이더리움과 연관된 두 개의 크로스체인 브리지가 몇 시간 사이 연이어 사고를 겪었다. Tokenpost가 CryptoSlate를 인용해 보도한 내용에 따르면, 보안 기업 Blockaid는 7월 22일 21:30(UTC) 무렵 AFX의 취약점 악용 행위를 포착했다. Arbitrum 위에서 운영되는 이 탈중앙화 거래 프로토콜의 USDC 커스터디 브리지에서 2415만 USDC가 유출되었고, 관련 거래 기록은 Arbitrum 체인에 남아 있다. 같은 시기 Verus–Ethereum 브리지에서도 손실이 발생해, 두 사건을 합치면 약 3169만 달러 규모다. 한편 B² Network는 스테이킹 계약의 업그레이드 권한에 대한 무단 접근이 발생한 뒤 토큰 스테이킹 중단을 발표했다. 세 사건의 공통점은, 문제가 발생한 곳이 스테이블코인 발행사가 아니라 자산이 체인과 체인 사이를 “통과”하는 그 인프라 구간이라는 점이다.
편집 해설: 영향을 받는 것은 카드가 아니라 카드 이전의 그 경로
먼저 결론부터 말하면—이런 유형의 사건이 대다수 USDT 가상카드 보유자에게 미치는 직접적 영향은 없다. 카드 잔액은 발급사 계정 체계 내에 보관되며, AFX나 B²의 스마트 컨트랙트를 거치지 않는다. 진짜 위험 노출은 충전 동작 이전에 발생한다. 수수료를 아끼려고 USDT를 거래소에서 특정 L2로 출금한 뒤, 제3자 브리지를 통해 다른 체인으로 바꾸고, 마지막에 카드로 충전하는 그 경로 말이다. 이 경로 위의 브리지 하나하나가 각각 독립적인 컨트랙트 리스크다.
이용 습관에 따라 세 그룹으로 나눠 보면:
- 거래소 내부 이체를 이용하는 이용자(Bybit Card와 같은 거래소 계열 카드의 전형적 사용 방식): 자금이 현물 계좌에서 카드 계좌로 직접 이체되며 체인에 올라가지 않는다. 이번 사건은 어떤 추가 리스크도 발생시키지 않는다.
- TRC20 / 주요 퍼블릭 체인 직접 충전을 이용하는 이용자(MPCard의 Asia Elite 변형, 대다수 애그리게이터형 U카드): 지갑에서 발급사가 지정한 주소로 USDT를 직접 송금하며 제3자 브리지를 거치지 않는다. 이 역시 리스크와 무관하다.
- L2 + 제3자 브리지로 수수료를 절약하는 이용자: 이번에 재점검이 필요한 유일한 그룹이다. Arbitrum 위의 USDC 유동성은 사건 이후 단기적으로 압박을 받고 있으며, 크로스체인 교환 슬리피지와 브리지 대기 시간이 확대될 수 있다.
예상 시간대는 다음과 같다. 7일 이내, 일부 애그리게이터형 지갑과 U카드 서비스 제공사가 Arbitrum 및 소규모 브리지에 대한 충전 채널에 임시 리스크 관리 조치를 취할 수 있으며, 이는 입금 지연이나 “해당 체인 미지원” 안내로 나타날 수 있다. 30일 이내, AFX가 사고 후속 보고서와 배상 방안을 발표하는지, B²가 스테이킹을 재개하는지가 관련 생태계로의 자금 회귀 여부를 결정할 것이다. 90일 이내, 주요 발급사들이 “공식 지원 체인” 목록을 한층 좁힐 가능성이 크다—이는 지난 2년간 브리지 사고가 발생할 때마다 일관되게 나타난 방향이다. U카드 자금 흐름 구조를 잘 모르는 독자는 U카드란 무엇인가에서 충전 경로와 커스터디 경계에 관한 부분을 먼저 확인해도 좋다.
과거 사례 비교: 2023년 Multichain과 유사하고, 2023년 USDC 디페깅과는 다르다
2023년 7월 Multichain 사건이 가장 근접한 참고 사례다. 마찬가지로 브리지 측 키/권한 관리 실패였고, 여러 체인에서 브리지 자산이 순식간에 상환 지지력을 잃었으며, Fantom 등의 체인에서 브리지 스테이블코인이 뚜렷한 할인 거래를 보였다. 이번 AFX의 2415만 USDC는 커스터디 브리지 내 실제 자산이 유출된 경우로, 성격상 Multichain과 매우 유사하다. 발행사 자체에는 문제가 없으며, 문제가 발생한 곳은 “누가 당신 대신 자금을 보관하는가”라는 지점이다.
반면 2023년 3월 USDC 디페깅(실리콘밸리은행 사태, USDC가 한때 0.87달러 부근까지 하락)은 다른 성격의 리스크였다—준비금 측 문제였고, 어떤 체인을 이용하든 상관없이 모든 보유자에게 동시에 영향을 미쳤다. 당시에는 USDC 표시 카드 잔액이 거의 모두 영향을 받았지만, 이번에는 그렇지 않다.
