이미지 불러오는 중CertiK, 82만 달러 규모의 익스플로잇이 NEM 토큰의 PancakeSwap 유동성 풀을 고갈시켰다고 지적

공격자는 BNB 체인의 NemTokenV2 컨트랙트에서 결함이 있는 매도 추적 메커니즘을 악용하여 해당 수법을 42회 반복한 뒤 자금을 이더리움으로 브리징했습니다.

2026년 10월 22일 목요일 · 06:12 EDT · 3분 읽기

기술 부문에서

공유

또 다른 BNB Chain 토큰이 교묘한 토크노믹스가 공격자의 플레이북으로 변할 수 있음을 깨달았다. 2026년 10월 22일, CertiK Alert는 $NEM 토큰을 겨냥한 익스플로잇을 포착했으며, 손실은 약 82만 달러로 추정된다.

공격은 PancakeSwap의 USDT/NEM 유동성 풀을 강타했습니다. 원인은 도난당한 키나 악의적인 내부자가 아니라, 토큰 자체의 스마트 계약에 내재된 논리 결함이었습니다.

보안 업체 슬로우미스트(SlowMist)는 이 같은 발견을 뒷받침했으며 피해 규모는 약 821,920달러라고 밝혔다.

NEM 익스플로잇은 어떻게 작동했는가

취약한 코드는 NemTokenV2라는 컨트랙트에 존재합니다. 그 핵심에는 유동성 풀으로 유입되는 매도를 추적하고 처리하도록 설계된 'pendingLpSellRecycle'이라는 메커니즘이 있습니다.

조사 결과에 따르면, 해당 계약은 기본적인 회계 오류를 범했다. 유동성 페어로 전송된 모든 토큰을 실제 매도가 발생했는지 확인하지 않은 채 매도 물량으로 간주했다.

공격자는 PancakeSwap 풀에 NEM 토큰을 반복적으로 전송한 뒤 초과 자금을 다시 빼냈다.

팬케이크스왑의 유동성 풀은 준비금에 대한 내부 기록을 유지합니다. 풀에 실제로 보유된 토큰 잔액이 기록된 수치를 초과하면 그 초과분을 인출할 수 있습니다. NEM 계약의 결함 있는 매도 추적 기능은 공격자에게 필요할 때마다 그 초과분을 계속 만들어낼 수 있는 방법을 제공했습니다.

SlowMist에 따르면, 공격자는 이 루프를 42회 실행했습니다. 매 회차마다 풀을 조금씩 잠식하며 준비금을 왜곡했고, 그 과정에서 토큰 가격도 인위적으로 끌어올렸습니다.

풀에서 충분한 가치가 빠져나가자, 공격자는 이를 인출하여 탈취한 자금을 이더리움으로 브리지했다.

2026년 BNB 체인의 한 패턴

NEM 사건은 단독으로 발생한 것이 아니다. 연구 결과는 복잡한 토크노믹스를 가진 BNB Chain 토큰이 준비금 조작에 취약하다는 것이 입증된 2026년의 반복적인 추세를 설명한다.

2026년 초, Movie Token, ATM, LULA을 포함해 유사한 구조를 가진 프로젝트들이 비슷한 공격을 당했습니다. 공통점은 PancakeSwap 풀과의 상호작용에 맞춤형 로직을 덧붙인 토큰들이라는 점입니다.

표준 탈중앙화 거래소 풀은 그 자체로는 상당히 예측 가능합니다. 문제는 토큰 계약이 해당 풀에 개입하여 자체적인 별도의 장부를 유지하려 할 때 발생하는 경향이 있습니다.

이는 DeFi 사용자와 토큰 개발자에게 무엇을 의미하는가

NEM을 보유하고 있거나 USDT/NEM 페어에 유동성을 공급하는 사람이라면 피해는 직접적입니다. 유동성이 고갈된 풀의 유동성 공급자는 손실을 떠안게 되며, 공격 중 발생한 인위적 가격 변동은 당시 활동 중이던 트레이더들에게 또 다른 혼란을 더합니다.

개발자들에게 주는 교훈은 상당히 구체적이다. 토큰이 어디에 도착하는지를 근거로 사용자 의도를 추론하는 모든 컨트랙트는, 거래에서 실제로 무슨 일이 일어났는지 검증하는 대신, 아무도 그 추론을 악용하지 않으리라는 데 걸고 있는 것이다. NEM 공격자는 그 내기에 42번 연속으로 이겼다.

연구 결과에 따르면, 투자자들은 토큰 팀이 유동성 풀 메커니즘을 어떻게 운영하는지에 대해 더 많은 투명성을 요구하기 시작할 수 있다. 토큰 계약을 개별적으로 검토하는 대신 맞춤형 토큰 로직이 거래소 풀과 상호작용하는 방식을 구체적으로 테스트하는 엄격한 감사가 여기서 악용된 바로 그 틈새를 해결할 수 있을 것이다.

CertiK와 SlowMist 같은 보안 업체들은 이 영역에서 점점 더 큰 역할을 하고 있으며, 사건 발생 후 몇 시간 이내에 분석 내용을 발표하는 경우가 많다. 이들의 신속한 경고는 다른 프로젝트들이 동일한 취약점을 공유하는지 점검하는 데 도움을 주지만, 경고가 나갈 때쯤이면 문제의 자금은 대개 이미 이동한 뒤다.

공개: 이 기사는 Estefano Gomez가 편집했습니다. 콘텐츠 제작 및 검토 방식에 대한 자세한 내용은 편집 정책을 참조하세요.