--- title: "클레이스왑 BGP 하이재킹 사건" title_en: "KLAYswap BGP hijacking" aliases: ["KLAYswap BGP hijacking", "KlaySwap BGP hijack", "KLAYswap exploit 2022", "KLAYswap hack", "오지스 클레이스왑 사고", "카카오 SDK 해킹", "클레이스왑 22억 해킹", "클레이스왑 해킹"] type: 사건 url: https://wiki.tokenpost.kr/w/klayswap-bgp-hijack-2022 canonical: https://wiki.tokenpost.kr/w/klayswap-bgp-hijack-2022 language: ko publisher: "토큰포스트" citation: "토큰포스트 위키, “클레이스왑 BGP 하이재킹 사건”, 2026-11-02 수정, https://wiki.tokenpost.kr/w/klayswap-bgp-hijack-2022" updated: 2026-11-02T01:13:02.84+00:00 created: 2026-11-02T01:13:00.466484+00:00 status: reviewed --- # 클레이스왑 BGP 하이재킹 사건 클레이스왑 BGP 하이재킹 사건(KLAYswap BGP hijacking)은 2022년 2월 3일 [오지스](https://wiki.tokenpost.kr/w/ozys)의 디파이 서비스 클레이스왑 이용자 지갑에서 약 22억 원어치 가상자산이 빠져나간 사고다. 공격자는 스마트 컨트랙트가 아니라 인터넷 경로를 조작해 카카오 SDK로 위장한 악성 파일을 이용자 브라우저에 보냈다. 한국인터넷진흥원은 디파이 해킹 신고가 접수된 첫 사례라고 밝혔다. **다른 이름**: KLAYswap BGP hijacking · KlaySwap BGP hijack · KLAYswap exploit 2022 · KLAYswap hack · 오지스 클레이스왑 사고 · 카카오 SDK 해킹 · 클레이스왑 22억 해킹 · 클레이스왑 해킹 **분류**: 사건 ## 1. 공격 방식 [이 문단의 원문](https://wiki.tokenpost.kr/w/klayswap-bgp-hijack-2022#section-how) 클레이스왑은 마케팅과 고객 응대에 카카오의 자바스크립트 SDK를 쓰고 있었다. 인터넷협회 계열 MANRS의 분석에 따르면 공격자는 2월 3일 01:04 UTC(한국시간 10:04)부터 카카오 서버 IP 대역 일부를 더 구체적인 /24 경로로 전 세계 라우팅 표에 알렸다. 라우터는 더 구체적인 경로를 우선하므로 트래픽이 공격자 쪽으로 쏠렸다. 이 경로는 해당 대역을 관리하는 드림라인(AS9457)이 낸 것처럼 꾸며졌지만, 드림라인과 직접 관계가 없는 자요(AS6461) 네트워크에서 나타났다. MANRS는 자요망의 누군가가 경로를 탈취해 드림라인 명의로 내보낸 것으로 봤고, 대역과 번호 주인이 같아 걸러 내기 가장 어려운 유형이라고 평가했다. 이 수법은 2018년 [마이이더월렛 탈취](https://wiki.tokenpost.kr/w/myetherwallet-dns-hijack-2018)와 같은 계열이다.[^1][^2] ## 2. 피해와 대응 [이 문단의 원문](https://wiki.tokenpost.kr/w/klayswap-bgp-hijack-2022#section-damage) 가짜 SDK를 받은 이용자가 클레이스왑 화면에서 토큰 기능을 실행하면 토큰이 공격자 지갑으로 전송됐다. 오지스와 보안 업체 티오리의 보고서는 첫 이상 거래를 오전 11시 31분쯤으로 적었고, 약 1시간 30분 동안 325개 지갑에서 407건이 나가 약 22억 원이 빠져나갔다고 집계했다. 공격자는 자산을 이더리움으로 옮겼다. 보고서는 약 7개월 전부터 실험 흔적이 블록체인에 남아 있었고 공격용 지갑은 1월 4일쯤 만들어졌다고 분석했다. 악성코드에는 '다코드(Darkode)'라는 해커 조직의 서명이 있었지만 실제 그 조직인지 위장인지는 밝혀지지 않았다. 오지스는 4일 KISA에 신고했고, 유출 자산을 토큰 수량 그대로 먼저 보상하겠다고 밝혔다.[^3][^2] ## 3. 남긴 쟁점 [이 문단의 원문](https://wiki.tokenpost.kr/w/klayswap-bgp-hijack-2022#section-aftermath) 카카오는 SDK 자체가 공격받거나 취약했던 것이 아니라 SDK를 사칭한 파일이 쓰였다고 설명했다. 같은 날 카카오맵과 QR 체크인에도 오류가 있었는데, 카카오는 해외 인터넷 사업자 쪽 경로 문제로 분석하면서도 클레이스왑 건과는 별개라고 선을 그었고 경찰 고소 계획을 밝혔다. 사고 직후 BGP 하이재킹 여부를 단정하기 어렵다는 전문가 의견도 있었으나, 이후 MANRS는 라우팅 데이터를 들어 하이재킹으로 분석했다. 지갑과 컨트랙트가 멀쩡해도 웹페이지가 불러오는 외부 스크립트가 공격 경로가 될 수 있음을 보여 준 사건이다. 보안 전문가들은 통신사 차원의 라우팅 보안과 RPKI 도입을 요구했다. 범인이 밝혀졌는지는 확인되지 않았다.[^2][^4][^1] ## 4. 연표 - **2022.02** (사건) 2월3일 BGP 하이재킹으로 클레이스왑 이용자 약 22억 원 피해 - **2022.02** (이정표) 2월4일 오지스, KISA 신고와 토큰 수량 기준 보상 방침 발표 ## 각주 [^1]: [KlaySwap - Another BGP Hijack Targeting Crypto Wallets](https://manrs.org/?p=13462) — MANRS · 2022-02-17 [^2]: [22억원 털린 클레이스왑, 카카오 서버도 해킹됐다? 알고보니](https://v.daum.net/v/20220207163656425) — 머니투데이 · 2022-02-07 [^3]: [국내 1위 디파이서 22억 턴 그놈들, 7개월 전부터 치밀히 준비](https://v.daum.net/v/20220206130210826) — 이데일리 · 2022-02-06 [^4]: [카카오맵, QR 오류 외부 탓, "고소장 제출 예정"](https://v.daum.net/v/20220214121015931) — JTBC · 2022-02-14 --- 인용: 토큰포스트 위키, “클레이스왑 BGP 하이재킹 사건”, 2026-11-02 수정, https://wiki.tokenpost.kr/w/klayswap-bgp-hijack-2022 원문: https://wiki.tokenpost.kr/w/klayswap-bgp-hijack-2022 최종 수정: 2026-11-02T01:13:02.84+00:00 발행: 토큰포스트 위키. 인용할 때 문서 제목과 원문 주소를 함께 밝혀 주세요.