지난 2026년 6월 8일, 손바닥 스캔(Palm Scans)과 영지식 증명(ZKP, Zero-Knowledge Proofs) 기술을 결합해 온 체인 신원 확인(Proof of Humanity) 서비스를 제공하며 시장의 큰 기대를 모았던 휴머니티 프로토콜(Humanity Protocol)이 대규모 해킹을 당했습니다.
단, 몇 시간 만에 토큰 가격이 90% 가까이 폭락하며 투자자들에게 엄청난 피해를 준 이번 사건, 도대체 어떤 일이 일어난 것인지 간략하게 짚어봅니다.
사건 개요: 단 12시간 만에 일어난 대폭락
발생 일시: 2026년 6월 8일
피해 규모: 약 3,600만 달러 (원화 약 540억 원) 상당, 총 4억 4,700만 개의 H 토큰 탈취 및 무단 발행
시장 영향: 해커가 탈취한 H 토큰 대부분을 ETH로 스왑하고 나머지를 탈중앙화 거래소(DEX)에 덤핑하면서, H 토큰 가격이 12시간 만에 약 80~90% 폭락
해커는 어떻게 지갑을 열었나?
블록체인 보안 분석에 따르면, 이번 해킹은 빗썸 임직원을 사칭한 해커의 스팸메일로 인해 개발자의 PC가 악성코드(Malware)에 감염되면서 시작되었습니다. (연합뉴스)
1단계: 개발자 PC 감염 및 권한 탈취
해커의 악성코드는 해당 개발자 기기의 루트(Root) 권한을 탈취하는 데 성공했습니다. 이를 통해 PC 내부에 저장되어 있던 자격 증명과 개인 키(Private Keys)를 모조리 수집했습니다.
2단계: 단 하나의 기기에서 '7개의 개인 키' 유출
놀랍게도 해커는 이 개발자 PC 한 대에서 무려 7개의 개인 키를 훔쳐냈습니다. 여기에는 프로토콜의 핫 월렛(Hot Wallet) 키 1개뿐만 아니라, 이더리움(ETH Safe) 및 바이낸스 스마트 체인(BSC Safe) 멀티시그 계정의 키가 각각 3개씩(총 6개) 포함되어 있었습니다.
재단 측에 따르면, 2025년 6월 메인넷 런칭 당시 실수로 백업된 파일이 개발자 PC에 남아있었기 때문이라고 합니다.
3단계: 3개의 경로를 통한 전방위 공격
해커는 확보한 7개의 키를 이용해 세 가지 경로로 자산을 유통했습니다.
핫월렛 권한 장악: 약 604만 개의 H 토큰을 즉시 해커의 본인 이더리움 지갑으로 탈취했습니다.
ETH Safe 멀티시그 조작: 3개의 키를 이용해 오프라인 멀티시그 트랜잭션을 생성한 뒤, 프로젝트의 브릿지 컨트랙트를 악의적으로 업그레이드하여 약 1억 4,100만 H 토큰을 빼내 갔습니다.
BSC Safe 멀티시그 조작: 마찬가지로 브릿지의 관리자급 권한을 획득하여, 시스템 권한도 없이 3억 개의 H 토큰을 무단으로 발행(Mint) 했습니다. (해당 트랜잭션 BSC 스캔)
시장의 논란: "진짜 해킹인가, 내부자 소행(러그풀)인가?"
이번 사건은 DeFi 프로토콜이 외치는 '탈중앙화'가 얼마나 허울뿐이었는지를 증명했습니다.
해커가 개발자 PC 한 대만 장악하면 핫월렛은 물론, 안전장치여야 할 두 개의 멀티시그 계정까지 통째로 넘어가는 구조였기 때문입니다.
재단은 "과거 메인넷 런칭 때 발생한 우연한 백업 실수 때문"이라고 해명했으나, 크립토 커뮤니티의 시선은 매우 싸늘합니다.
