프라이빗 키 유출로 인한 대참사: 3100만 달러 도난, 휴머니티 토큰 90% 폭락

Foresight News

이 글을 읽으려면 12 분

인간임을 증명하는 프로젝트가 자신의 개인키가 안전하다는 것을 증명하지 못했습니다.

원문 제목: 《Humanity, 3100만 달러 도난… 단일 개인키로 토큰 가격 90% 폭락》
원문 저자: ChandlerZ, Foresight News

6월 9일, 온체인 분석가 Specter의 모니터링에 따르면 디지털 신원 프로젝트 Humanity와 상호작용한 지갑들이 지속적인 공격을 받고 있다.

현재 수백 개의 H 토큰 보유 주소가 도난당했으며, 총 손실액은 3100만 달러를 초과했다. 이 중 약 900만 달러는 ETH로 교환되었고, 약 990만 달러는 여전히 H 토큰 형태로 남아 있다.

Humanity 창립자 Terence Kwok은 이후 보안 사고 발생을 확인했으며, 재단 구성원 한 명의 개인키 유출과 관련이 있다고 밝혔다.

예방 조치로, 추가 보안 확인이 이루어질 때까지 사용자들은 Humanity 크로스체인 브릿지나 유동성 풀과의 상호작용을 일시적으로 자제할 것을 권장했다. 팀은 보안 전문가 및 거래 플랫폼 파트너와 협력하여 문제를 처리 중이며, 커뮤니티에 진행 상황을 지속적으로 업데이트할 예정이다.

H 토큰 가격은 약 0.7 USDT에서 최저 0.052 USDT로 폭락했으며, 24시간 낙폭은 90%를 초과했다. 기사 작성 시점 기준 H는 0.1368301 USDT에 거래되고 있으며, 시가총액은 20억 달러에서 3570만 달러 부근으로 하락했다.

6월 9일 11:00 기준, 공격자는 1억 개의 Humanity Protocol 토큰 H를 새로 발행한 것으로 의심되며, 이를 매도하여 BNB로 교환하고 있다.

진정한 '인간 증명'을 실현하지 못한 프로젝트

Humanity Protocol은 2024년에 설립되었으며, 탈중앙화 디지털 신원 네트워크로 포지셔닝되었다. 핵심 판매 포인트는 손바닥 정맥 생체 인식과 영지식 증명을 사용하여 사용자가 실제 인간인지 확인하는 것이다. 프로젝트는 Polygon CDK(zkEVM) 위에 구축되었으며, 개인 정보를 노출하지 않고 시빌 공격, 가짜 계정 및 AI 생성 신원 문제를 해결할 수 있다고 주장한다.

이 내러티브는 2024년에 많은 자본의 관심을 끌었으며, Humanity Protocol은 두 차례에 걸쳐 총 5000만 달러의 자금을 조달했다. 시드 라운드 3000만 달러, 기업 가치 10억 달러로, 투자자에는 Kingsway Capital, Animoca Brands, Blockchain.com 및 Shima Capital 등이 포함된다.

2025년 1월, Pantera Capital과 Jump Crypto가 주도한 2,000만 달러 규모의 투자 라운드로 기업 가치가 11억 달러로 상승했습니다.

Humanity 재단은 Animoca Brands의 회장 Yat Siu가 이끌며, 공동 창업자로는 국제 블록체인 컨설팅 회사의 창립자 Mario Nawfal, 모건스탠리와 Ortus Capital의 고급 투자 전문가 Yeewai Chong 등 여러 유명 인사들이 모였습니다.

2025년 6월 25일, H 토큰은 Fairdrop 메커니즘을 통해 출시되었으며, 웹 3.0 역사상 처음으로 검증된 실제 인간에게만 토큰을 배포한 사례라고 주장했습니다. 그러나 출시 이틀 후, DL News는 유출된 창업자 대화를 보도했습니다. Kwok은 대화에서 네트워크에 생성된 900만 개의 Human ID 중 생체 인식 검증을 완료한 것은 약 100만 개에 불과하며, 이는 최대 88%의 사용자가 봇일 가능성을 의미한다고 인정했습니다.

또한, X 플랫폼의 SCoin(@LianFang_), AB Kuai.Dong(@_FOR AB) 등의 사용자 제보에 따르면, Humanity Protocol(H)은 '국산 프로젝트 껍데기'일 가능성이 있으며, 앱 코드素材 라이브러리 내에 여전히 선전 출입문 제조업체 장텅 정보(Zhangteng Information)의 이미지가 남아 있어 진위성에 의문이 제기되었습니다. 네티즌들은 소셜 플랫폼의 열기가 주로 프로젝트 측의 부계정이 자체적으로 연출한 것이며, 실제 사용자 참여도는 의문스럽다고 주장했습니다.

