허공에서 찍어 낸 토큰 50억 개: 2024년 갈라 게임즈 해킹의 전말

중앙은행이 조폐기의 옛 열쇠를 반년 동안 서랍에 넣어 두었다고 상상해 보자. 어느 날 누군가 그 열쇠를 찾아내 돈을 찍고 쓰기 시작한다. 2024년 5월 갈라 게임즈(Gala Games)에 벌어진 일이 대략 그렇다.

공격자는 GALA 토큰 계약에서 새 토큰을 만들 수 있는 권한을 가진, 오랫동안 쓰이지 않던 발행(minter) 계정을 장악해 당시 약 2억 1,600만 달러 가치의 GALA 50억 개를 만들었다. 계정이 동결되기 전까지 이 중 약 5억 9,200만 개가 약 2,180만 달러어치 ETH에 팔렸다.

토큰 가격은 변동성이 매우 크다. 이 글의 수치는 사건 당시 기준의 과거 기록이다.

갈라는 어떤 회사인가

갈라 게임즈는 2021년 호황에 올라탄 블록체인 게임 퍼블리셔로, 자체 토큰 GALA를 중심으로 워킹 데드: 엠파이어스 같은 라이선스 게임을 포함한 라인업을 꾸렸다. GALA가 생태계 전체의 공용 화폐였기에, 갑작스러운 토큰 홍수는 프로젝트 하나가 아니라 여기에 묶인 모든 게임과 이용자를 위협했다.

어떻게 벌어졌나

보안 업체 해큰은 이 사건을 접근 통제 공격으로 분류했다. 공격자가 쓴 계정은 발행 권한이 있었지만 약 180일 동안 사용되지 않은 상태였다. 그 키가 어떤 경로로든 엉뚱한 손에 들어간 것이다.

계정을 장악한 공격자는 새 주소로 GALA 50억 개를 발행하고, 거래 수수료용으로 보이는 2 ETH를 보낸 뒤, 탈중앙화 거래 서비스를 통해 약 100 ETH 단위로 토큰을 팔기 시작했다. 눈 밝은 한 관찰자가 발행과 매도를 포착해 경보를 울렸다.

위기를 막은 차단 기능

갈라 팀에게는 비상 브레이크가 있었다. 약 1년 전 토큰 계약을 V2로 업그레이드하면서 관리자가 특정 주소를 동결할 수 있는 차단 목록(blocklist) 기능을 넣어 둔 것이다. 팀은 첫 매도 후 2시간 16분 만에 이 기능을 써서, 아직 팔리지 않은 약 44억 개의 토큰에 공격자가 손대지 못하게 막았다.

그리고 이례적인 일이 벌어졌다. 사건 다음 날 도난당한 ETH가 발행 계정으로 되돌아온 것이다. 갈라는 이번 사건이 단발성이라며 수사 당국과 협력하고 있다고 밝혔다. GALA 가격은 처음에 약 20% 떨어졌다.

숫자로 보는 갈라 사건

• 50억 개: 공격자가 발행한 GALA 토큰
• 약 2억 1,600만 달러: 당시 기준 가치
• 5억 9,200만 개: 동결 전 팔린 토큰, 약 2,180만 달러어치 ETH
• 180일: 탈취된 발행 계정이 방치돼 있던 기간
• 2시간 16분: 첫 매도부터 동결까지 걸린 시간

처음 겪는 공포는 아니었다

갈라가 공포를 겪은 것은 처음이 아니었다. 2022년 11월에는 어떤 지갑이 20억 달러 이상어치 GALA를 발행했다는 소문에 토큰이 약 25% 폭락했다가, 이후 상황이 정리됐다. 암호화폐 시장은 실제 발행만큼이나 발행 '가능성'에도 격렬하게 반응한다.

이어진 서비스 종료

해킹은 블록체인 게임 전반이 힘든 시기에 터졌다. 2021년 호황 이후 여러 퍼블리셔가 라인업을 줄였고, 갈라도 예외가 아니었다. 갈라는 2025년 7월 31일 워킹 데드: 엠파이어스 서비스를 종료했다. 같은 날 스퀘어 에닉스도 자사 블록체인 게임 심바이오제네시스 서버를 닫았다. 극적인 붕괴는 아니었지만, 이용자가 줄어든 블록체인 게임들이 조용히 문을 닫는 꾸준한 흐름의 일부였다.

WGC의 시각

갈라 해킹은 결국 열쇠에 관한 이야기다. 토큰 계약 자체가 뚫린 것이 아니었다. 강력한 권한을 가진 낡은 계정이, 아무도 필요로 하지 않게 된 뒤에도 오래 살아 있었다. 2년 전 로닌에 6억 2,500만 달러의 손실을 안긴 실수와 같다. 두 사건 모두, 강력한 권한은 필요 없어지는 순간 바로 회수해야 한다는 교훈을 남긴다.

블록체인 게임의 불편한 진실도 드러난다. 갈라를 구한 중앙 차단 기능은 이런 프로젝트들이 흔히 내세우는 '신뢰가 필요 없는' 이상과 정반대다. 이용자들은 회사가 개입할 수 있었기 때문에 보호받았다. 게임에는 아마 그게 맞는 선택이겠지만, 솔직하게 말할 필요는 있다. 더 큰 그림은 블록체인 게임 몰락의 교훈 사설에서 볼 수 있다.