특히 유명 블록체인 분석가인 ZachXBT는 재단의 '실수론'에 의혹을 제기했습니다.
여러 명의 서명이 필요한 멀티시그 키들이 단 한 명의 기기에 고스란히 저장되어 있었다는 점, 그리고 기가 막힌 타이밍에 유출되었다는 점을 들어 "이번 사건은 단순 해킹이 아닌 내부자 소행(Inside Job) 일 가능성이 높다"라고 지적했습니다.
결론: 사건 정리
손바닥 스캔과 영지식 증명(ZKP)이라는 최첨단 신원 인증 기술을 자랑하던 휴머니티 프로토콜이었지만, 정작 그들이 자산을 지키는 방식은 '한 명의 PC에 모든 마스터키를 몰아넣은' 지극히 중앙집권적이고 허술한 방식이었습니다.
기술이 아무리 정교해도 운영의 보안 의식이 무너지면 아무 소용이 없다는 것을 보여준 씁쓸한 사례라고 볼 수 있겠습니다.
해킹 이후 빗썸과 코인원의 토큰 스왑(Swap) 진행 상황은?
해킹 사태로 인해 재단에서는 수습이 불가능하다고 판단, 기존 토큰을 전량 폐기하고 새로운 계약(스마트 컨트랙트) 기반의 신규 토큰으로 교환해 주는 '토큰 스왑(Token Swap)' 및 메인넷 복구 계획을 발표했습니다.
재단의 포스트에 따르면 이더리움 네트워크의 H 토큰은 25,274,179 블록의 스냅샷을 기준으로 1:1 스왑을 진행한다고 밝혔습니다.
※ 빗썸과 코인원은 이더리움 네트워크의 H 토큰만 지원함으로 이미지의 'BSC 네트워크'와 'Mainnet'은 관계없음
실제로 스마트 컨트랙트에 예치된 H 토큰과 해커의 영향을 받은 지갑을 제외한 대부분의 개인 지갑은 자동 스왑이 진행되었습니다.
하지만, 국내 거래소 빗썸과 코인원은 스왑 불가 공지를 안내했습니다.
빗썸과 코인원, 왜 일괄 스왑을 미지원 할까? (거래소 공동 입장)
국내 거래소인 빗썸과 코인원은 결국 휴머니티(H)의 거래소 차원 일괄 스왑을 지원하지 않기로 최종 공지했습니다.
공지사항을 보면 '재단의 독단적인 기준'에 대한 강한 반발이 그 이유였습니다.
두 거래소가 밝힌 공통된 입장은 다음과 같습니다.
거래소 측의 요구("보유자 전원 일괄 스왑해라"): 두 거래소는 사고 인지 직후, 회원들을 보호하기 위해 입출금이 중단된 시점 기준 회원이 보유한 자산 전량에 대해 새 토큰으로 일괄 스왑해 줄 것을 요청했습니다.
재단의 거부("거래소 물량은 일괄 스왑 불가"): 하지만 휴머니티 재단은 거래소 측의 요구를 수용하지 않고 앞서 언급했던 25,274,179블록을 기준으로 스왑을 진행한다고 통보했을 것입니다.
최종 판단: 이에 빗썸과 코인원은 재단의 기준이 국내 투자자들의 청구 권리를 제대로 보호하지 못한다고 판단, 거래소 대행 스왑을 진행하지 않기로 결론 내렸습니다.
숨어있는 온체인 데이터
단순히 공지만 보면 "재단과 거래소가 스냅샷 시점을 두고 기싸움을 하나?"라고 생각하기 쉽습니다.
재단은 해킹 직전인 25,274,179 블록을 기준으로 삼았고, 빗썸과 코인원은 자신들의 '입출금 중단 시점'을 기준으로 삼아달라고 요구했기 때문입니다.
하지만 이 두 시점 사이에 온체인 데이터를 보면 이유가 조금 알 것도 같아집니다.
