fbebab
0x1a15a5e25811fe1349d636a5053a0e59d53961c9
0x70bb1fb41c8c42f6ddd53a708e2b82209495e455
0xb9e59d56fd1632fc250935182bdd5c59188b2302 | Axie DAO
0xf224beff587362a88d859e899d0d80c080e1e812

1. **허위 트랜잭션 생성**

2022년 3월 23일, 2건의 허위 트랜잭션이 승인되어 총 173,600 ETH와 25.5M USDC가 해커의 지갑으로 전송되었다.

![Image](https://upload.cafenono.com/image/slashpagePost/20250403/135706_q9sLa4ZAokoJg7DhKO?q=80&s=1280x180&t=outside&f=webp)

1. **자산 분산 (Hopping)**

탈취된 자산은 수십 개의 익명 지갑으로 분산되며 흔적을 흐리기 위한 작업이 이루어졌다.

1. **토큰 스왑 (자금 세탁)**

이후 Uniswap, 1inch 등의 DEX를 통해 ETH를 USDC로 교환하며 자금을 세탁하였다.

![Image](https://upload.cafenono.com/image/slashpagePost/20250403/140403_OhnlhS7EyxA6nDNUI8?q=80&s=1280x180&t=outside&f=webp)

1. **거래소 유입**

스왑된 자산은 다음과 같은 중앙화 거래소의 핫월렛으로 송금되었다:

•**FTX**: 0xc098b2a3aa256d2140208c3de6543aaef5cd3a94 (약 1,219 ETH)

•**Huobi**: 두 개의 지갑에 총 3,749 ETH

•**Crypto.com**: 0x6262998ced04146fa42253a5c0af90ca02dfd2a3 (약 0.9 ETH)

![Image](https://upload.cafenono.com/image/slashpagePost/20250403/140136_iTYqJ9eeTApGHnYFmr?q=80&s=1280x180&t=outside&f=webp)

1. **실시간 추적(CAMS)**

웁살라시큐리티의 CAMS 대시보드는 트랜잭션 해시 기반으로 자산의 이동 경로를 실시간 추적하였으며, 거래소 유입 지갑, 토큰 분포, DEX 스왑 내역 등을 분석하여 포렌식 자료를 제공하였다.

![Image](https://upload.cafenono.com/image/slashpagePost/20250403/140449_Rtdu0JYLTLLtPjMkfD?q=80&s=1280x180&t=outside&f=webp)

### _Unit3.1. 로닌 브릿지 플로우 분석_

![Image](https://upload.cafenono.com/image/slashpagePost/20250403/141324_rTP8m77yDUfXElqZOz?q=80&s=1280x180&t=outside&f=webp)

## **_Unit4. 결과와 영향_**

**1) 프로젝트 측 대응: 긴급 보안 강화 및 보상 조치**

로닌 브릿지를 운영하던 Sky Mavis는 해킹 사실이 공개된 직후, 브리지를 즉시 중단하고 시스템 전반에 대한 긴급 점검을 실시했다. 이어서 다음과 같은 조치를 취했다:

•**검증자 노드 재구성 및 보안 강화**

Sky Mavis는 검증자 노드 수를 늘리고 멀티시그니처 체계를 재설계하여, 이전보다 높은 보안 수준을 확보하는 방향으로 구조를 수정했다.

•**브리지 일시 폐쇄 및 재오픈**

해킹 발생 직후, 로닌 브리지는 일시적으로 폐쇄되었으며, 보안 검토와 감사를 거친 후 수 개월 뒤에 다시 운영이 재개되었다.

•**전체 피해 보상 발표**

Sky Mavis는 피해 사용자에 대한 전액 보상을 약속했고, 이를 위해 **1억 5천만 달러 규모의 자금**을 조달했다. 이 중에는 **바이낸스로부터의 투자 유치**도 포함되어 있었다.

•**외부 감사 및 포렌식 분석 의뢰**

Chainalysis, Elliptic 등의 외부 블록체인 보안 회사와 협력하여 자산 추적과 해킹 경로 분석을 실시하고, 사법기관과의 협력도 공식화했다.

