트루빗 토큰들, 2,600만 달러 규모의 이더리움 익스플로잇 이후 99% 급락

2026년 1월 9일 Truebit은 스마트 컨트랙트의 취약점이 악용되어 약 8,535 ETH가 탈취되었고, 위반 당시 대략 2,660만 달러 규모로 평가된 심각한 보안 사고를 공개했다. 이 공격은 프로토콜의 가격 결정 로직인 getPurchasePrice 함수에 대한 취약점을 이용해 공격자가 제로 비용으로 TRU 토큰을 발행하고 바운딩 커브 메커니즘을 통해 이를 다시 ETH로 전환함으로써 계약의 준비금을 신속한 매수-매도 사이클 속에서 고갈시켰다.

Truebit의 공식 채널은 X에 게시된 글에서 이 사고를 확인했다: “오늘 우리는 하나 이상의 악의적 행위자가 관련된 보안 사고를 인지했다. 영향을 받은 스마트 컨트랙트 주소는 0x764C64b2A09b09Acb100B80d8c505Aa6a0302EF2이며, 추가 공지가 있을 때까지 일반 대중이 이 컨트랙트와 상호 작용하지 않을 것을 강력히 권고한다. 우리는 법 집행 기관과 연락 중이다.”

Lookonchain와 같은 체인 분석가들의 온체인 분석은 유출된 총 금액이 처음 지목된 잔고를 초과했다는 것을 보여주었고, 이는 도난의 전체 규모를 가리기 위해 다수의 거래가 사용되었음을 시사한다. PeckShield 데이터에 따르면 도난당한 ETH의 대부분은 단일 주소로 모인 다음 일부가 Tornado Cash를 통해 흔적을 은폐하기 위해 흐름이 되었다. 공격자는 약 30만 달러 상당의 TRU 토큰도 2차로 유출했다.

시장 반응은 즉각적이고 심각했다. Nansen 데이터에 따르면 TRU의 가격은 거의 0.16달러에 근접하던 것이 한때 분당 몇 센트 수준으로 급락했고, 24시간도 채 지나지 않아 사실상 시장 가치의 거의 전부가 소멸했다. 공황 매도가 일어나며 거래량이 급증했고, 많은 보유자들이 어떤 가격으로도 포지션을 매도하지 못했다.

이번 침해는 2026년 초의 가장 큰 DeFi 해킹 중 하나로 기록되며, 2025년 말 Flow의 위조 토큰 악용과 Trust Wallet Chrome 확장 프로그램 해킹 등과 같은 중대 사건에 뒤이어 발생했다. 2025년 11월의 해킹 손실이 1억 9,400만 달러에서 12월에는 7,600만 달러로 줄어들었음에도, 고위 프로파일의 해킹은 여전히 스마트 컨트랙트 코드의 지속적 취약성을 부각시키고 엄격한 보안 감사의 필요성을 시사한다.

Truebit 개발팀은 모든 관련 컨트랙트를 일시 중지하고 내부 조사를 시작했으며, 제3자 포렌식 전문가를 고용해 전체 기술적 포스트모텀을 수행하고 있다. 도난 자금의 부분 회수를 협상하려는 노력은 진행 중이나, 침해의 분산 특성과 프라이버시 믹서의 사용으로 인해 추적 및 회수가 복잡해진다. 한편, 사용자와 개발자는 DeFi 프로토콜의 위험 관리 관행을 재평가하고 있으며, 향후의 악용을 방지하기 위해 정식 감사, 버그 바운티 프로그램, 타임락 업그레이드 메커니즘의 중요성을 강조하고 있다.