크로스체인 스테이블코인 프로토콜 Allbridge Core의 Solana 유동성 풀이 플래시론 공격을 받아 약 165만 달러(약 24억 4,500만 원)를 도난당했으며, 프로토콜은 이후 서비스를 중단했다. 한국 매체 Tokenpost 보도에 따르면, 보안업체 CertiK와 PeckShield의 분석 결과 공격자는 먼저 Solana 대출 프로토콜 Kamino에서 약 112만 달러 규모의 플래시론을 빌린 뒤, Allbridge의 USDC/USDT 풀에서 반복적으로 스왑을 실행해 풀 내 두 스테이블코인의 비율을 인위적으로 왜곡시켜 차익을 챙기고 빠져나갔다. 플래시론은 단일 트랜잭션 안에서 “대출—조작—상환”을 완료하는 메커니즘으로, 담보 없이도 대규모 자금을 동원할 수 있다는 점 때문에 DeFi 가격 조작 수단으로 반복적으로 악용되고 있다.
편집팀 해설: 이 뉴스가 당신의 U카드와 얼마나 관련 있나
결론부터 말하면, 커스터디형 USDT 카드를 사용 중이라면 이번 사건은 충전과 소비에 거의 영향을 주지 않는다. 공격을 받은 것은 Allbridge 같은 탈중앙화 크로스체인 브릿지의 유동성 풀이며, 발카사의 커스터디 지갑이 아니다.
충전 경로는 두 가지로 구분해야 한다:
- 커스터디형 충전: USDT를 발카사가 지정한 지갑 주소로 보내고, 발카사가 이를 보관·정산·환전한다. MPCard Asia Elite의 Asia Elite 버전, Bybit Card, OKX Card가 모두 이 방식에 속한다. 이 경우 자금이 Allbridge 같은 제3자 크로스체인 브릿지를 거치지 않는다.
- 셀프 커스터디 + 크로스체인 브릿지 충전: 특정 브릿지로 자산을 A 체인에서 B 체인으로 옮긴 뒤 카드 지갑으로 전송하는 방식이다. 이 과정에서 마침 Allbridge Core를 경유했고, 사건이 발생한 시점과 겹쳤다면 직접적인 위험에 노출됐을 수 있다.
ChatGPT, Claude, 클라우드 서비스 구독을 U카드로 결제하려는 대다수 사용자에게는 7일 이내에 체감할 변화가 없을 것이다. 30일 이내에는 크로스체인 브릿지 계열 프로토콜이 일시적으로 출금을 제한하거나 감사 빈도를 높이는 모습이 관측될 수 있다. 90일 시점에서 진짜 주목할 부분은 이런 취약점이 거래소 측의 “자금 출처” 심사를 더 강화하는 계기가 될지 여부다. 새로 카드를 개설할 계획이라면, MPCard 리뷰에서 충전 경로 설명을 먼저 확인해 대규모 자금을 체인 상의 어느 단계에도 오래 방치하지 않도록 하는 것이 좋다.
과거 사례 비교: 플래시론 가격 조작은 새로운 각본이 아니다
플래시론 공격의 각본은 거의 매년 반복된다. 방식은 매번 거의 동일하다—대규모 자금을 대출 → 특정 풀의 시세를 왜곡 → 왜곡된 가격에서 차익 실현 → 단일 트랜잭션 내에서 원금 상환.
- 2021년 PancakeBunny: 공격자가 플래시론을 이용해 BUNNY/BNB 풀 시세를 조작, 수천만 달러를 빼돌린 초기 대표 사례다.
- 2022년 Beanstalk: 공격자가 플래시론으로 단일 트랜잭션 내에서 거액을 빌려 거버넌스 투표를 조작하고 프로토콜 금고를 통째로 비웠으며, 손실액은 1억 8,000만 달러를 넘었다.
- 이번 Allbridge 사건: 규모는 훨씬 작지만(약 165만 달러), 공격 대상 범위가 “단일 체인 풀 시세”에서 “크로스체인 브릿지 양쪽의 스테이블코인 비율”로 확장됐다.