2022년 Ronin(6.25억 달러), Wormhole(3.26억 달러)과 비교하면 이번 3169만 달러 규모는 크지 않은 편이다. 그러나 B²의 “업그레이드 권한에 대한 무단 접근”은 더욱 경계해야 할 신호다. 업그레이드 가능한 컨트랙트의 관리자 권한이, 코드 취약점보다 더 빈번한 공격 표면으로 부상하고 있다. 이는 자금을 온체인 수익 프로토콜에 장기간 두었다가 정기적으로 인출해 카드 소비에 쓰는 이용자라면 누구에게나 유효한 경고다.
컴플라이언스 관점: 브리지는 라이선스 대상이 아니며, 구제 경로는 사실상 없다
경계를 명확히 할 필요가 있다. 스테이블코인 발행사(Tether, Circle)는 대다수 관할권에서 이미 라이선스 또는 등록 체계에 편입되어 있다—홍콩 「스테이블코인 조례」 하의 발행인 라이선스 제도, 싱가포르 MAS의 스테이블코인 규제 프레임워크가 각각 추진 중이며 관련 요점은 홍콩 컴플라이언스 가이드와 싱가포르 컴플라이언스 가이드를 참고할 수 있다. 가상카드 발급사와 매입사(acquirer) 역시 대부분 EMI / 지급 라이선스의 규율을 받는다.
그러나 크로스체인 브리지는 규제의 공백 지대에 놓여 있다. 발행인도 아니고 라이선스를 보유한 지급기관도 아니며, 대다수가 순수 코드 형태로 운영되어 고객 자금 분리 의무도, 배상 준비금도, 이의를 제기할 감독 창구도 없다. 자금이 브리지 컨트랙트에서 일단 유출되면 의지할 수 있는 것은 두 가지뿐이다—발행사의 블랙리스트 권한(Circle은 지정 주소의 USDC를 동결할 기술적 능력을 갖추고 있지만, 실행 여부는 자체 판단에 달려 있다)과 프로젝트 측이 자발적으로 마련하는 배상안이다. 이는 “위법”이 아니라 “적용할 법이 없는” 상태다. 이를 라이선스를 보유한 발급사의 자금 안전과 동일시하는 것이 가장 흔한 인식 오류다.
앞으로 주시해야 할 몇 가지 지점
- Circle이 관련 주소에 대해 동결 조치를 취하는지 여부—2415만 USDC 중 얼마가 회수될 수 있을지를 결정하며, 통상 사건 발생 후 며칠 안에 윤곽이 드러난다.
- B² Network의 스테이킹 재개 공지—업그레이드 권한 접근 사건 이후 멀티시그를 교체했는지, 타임락을 도입했는지가 보안 개선의 질을 가늠하는 핵심이다.
- AFX의 공식 사고 후속 보고서(post-mortem)—공격 벡터를 공개하는지, 이용자 배상 비율을 발표하는지 여부.
- 주요 U카드 서비스 제공사의 지원 체인 공지—향후 30일 내 발급사가 특정 체인의 충전 창구를 조용히 내릴 경우 대체로 대대적인 공지 없이 진행되므로, 충전 전에 공식 페이지를 직접 확인해야 한다.
편집 제언
- MPCard, Bybit Card 등 주요 카드를 보유하고 거래소 이체나 메인체인 직접 충전을 이용하는 이용자: 별도 조치가 필요 없다. 자금이 이번 사건에 연루된 어떤 컨트랙트도 거치지 않았기 때문이다.
- 제3자 브리지로 “우회해 가스비를 아끼는” 습관이 있는 이용자: 이번 달은 공식 채널로 되돌리는 것을 권장한다. 절약되는 몇 달러의 수수료는 브리지 컨트랙트 리스크와 균형이 맞지 않는다. OneKey Card와 같은 셀프 커스터디 경로를 이용하는 이용자는 특히 주의해야 한다—셀프 커스터디는 리스크 역시 스스로 부담한다는 의미이며, 이의를 제기할 고객센터가 없다.
- 소비 예정 자금을 온체인 프로토콜에 예치해 두고 있는 이용자: 체류 시간을 최소화하라. 이번 B² 사건이 노출한 것은 관리자 권한 리스크이지 코드 버그가 아니며, “감사 보고서 확인”만으로는 걸러낼 수 없다.
- ChatGPT Plus 등 달러 결제 구독 갱신을 앞둔 이용자: 3~5일 앞서 충전을 완료하라. 발급사가 최근 일부 체인에 임시 리스크 관리 조치를 취할 경우, 결제일 당일보다 여유를 두는 편이 더 안전하다.
한 마디로 정리하면: 이는 스테이블코인의 문제도, 카드의 문제도 아니다. “충전 전에 아무도 책임지지 않는 구간을 한 번 더 거쳤다”는 문제다.