---

**2) 커뮤니티의 반응: 신뢰 하락과 비판, 동시에 회복 노력**

로닌 네트워크 및 액시 인피니티 커뮤니티는 초기에 큰 충격에 빠졌으며, 프로젝트에 대한 **신뢰도는 급락**했다. 특히 다음과 같은 목소리가 많았다:

•“탈중앙화를 내세우면서도, 극소수의 검증자 노드에 의존한 구조 자체가 위험했다.”

•“수익에만 몰두하고, 보안에 대한 투자와 감시는 소홀했다.”

•“보안 사고 이후에도 사전 공지 없이 며칠이나 지나서야 해킹 사실을 공개했다.”

하지만 Sky Mavis가 빠르게 피해 보상과 구조 개편을 발표하자 일부 유저들은 이를 **책임 있는 태도**로 평가했고, 결과적으로 게임 커뮤니티는 시간이 지나며 어느 정도 회복되는 양상을 보였다.

---

**3) 블록체인 생태계에 미친 장기적 영향**

로닌 브리지 해킹 사건은 단순한 개별 사건을 넘어, 블록체인 업계 전체에 다음과 같은 깊은 영향을 남겼다:

•**브리지 기술의 구조적 취약점 부각**

다양한 블록체인 간 자산 이동을 가능하게 해주는 브리지는 DeFi 생태계의 핵심 인프라지만, 중앙 집중적 구조를 가진 브리지들은 가장 취약한 공격 지점으로 인식되기 시작했다.

•**보안 투자 및 실사 강화 요구 증가**

이후 많은 프로젝트들이 보안 감사를 필수화하고, 스마트 컨트랙트와 노드 운영 정책에 대해 외부 감사를 도입하는 등 적극적인 보안 투자를 진행하게 되었다.

•**규제 논의 가속화**

6억 달러 규모의 대형 사건은 규제 당국의 주목을 끌었고, 미국 OFAC는 북한 연계 해킹 그룹인 ‘라자루스(Lazarus Group)’가 이 해킹에 관여했다고 발표하며, **사이버 안보와 암호화폐 규제 강화 논의에 불을 지폈다.**

## **_Reference._**

---

> **Reference Tip
**

1. 형식에 맞추어 제작해주세요.

2. 중간에 없는 포맷(i.g. 발행일이 없는 경우)은 생략합니다.

---

### 웹페이지

- **Format: 저자명. (게시일). 웹페이지 제목.사이트명. URL**
- i.g.** **인공지능. n.d. 한국정보통신기술협회 정보통신용어사전. [https://terms.tta.or.kr/dictionary/dictionaryView.do?subject=%EC%9D%B8%EA%B3%B5%EC%A7%80%EB%8A%A5](https://terms.tta.or.kr/dictionary/dictionaryView.do?subject=%25EC%259D%25B8%25EA%25B3%25B5%25EC%25A7%2580%25EB%258A%25A5)

- Sentinel Protocol Team. Apr1, 2022. 로닛 브릿지 해킹사건 추적기-Huobi,FTX,Crypto.com으로 자금이 빠져나갔다고?. Medium.[
- https://medium.com/sentinel-protocol/로닌-브릿지-해킹사건-추적기-38700a5b66c7](https://medium.com/sentinel-protocol/%25EB%25A1%259C%25EB%258B%259D-%25EB%25B8%258C%25EB%25A6%25BF%25EC%25A7%2580-%25ED%2595%25B4%25ED%2582%25B9%25EC%2582%25AC%25EA%25B1%25B4-%25EC%25B6%2594%25EC%25A0%2581%25EA%25B8%25B0-huobi-ftx-crypto-com%25EC%259C%25BC%25EB%25A1%259C-%25EC%259E%2590%25EA%25B8%2588%25EC%259D%25B4-%25EB%25B9%25A0%25EC%25A0%25B8%25EB%2582%2598%25EA%25B0%2594%25EB%258B%25A4%25EA%25B3%25A0-38700a5b66c7)

- BBC News 코리아. Mar31, 2022. 로닌 네트워크: 6억달러 상당 암호화폐 해킹… 시사점은?
- [https://www.bbc.com/korean/news-60937630](https://www.bbc.com/korean/news-60937630)