래디스(Radix) 블록체인에서 2023년 6월 코드 리팩토링 중 유입된 인증 결함이 3년 넘게 방치되다 지난달 31일 약 130만달러 규모의 볼트 탈취로 이어졌으며, 이후 검증인들이 10일 넘게 트랜잭션 확정을 중단했다. 공격자는 26건의 거래로 USDC 약 45만9천개, USDT 7만2400여개 등을 인출해 하이퍼레인을 통해 이더리움·BNB체인·솔라나로 옮긴 뒤 매도했으며, 개인키 유출은 없었던 것으로 확인됐다. 해당 결함은 2024년 젤릭(Zellic)의 외부 보안 감사에서도 발견되지 못했는데, 볼트 참조 방식이 잘못 처리돼 소유권 검증 없이 인출 함수가 호출될 수 있었던 것이 원인이다. 래디스 재단은 회귀 테스트 강화와 비상대응 절차 공식화에 나섰으며, AI 지원 코드 분석 도구가 공격자의 결함 발견을 도왔을 가능성도 제기했다.

• •2023년 리팩토링 중 유입된 볼트 인증 결함이 3년 넘게 미발견 상태로 방치
• •8월 31일 26건 거래로 약 130만달러 규모 자산 탈취, 검증인이 10일 넘게 체인 중단
• •2024년 젤릭의 외부 감사도 해당 취약점을 발견하지 못함
• •탈취 자산은 하이퍼레인 브리지로 이더리움·BNB체인·솔라나로 이동 후 매도
• •래디스 재단, AI 지원 코드 분석 도구가 공격자 결함 발견에 기여했을 가능성 언급