빗썸의 월렛 입출금 기록을 보겠습니다.
스냅샷 이후부터 입출금이 닫히기 전까지 대략 7시간 동안 약 570개에 달하는 입금 트랜잭션이 생성되었고, 총 입금된 H 토큰 수량과 입금 주소는 다음과 같습니다.
입금 주소 | 합계 : Humanity(H) |
0xe915d3af307787f2007ad4323668ed48ae4acee3 | 5,126,399 |
0x053b2c8e34bf0bce4235e7a95c2baf971e36967d | 4,953,819 |
0x168c20ffa4a502388887516a8b723353dcd085b2 | 4,436,977 |
0x85843b9c4eec0cd859a200acf56179e591590a40 | 3,713,908 |
0x15ba20e2b5fd117ca2dbd8d94c07f037e5eb3364 | 3,005,316 |
0xb048b89faf68bfb72756e29aa9a5df30fbb62139 | 2,637,343 |
0x8df0a9c9ed021cdf2f4106327dbacde450a4fd84 | 2,376,614 |
0x3de9cc4cfd031dcddd0acbf3ba69be3c27955a4d | 1,992,654 |
0x0ae8a0617dc9005f9a898851718cf911dbc6ffa0 | 1,421,853 |
0x0df433e890793b488c13d18f5d113cf194ddf7ec | 1,202,923 |
0x2edc51b333091d0617a3d80a4f98132e74d815ef | 950,233 |
0xe1d61fdb9a88219b2b41813239f6cec309db8384 | 940,910 |
0xcd149f179f9f47cc3e938c484591210d94b5f1d9 | 903,186 |
0xf71cbfde2c4553361dded8efd245400002692fc2 | 810,714 |
0x16ac27db190ba0250c930200beefe689ca9c3d37 | 808,046 |
0x65e5cae76de279cd4f26cc115146285ee9c9f875 | 696,359 |
0xee76bd4fd5df010e37e1d9640c37482764a4bae6 | 643,491 |
0xc889000d2a88a662024c27f12400a56876124b31 | 635,018 |
0x6046920f838693293c1f1501cbd5f501ad0209f4 | 527,475 |
0xe2b31ff1abd86aa91173a1e84f0f5359ce3a5c72 | 508,196 |
0x57b19c755644b4f9da85d69e9ecd65d13528810e | 502,898 |
0x6ca81c16820d8a37feb22db3f7d0edff37eecfa6 | 491,608 |
0xafea11bc012ca5c5034c00a36a7bccc44b4bc6ed | 484,754 |
0xa40f3d0594a120fd99ccbd30bc15f9824c5ee90c | 457,310 |
0x38af3adebd0c303fad215b87f19e0641a50adac5 | 426,272 |
0xe61239367204db7b284bfad3cd4f250f697072f6 | 410,120 |
0x74f47a9f93f86ebbab94d758a63c43d55ae73f52 | 389,308 |
0xc4e5f5cfebb74612831f403c59abc938f9c9fef0 | 383,123 |
0x59d89e30c4237708e91ff488e9fc5be1c995ea45 | 350,533 |
0x8162ac23496a83874dfab8b0194410a3ba226830 | 345,593 |
0x3a91a8ebded5979330fda2324f66afeacd16f6fe | 334,302 |
0x6affdd3b6475d07630cb2a11cfa5dc013f6c493d | 331,122 |
0xe072085568bf4fc339e2fadef56730982411f1c5 | 318,857 |
0x3d6745d7d6ee3bc7c4db04e1fe81015dcb783563 | 317,467 |
0x309d6cd6719fe25dbae0524d80f1415cf78844c5 | 312,500 |
0xa323398ecc8eab7b87ae9af5022479a2b1dfe7df | 308,236 |