AB Kuai.Dong은 이전에 Humanity에서 인증을 받은 사람들은 주의해야 한다고 밝혔습니다. 장텅 정보(Zhangteng Information) 뒤에는 신원 인식 전체 아웃소싱을 전문으로 하는 상하이 아웃소싱 회사가 있습니다. 또한, 제보자 SCoin은 이 프로젝트가 사용자의 손바닥 정맥 정보를 대량으로 수집하여 개인정보 보안 우려를 불러일으킨다고 주장했습니다.

이는 '인간성 증명'을 핵심 가치로 내세우는 프로젝트에 치명적이었으며, H 토큰은 출시 후 이틀 만에 61% 이상 하락하여 약 0.05달러에서 0.018달러의 저점을 기록했습니다.

창업자의 이전 유니콘, 1억 7천만 달러를 소진하다

Terence Kwok의 개인 이력은 이 프로젝트에 위험 요소를 더합니다. 2012년, 20세의 Terence Kwok은 시카고 대학을 중퇴하고, 한 여행 중 900달러의 로밍 요금 청구서를 받은 후 Tink Labs를 설립하여 호텔 객실에 무료 스마트폰(브랜드명 Handy)을 제공, 투숙객이 해외에서 고액 로밍 요금 대신 사용할 수 있도록 했습니다.

이 개념은 한때 자본 시장을 사로잡았고, Tink Labs는 Foxconn, SoftBank, Innovation Works 및 Meitu 창립자로부터 총 1억 7천만 달러를 투자받아 기업 가치가 15억 달러에 달하며 홍콩 최초의 유니콘이 되었습니다. 전성기에는 Handy 장치가 전 세계 82개국, 60만 개의 호텔 객실을 커버했습니다.

그러나 Kwok의 공격적인 확장 전략은 곧 현실적인 장애물에 부딪혔습니다. 글로벌 로밍 요금이 지속적으로 하락하면서 호텔들은 Handy 장치 비용을 지불하려 하지 않았고, 회사는 2017년부터 손실을 보기 시작했습니다. <금융타임스> 보도에 따르면, SoftBank는 Tink Labs가 일본 합작회사의 자금을 다른 적자 시장으로 전용했을 가능성을 발견한 후 핵심 프로젝트에 대한 자금 지원을 중단했습니다.

2019년 7월, 유럽, 중동 및 아프리카 사무소의 100명 이상의 직원이 임금을 받지 못했습니다. 해고된 직원들은 옥스퍼드 사무소를 떠날 때 벽과 바닥에 케이크를 바르며 항의했습니다. 8월 1일, Tink Labs는 공식적으로 문을 닫았고, 2020년 1월 파산 청산 절차에 들어갔습니다. 한 전 인사 책임자는 FT에 Kwok이 오직 '돈 버는 것'에만 관심이 있었으며, 1억 7천만 달러의 투자금이 모두 증발했다고 말했습니다.

6년 후, Kwok은 Humanity Protocol을 들고 시장에 복귀하여 Pantera Capital과 Jump Crypto로부터 다시 유니콘 기업 가치를 인정받았습니다.

개인 키 관리: 오래된 문제, 새로운 대가

현재 정보에 따르면, 이번 공격은 스마트 계약 취약점이나 프로토콜 수준의 보안 결함과 관련이 없습니다. 공격자가 획득한 것은 재단 구성원의 개인 키로, 가장 전통적인 보안 관리 실패에 해당합니다.

2026년 암호화폐 업계의 보안 상황은 이미 엄중합니다. CCN 통계에 따르면, 2026년 첫 4개월 동안 DeFi 해킹 공격으로 인한 손실이 10억 달러를 초과했으며, 도난당한 자금의 대부분은 아직 회수되지 않았습니다. 4월 1일 Drift Protocol은 2억 8,600만 달러 규모의 공격을 받아 올해 최대 단일 사건이 되었습니다.

공격자들은 점점 더 스마트 계약 취약점이 아닌 검증자, RPC 노드 및 거버넌스 시스템을 표적으로 삼고 있습니다. 그러나 개인 키 유출은 모든 온체인 보안 메커니즘을 우회하고 자산에 대한 직접적인 통제권을 획득하기 때문에 항상 가장 큰 손실을 초래하는 공격 유형 중 하나입니다.

88%의 봇 사용자 논란과 토큰이 최고점 대비 90% 이상 하락한 프로젝트에게 3,100만 달러 규모의 개인 키 유출 사건은 신뢰를 무너뜨리는 마지막 일격이 될 수 있습니다.

발표 시점 기준으로 Kwok은 성명을 통해 팀이 보안 전문가 및 거래 플랫폼 파트너와 협력하여 문제를 처리 중이라고 밝혔으나, 사용자 보상 방안에 대해서는 언급하지 않았으며, 재단 구성원의 개인키가 왜 멀티시그(Multi-Sig)나 하드웨어 격리와 같은 기본적인 보호 조치를 적용하지 않았는지에 대한 설명도 없었습니다.