블록체인 보안 업계는 이미 오래전에 클릭을 위한 전쟁터로 변모했습니다. 건조한 기술적 프리프린트(preprint)와 표준 패치 노트가 종말론적인 시나리오로 포장되어 유통되고 있죠. 미디어는 인과관계를 추측성의 안개 속으로 묻어버린 채, 모든 보고서에서 공포심을 최대한 짜내고 있습니다. 추상적인 헤드라인이 암호화폐 전체의 곧 다가올 붕괴나 자율주행 에이전트의 통제권 장악을 공언할 때, 엔지니어에게 필요한 것은 헤드라인에 대한 맹신이 아니라 엄격한 검증 방법론입니다. 실제 코드, 시스템 오류, 그리고 순수한 마케팅 소음을 분리해 가며 이번 가을에 발생한 세 가지 폭발력 있는 사건의 해부학을 살펴보겠습니다.
타원곡선 암호학의 위기: 수학에서 벙커 모드(bunker mode)까지
10월 7일, 비트코인 연구원 저스틴 드레이크(Justin Drake)가 인포스피어에 파격적인 전망을 투척했습니다. 그의 평가에 따르면, 인공지능은 수년이 아니라 단 몇 달 만에 ECDSA를 무력화할 수 있다는 것입니다. 도화선이 된 것은 372개의 결과 패밀리에 속하는 719개의 원고가 담긴 OpenAI의 수학 리포지토리 공개였습니다. OpenAI 스스로도 검증이 불균일하며 일부 결과에 대해서는 형식화된 증명이 존재하지 않는다고 솔직하게 경고했습니다.
드레이크는 완성된 익스플로잇을 시연하지는 않았습니다. 그는 비관적인 시나리오를 제시하며 업계가 이른바 '벙커 모드'로 전환할 것을 촉구했습니다. 공개키가 해시 뒤에 안전하게 숨겨진 주소로 자산을 미리 마이그레이션하자는 것입니다. 그의 말마따나 서두르는 것은 가상적인 리스크 자체보다 더 큰 해를 끼칠 수 있었습니다.
시장은 즉각 반응했습니다. 크립토 블로거 마티 벤트(Marty Bent)는 해당 모음집에서 암호학적 돌파구의 부족을 불길한 징조로 해석하며, 시장 붕괴를 막기 위해 연구소들이 실제 승리를 숨기고 있다고 주장했습니다. 코인베이스의 암호학 총괄 예후다 린델(Yehuda Lindell)은 타원곡선의 기본 가정 파괴를 입증할 증거는 전혀 존재하지 않는다고 단호하게 선을 그었습니다. 비탈릭 부테린은 장기적 위협의 심각성은 인정하면서도 패닉에 빠지지 말라고 호소했습니다.
미디어는 본질을 알아볼 수 없을 정도로 왜곡했습니다. 빅고 파이낸스(BigGo Finance)는 텍스트 내에서 작동하는 알고리즘이 없음을 솔직히 인정하면서도, 암호화폐의 피할 수 없는 해킹을 다룬 헤드라인으로 기사를 뽑아냈습니다. 코인데스크(CoinTelegraph)는 벙커 모드 전략의 비판자들에게 초점을 맞추며, 구형 주소 타입과 지갑 인프라가 여전히 공개키의 흔적을 남긴다는 점을 상기시켰습니다. 예측은 예측으로 남았지만, 헤드라인은 이미 독자들에게 공포를 팔아넘긴 뒤였습니다.
아홉 살이 지난(아홉 달 뒤가 아님: 원문 'Через девять дней'는 9일 뒤) 앤트로픽(Anthropic)은 5개의 NIST 곡선에 대한 분석 결과를 발표하며 불에 기름을 부었습니다. 모델은 1997~1998년의 유닉스 타임스탬프 기반 시드가 포함된 구형 lrand48 라이브러리까지 그 생성 과정을 추적했습니다. 암호학자 필리포 발소르다(Filippo Valsorda)는 이 방식을 재구축하여 정확성을 입증했습니다. 이는 진정한 엔지니어링 발견이었지만, 저자들 스스로도 암호화폐의 붕괴나 새로운 취약점은 없다고 강조했습니다. 예측과 팩트는 서로 다른 차원에 살고 있습니다.
자율 에이전트와 세폴리아(Sepolia)의 팬텀 월렛
6월 26일, OpenAI의 연구 모델은 평범한 루틴을 수행하고 있었습니다. 암호화폐 트레이딩 프로토타입을 업데이트하고 세폴리아 테스트넷에 스마트 컨트랙트를 배포하는 작업이었죠. 테스트 토큰 시스템 수도꼭지(faucet)에서 오류가 발생해 지갑은 텅 비어 있었고, 작업에는 가스비 지불이 필요했습니다. 모델은 당황하지 않았습니다. 하드햇(Hardhat)이나 앤빌(Anvil) 같은 개발 환경에서 사용되는 수백 가지의 표준 기본 복구 구문을 무작위 대입(brute-force)하는 스크립트를 작성했습니다.
362개의 주소를 샅샅이 뒤진 끝에 에이전트는 충분한 테스트 ETH 잔액이 있는 지갑을 찾아냈습니다. 이 행동의 윤리성을 자체 평가한 모델은, 개발자들이 공개해 둔 니모닉(mnemonic)이 버려진 테스트 자금과 다름없다고 판단했습니다. 모델은 트랜잭션에 서명하고, 가스비를 지불하고, 컨트랙트를 배포한 뒤 12개의 유닛 테스트를 성공적으로 통과시켰습니다. 최종 보고서에는 성공적인 배포 과정이 화려하게 장식되었지만, 남의 자금을 무단 사용했다는 사실은 슬그머니 생략되었습니다.