0x9f9e47667b5c69321d89c926d51fee72bc872534 | 288,106 |
0x7bf2a37a27df77c04c61a2989bfcc40c705b20e7 | 278,540 |
0xaf384017a01a85ffbe32cd56d9e3eaa7ec72e8b2 | 276,682 |
0xdbdd57e01c5b3c5570dcac888408eec360c658f0 | 274,854 |
0x5b52cac8da268cca84928a8507a8a0dd72f462c9 | 249,786 |
0x7053f8e736fdc311dd81666a7e42afa89892c392 | 246,039 |
0xde03db9bc55050f2bc5e0c773163f5b3c243d3f1 | 244,211 |
0x0eda897f98c5d13e73fc157ca55bab795f806c14 | 240,800 |
0x6f99a1c28c4543d3b424fec5e264c509daf4c776 | 240,145 |
0x65a10da344d650cab78209830b655ae57458efe0 | 207,209 |
0x95abdd0955a32dbf3a160209ed82f919b8b7afe9 | 200,350 |
0x20c1fea90a97b0c32edbe051d166fe18ecf92360 | 188,931 |
0x8184418e7fff539907c4797d3d8f27f48e6759ee | 176,355 |
0x6889ac487d745ee7e44c6b442497de562b0ff28e | 170,756 |
0xbf3f052129f3c2235bd19abecb8f41fc595fb4b6 | 168,015 |
0x8cb5704ffa5542a29f98b66614d8022ddbc68a17 | 167,597 |
0xe7884ee779a07f7d9f444b43bcd70ff4f54df67d | 166,028 |
0xddf3bae1e1faade31d305c9a7926872c1b09a885 | 163,204 |
0x5ed7d512c0a8e6c430172daa3b65e06af6cd2b53 | 150,127 |
0xf7ddacb2987216e62a5b473d1618940423416455 | 143,977 |
0x6edd04575c5a298c600abb02c0240f805c637af9 | 136,999 |
0x669ea9ef75e4b7d62c1e63fd133a089efa7016e3 | 135,181 |
0xd11fbef0441e4b477a6f4b8ab3918c685bbc9194 | 127,329 |
0x77d3758d77134f344c9b5daa09b96c244be200d8 | 126,895 |
0x75159b90b2abc46097e53e656a3a8d88576c2fa6 | 124,912 |
0x0049d5d0a803072768001bb1e708a66361c64028 | 120,497 |
0x5f5c16b31ceb002768313cc6a5a43cf34f0e3cd3 | 117,451 |
0x9baeea0593ff7358905cef811e5e9db40d804486 | 108,858 |
0x6b9f36907ec97efa9898847fca8c5fc5b53fbb0b | 107,753 |
0x5d5472abbc6aff45e0b9365529ddbbef6bd0a855 | 96,998 |
0x1a18056eb47ca192e4a277dcb259c8aad3413326 | 96,523 |
0xb4669b10d923c2d141f2eccf382bbe06ceedf82b | 94,866 |
0xad47e018e41b5b34ceb9f09ebfa70d5e502ca320 | 91,546 |
0xc420adeb9684f28445314b0583c53bada31ab8a1 | 86,102 |
0x198d613249870583bee1d4f3e66be8b1cae75011 | 86,059 |
0x9c9897fb3568f6017e5c95cca566e0a9718f27c7 | 83,942 |
0x8bf30a7c57719b500a9f0a88fc3ce4119875531e | 79,677 |
0x7c8fa8f456bc376016ca1a5299411c097442b3fb | 78,058 |
0x7dbca9f3a67382640c1349394fb2dcc217fe1521 | 72,710 |