공통점은 모두 담보 없이 원자적(atomic) 트랜잭션 내에서 순간적으로 조작될 수 있는 풀 내 가격 결정 메커니즘의 취약점을 이용했다는 점이다. 차이점은 이번 공격이 크로스체인 스테이블코인 브릿지를 표적으로 했다는 것이다—USDC와 USDT를 동시에 취급하면서 체인 간 비율을 맞춰야 하는 구조는 단일 체인의 단일 자산 풀보다 본질적으로 취약할 수 있다. 강조할 점은, 본문에서 인용한 165만 달러, 112만 달러 플래시론 등의 수치는 모두 앞서 언급한 Tokenpost 보도가 CertiK, PeckShield의 분석을 재인용한 것이며, 구체적인 온체인 세부 내용은 두 보안업체가 사후 발표할 정식 보고서를 기준으로 확인해야 한다.
컴플라이언스 관점: 브릿지 도난과 카드 자금 출처 심사
컴플라이언스 관점에서는 이런 사건의 직접적 영향보다 간접적 영향이 더 주목할 만하다. 크로스체인 브릿지가 도난당하면 탈취된 자금은 대개 분할, 믹싱, 크로스체인 이동을 거쳐 결국 거래소나 발카 채널로 유입될 수 있다. 이는 전체 경로에서 “자금 출처”에 대한 민감도를 높이게 된다.
아시아·태평양 지역 사용자는 특히 지역별로 암호자산 이동에 대한 태도 차이에 유의해야 한다. 일본은 스테이블코인과 자금 흐름 규제가 상대적으로 명확한데, 일본 컴플라이언스 가이드를 참고할 수 있다. 홍콩은 라이선스 취득 거래소 체계 하에서 점차 규제를 강화하는 추세이며, 홍콩 컴플라이언스 가이드를 참고하기 바란다. 현재 대략적인 경계는 다음과 같다:
- 명확히 허용: 라이선스를 취득한 거래소 또는 준법 발카사를 통한 커스터디형 충전.
- 법적 회색지대: 개인이 탈중앙화 크로스체인 브릿지를 이용해 자산을 이동하는 경우—대부분의 관할권에서 명확히 금지하지는 않지만, 자금이 도난 주소와 연관될 경우 이후 거래소 측에서 리스크 관리 차원의 동결이 발생할 수 있다.
- 명확히 고위험: 출처가 불분명하고 믹서를 경유한 자산을 수령하는 경우.
앞으로 주목할 핵심 시점
- Allbridge 공식 사후 발표—프로토콜 서비스 재개 시점, 보상 여부, 풀 가격 결정 메커니즘 수정 여부. Allbridge 공식 웹사이트와 공식 채널을 확인하자.
- CertiK / PeckShield 정식 사건 보고서—두 업체가 온체인 주소가 포함된 완전한 분석 보고서를 발표하면, 165만 달러의 자금 흐름을 Solscan에서 바로 대조 확인할 수 있다.
- 탈취 자금의 동향—플래시론 공격 후 30일은 자금 세탁 활동이 가장 활발한 시기로, 관련 주소에 대한 거래소 측의 대량 리스크 관리 조치가 촉발될 수 있다.
- 동일 계열 브릿지의 연쇄 반응—한 브릿지에서 사고가 발생하면, 같은 구조를 가진 크로스체인 스테이블코인 브릿지에서 몇 주 내로 유사한 취약점이 발견되는 경우가 흔하다.
편집팀 제안
- MPCard Asia Elite, Bybit Card, OKX Card 등 커스터디형 U카드를 보유한 사용자: 별도 조치는 필요 없다. 충전이 Allbridge를 경유하지 않으므로 이번 사건과는 무관하다.
- 크로스체인 브릿지로 직접 자산을 이동해 충전하던 사용자: 단기적으로 Allbridge Core를 경유하지 말고, 최근 이번 사건과 관련된 주소와의 거래 내역이 있는지 확인해야 한다. AI 구독 결제를 위해 충전할 계획이라면 거래소 내부 충전 경로를 이용하는 것이 더 안전하다—ChatGPT Plus 시나리오 가이드와 Claude Code 시나리오 가이드를 참고하기 바란다.
- 새로 U카드를 신청할 계획인 사용자: 커스터디형이면서 충전 경로가 명확한 상품을 우선 선택하고, 2026년 U카드 Top 5에서 충전 방식을 먼저 비교한 뒤, 대규모 자금을 어떤 DeFi 풀이나 크로스체인 브릿지에도 장기간 방치하지 않도록 하자.
크로스체인 브릿지는 스테이블코인 생태계에서 언제나 공격 표면이 가장 넓은 영역이다. 이를 “지나가는 통로”가 아니라 “주차장”으로 여기지 말라는 것이 이런 뉴스가 반복해서 던지는 동일한 경고다.