오르빗 브리지 해킹

1.33분 동안 벌어진 일#

오르빗 브리지는 이용자가 맡긴 자산을 동결하고 같은 수량의 'o자산'을 내주는 구조로 이더리움과 클레이튼(카이아의 전신) 사이 토큰 이동을 맡았다. 공격자는 1월 1일 오전 5시 52분부터 6시 25분까지 여섯 차례에 걸쳐 볼트의 이더리움, 랩트비트코인, USDT, USDC, 다이를 빼냈다. 오지스 개발팀은 7시 5분쯤 사건을 알았다.

피해액은 약 8,150만 달러로, 예치 자산 1억 5,100만 달러의 절반 수준이었다. 원화 환산액은 보도 시점에 따라 1,060억~1,180억 원으로 달라진다. 탈취 자산은 이더리움과 다이로 바뀐 뒤 8개 지갑에 나뉘어 머물렀다.

2.원인을 둘러싼 주장#

초기에는 외부 연구자들이 다중서명 서명자 10명 중 7명의 권한이 뚫렸다고 추정했고, 라자루스와 수법이 비슷하다는 제보로 국가정보원에도 신고가 들어갔다. 그러나 최진한 오지스 대표는 1월 말 입장문에서 스마트 컨트랙트 취약점이나 검증 키 탈취가 원인이 아니었다고 밝혔다.

그는 2023년 12월 희망퇴직한 최고정보보호책임자 A씨가 11월 22일 사내 방화벽 정책을 임의로 바꾼 사실을 찾았다며 민형사 절차를 시작했다고 했다. 경찰에는 진정서를 냈다. 이는 회사 측 주장이며 A씨의 관여가 입증됐다는 판결은 확인되지 않았다. 공격자의 신원도 공개되지 않았다.

3.상장 폐지와 배상 판결#

빗썸과 코인원은 사고 직후 오르빗체인(ORC)을 거래 유의 코인으로 지정했고, 2024년 3월 5일 거래 지원 종료를 결정했다. 오지스는 복구 방안의 하나로 2월 레이어2 실리콘을 공개했으나 결정을 바꾸지 못했다.

서울남부지법 민사합의15부는 이용자 A씨가 낸 소송에서 2026년 5월 보도된 판결로 오지스가 동결 자산을 안전하게 관리할 주의 의무를 소홀히 했다고 봤다. 재판부는 o자산 가치 하락분을 손해로 인정했다. 보안 노력과 신고를 고려해 책임을 70%로 제한했고 배상액은 약 7억 2,600만 원이었다. 원본 자산으로 돌려달라는 청구는 약관을 근거로 받아들이지 않았다. 확정 여부는 확인되지 않았다.

4.연표4건

1. 2024.01사건1월1일 오르빗 브리지 이더리움 볼트에서 약 8,150만 달러 유출
2. 2024.01이정표오지스, 퇴사한 CISO 관여 주장과 민형사 절차 발표
3. 2024.03상장3월5일 빗썸·코인원, ORC 거래 지원 종료 결정
4. 2026.05규제서울남부지법, 오지스 배상 책임 70% 인정 판결 보도