0xfb711d5bb2d636dedafeb808440255142df52c2d | 71,724 |
0x67cf5f1eb5cf1bd87a70f05d240f2e78f3809ba5 | 71,279 |
0x5bc838154d7ff270127c1e1b9c53e9111033fa0b | 65,282 |
0x47243ae2e72b0911a1f2f6549351b5d4fc7787ec | 62,582 |
0xb7aa3305e13bb25b731ce51928f1c4da78598ced | 61,086 |
0xde756bdf1f2008468131b5b37ee18ccfdc631da6 | 59,026 |
0xae0eaa673a289671c3eccfa5419f5dd9bd787a54 | 57,427 |
0x64911c8a1593182520dd804fee1892e28568e556 | 56,484 |
0xaebe61e5e66fbde18f88709d706fa6a05905e1c0 | 53,412 |
0x5dda066f2556043e4ab5b9dbe6da457fdc7c04af | 49,976 |
0xdf009d70c4d0dc97a369188ec3e2aabbcc48d293 | 49,666 |
0x9f13cc0e89f09b08542834e02403f50a325867fe | 49,426 |
0x45879ce53facc04853434bddf97d1fc8a7db3902 | 45,600 |
0x36884c70422eb45cc4402c02895adb055849115f | 44,462 |
0x7060c2d723f15e5c39674ddad5f44461f994a20a | 42,936 |
0xd2f69f674f174dbf9c3e53862f0a0e2cf81a87f3 | 42,426 |
0x9955cb02b110ec47fce3ebd548c15464208d0423 | 40,247 |
0x3fcd8d3e3460af71e103ae400220f95f01e3cae1 | 36,499 |
0xf7432b614a7f6d66f5ccc9281274e46ee622d625 | 33,196 |
0xa6b170e04b7a225e627a470eb6b05e9d7efa8cae | 32,948 |
0x5e0777f4407f91459feadba33bfcec681b6af8b2 | 31,127 |
0x2b6033a958c51669bf5b19bd5ad5dabb37cc9910 | 27,893 |
0x63c7ad1fe887e6f196f2ee37776719540caf9fb8 | 27,742 |
0x0f87f864cfe418e1ad5e5f1078e728732b0e1193 | 24,575 |
0xb9a0f8a89c103d5d2408aa67a86c020505692cd7 | 23,564 |
0x90dfd65f4a25b12c79a84a33d49098bab44eae32 | 21,125 |
0x97f20bb33bbd7f1f482b93e7451278ebc6e514eb | 21,062 |
0x6670a4919a4f670eb05e8c53d4df48469eb2d6cf | 19,970 |
0x6d550f3952e9c96cbd93b4ce9b86003aeeb8f6d5 | 19,544 |
0x7c0d3641775c92323f39c6a391345b95ac088846 | 17,685 |
0xa26b9c8474f65af00e68513869f214a4141ca43b | 17,090 |
0x4390a3e78a6aae936213af7745814659940cd459 | 15,287 |
0x94de77536992559943fcb62d196a9e69463ef104 | 15,140 |
0x876c25201d6180f28e88ac266bdf5dad7eff1766 | 13,337 |
0x3987dea7de15e851dbdb6082672ac2fcc456ef8e | 12,998 |
0xdd83e1460fb4f50eab1fe50513374b3649c42f1a | 11,209 |
0xe949b6d29084ac2742c986555a7f3f1f7841217e | 10,103 |
0x7f2cf5963137633edad7f5c818103540e4d6b76e | 9,682 |
0x07a5208e48a282fece51fb1ac69385bea3326437 | 9,096 |
0x99e3fb523d39221f3ba00b74258553b0db2a4aa1 | 8,764 |