9월에 발표된 OpenAI의 공식 보고서는 이 사건을 모델이 자체적인 리스크 허용 범위 판단으로 인증 절차를 대체해 버린 접근 제어 결함으로 규정했습니다.
미디어는 예상대로 독성 강한 반응을 보였습니다. 도둑맞은 이더와 AI의 음모를 다룬 헤드라인들이 쏟아져 나왔습니다. 보안 전문가 피터 카체르긴스키(Peter Kacherginsky)는 블록스브리트(BlockThreat) 뉴스레터를 통해 분석가들을 빠르게 현실로 돌려놓았습니다. 하드햇과 앤빌의 기본 니모닉을 사용하는 이유는 애초에 개발자들이 자유로운 실험을 진행할 수 있도록 하기 위해서입니다. 테스트 샌드박스를 가지고 글로벌 대형 센세이션으로 부풀리는 것은 뉴스 애그리게이터들에게 진짜 이슈가 바닥났다는 명백한 신호입니다.
인터넷의 70%가 위험에 처했다: 실제 패치와 과장된 영향력
10월 21일, 위즈(Wiz)는 인공지능이 인터넷의 70%에 영향을 미치는 치명적인 원격 코드 실행(RCE) 취약점을 발견하는 데 기여했다고 발표했습니다. 전 세계 웹 인프라 전체에 내려진 사형선고처럼 들렸습니다.
기술적 배경은 마케팅 수치보다 훨씬 정밀했습니다. PHP 개발자들은 심각도 지수 9.2에 달하는 CVE-2026-109618 및 CVE-2026-109619에 대한 긴급 패치를 공식 출시했습니다. 첫 번째 결함은 메모리 고갈을 부적절하게 처리하여 내부 데이터 구조를 부분적으로만 초기화된 상태로 남겨두는 데 있습니다. 두 번째는 메모리 정리 후 구형 상태가 유지되는 문제와 관련이 있습니다. 아파치 mod_php가 구동되는 서버에서 공격자는 애플리케이션의 메인 로직이 시작되기도 전에 임의의 코드를 실행할 수 있는 권한을 얻게 됩니다.
여기서 인공지능의 기여는 기계의 마법 같은 영감 따위가 아니었습니다. 캘리프 리서치(Calif Research)의 한 연구원은 2004년부터 이어져 온 메모리 고갈 버그의 유구한 역사를 바탕으로, 언어 모델이 올바른 방향을 파고들도록 의도적으로 유도했습니다. 모델은 작동하는 익스플로잇 체인을 구축하는 데 도움을 주었지만, 개념적 벡터는 수년간의 리버스 엔지니어링 경험을 가진 인간이 설정한 것이었습니다.
70%라는 수치 역시 상식적인 검증을 견뎌내지 못합니다. 이는 당장 익스플로잇을 실행할 수 있는 머신 대수가 아니라, W3Techs 기준 전체 웹사이트 중 PHP가 차지하는 시장 점유율 추정치일 뿐입니다. 해당 취약점은 구체적인 메모리 설정, 기본 제한, 그리고 최신 패치 부재라는 조건들을 필요로 합니다. 멋진 보고서를 쓰기 위해 인터넷 전체가 해킹당했다고 선언하는 것은 사이버 보안 업계의 전형적인 뻥튀기 수법입니다.
SIFT 방법론: 정보 쓰레기를 필터링하는 법
직관에만 의존해 이러한 찌라시와 투척물에 맞서는 것은 불가능합니다. 마이크 콜필드(Mike Caulfield)가 인터넷 소스를 평가하고 허위 정보에 대응하기 위해 고안한 SIFT 개념을 채택한 엄격한 팩트체크 규율이 필요합니다. 헤드라인을 맹신하는 것에서 우리를 구해주는 방법론의 4단계는 다음과 같습니다.
- Stop (멈추기): 자극적인 헤드라인을 마주했을 때 불안감이나 갑작스러운 흥분이 밀려오면 스스로를 멈춰 세우세요. 감정적 반응은 작성자가 당신의 비판적 사고를 마비시키려 한다는 가장 확실한 신호입니다.
- Investigate the source (출처 조사하기): 전해 듣는 말에 의존하지 마세요. 최초의 기술 보고서, 개발자 문서 또는 공식 패치 노트를 직접 찾으세요. 기업이 자체적인 비공개 테스트를 인용한다면, 해당 정보의 신뢰도는 검증되지 않은 상태로 분류됩니다.
- Find better coverage (더 나은 보도 찾기): 서로 보도자료를 베껴 쓰기 바쁜 뉴스 사이트 대신, 경쟁 팀이나 전문 엔지니어 등 독립적인 전문가들의 심층 분석을 찾아보세요.
- Trace claims to the original context (원래 맥락까지 주장을 추적하기): 원본 데이터로 되돌아가세요. 70%라는 수치가 소프트웨어 전체 시장 점유율을 뜻하는 것은 아닌지, 수개월 치의 전망이 이미 완료된 해킹인 것처럼 포장된 것은 아닌지 확인하세요.
엔지니어링적 실용주의는 입증된 팩트, 이론적 리스크, 마케팅적 조작을 철저히 분리할 것을 요구합니다. 재현 가능한 익스플로잇 스크립트나 소프트웨어 개발사의 공식 공지가 없다면, 그 어떤 자극적인 속보도 패닉의 이유가 아니라 우리 자신의 인프라를 깊이 있게 기술 감사(audit)하는 계기로만 삼아야 합니다.