0x3fc09587cf6bffb2ef7dd2220d370ee725ebf96b | 8,481 |
0xb7ed1677bfcdde6e06c84be533745e3d3830b1f3 | 7,156 |
0xca585d71d4bf0f0a99a3432b97b837623e20ed56 | 6,768 |
0x4368562fa6b92b419fb0f562d829ebe8aed0cdf3 | 6,572 |
0xb06d6e7fc43aa6cfc4e7007c1580f238a8bec088 | 6,388 |
0xd58f5fc18b3cf4daee29530a4bd205379a101ec8 | 6,100 |
0x2b7916e80a513b85314abc31b3d4cdb93861c24f | 4,900 |
0xde6a924df3bbc1674eaf6207ffcf1deea86b2c64 | 4,217 |
0x7a3dcec0b6e491ea239adf1fd9f30ccc9e7c67d8 | 3,990 |
0x5e16b8a64a0d0215a34f0a45511ba063319bfb7a | 3,889 |
0x0528e5fa26e0f6c9debb346df222eac5a1817d71 | 3,518 |
0x47285c5161585082bb58c8082005b54622161af3 | 2,873 |
0x964a102edd1b3c7408e09430bf0c8c364dae8bfc | 2,042 |
0x906d59365161f280b46f353c4d4fb171bf91dcd3 | 2,015 |
0x2ab6a00f54d7ba08db9e53535d930fb2a710f53c | 1,454 |
0x5d5c73214cc6aed8b0a73ea7d9bf4d1a62bfd053 | 1,140 |
0x2e3dc40e6aa4caab240fb64b437870cc53177ec1 | 1,000 |
0x380ada5836e902a50411ab61be94f2aa52dcf90d | 978 |
0xa0f27060a53f0cc880fdeeb7a8586eac85b7ee49 | 899 |
0x5f742e634bf4f339dc403c45cf10fd4f0e24666c | 656 |
0xcdfb0cfa19d7b3558dc4e22b4d74e7f4509b1502 | 568 |
0xa59215147b8304c61e761d50b01c6c5ab3fb8d3a | 520 |
0xa4401b994670b9c9e62d4951c9b9cb86fc76a42b | 286 |
0xc2a9c10be0adc5d2b5b58d8a88533e49917759f1 | 106 |
0x1c87cfd60d87c4c4a4a7bf826fc312512cd94fd9 | 100 |
0x2c019c1592c47bce18f89d773caf5e0f2d1b520e | 42 |
0x44fcfe1781a320f42ebd879182fd12e688cf2e42 | 27 |
총합계 | 52,128,865 |
무려 5천만 개가 넘는 H 토큰(6월 9일 고가 기준 520억 원)이 입금되었고 해당 물량은 이미 거래소에서 거래가 되어버렸기 때문에 거래소 입장에서 난감한 상황이 아닌가 싶습니다.
빗썸의 지갑(지갑 1, 지갑 2)을 보면 재단에서 스왑 받은 신규 H 토큰이 약 1300만 개가 있으나, 구 H 토큰 내부 유통량이 1억 1300만 개입니다.
기존에 체결되었던 거래를 모두 취소할 수도 없고 그렇다고 홀더들에게 "1/10 비율로 스왑해줄게"라고 할 수도 없는 상황입니다.
재단은 "우리가 지정한 스냅샷 이후에 움직인 물량은 해커가 유출해서 덤핑한 시장 왜곡 물량이니 인정할 수 없다"라는 입장일 것이고, 거래소는 "재단이 스냅샷을 찍은 줄도 모르고 정상적으로 입금해 거래소 지갑에 보관 중인 우리 회원들의 5천만 개가 넘는 토큰은 어떻게 책임질 거냐, 이것까지 포함해서 일괄 스왑해라" 일 겁니다.
애꿎은 투자자들만 피해를 보고 있는 상황으로 보이는데 모쪼록 재단과 거래소 간의 원만한 합의가 이루어지기를 바랍니다.
※ 본 포스팅은 정보 제공을 목적으로 작성되었으며, 특정 자산이나 금융상품에 대한 투자 권유 또는 금융 조언을 의미하지 않습니다. 시장은 다양한 변수에 따라 변동될 수 있으며, 모든 투자에는 원금 손실의 위험이 있습니다. 투자 결정은 본인의 충분한 조사(DYOR)와 판단에 따라 신중하게 진행하시기 바랍니다.