만돌린 nath 슈퍼 계정 논란

만돌린 서버의 밀레시안 nath가 일반적으로는 만들어내기 굉장히 어려운 무기들을 판매했는데, 비정상적인 방법으로 운영진이 만든 물품으로 의심된다는 논란이다.

내용

판매한 아이템(일부)

• 디바인 바스타드 소드 특별개조 7강 - 3개
• 디바인 스몰랜스 특별개조 7강 - 3개
• 디바인 블레이드 특별개조 7강 - 1개
• 디바인 트라이볼트 특별개조 7강 - 1개

관련하여 논란이 되는 부분은 크게 2가지로, 무기를 만들기 위한 재료들을 구입한 흔적이 없다는 점과 저런 무기들을 한 사람이 만들어내기가 굉장히 어렵다는 점이다.

재료 수급에 대한 논란

위의 디바인 무기들을 만들기 위해서는 고대 황금 결정이라는 재료 물품이 필요한데, 저 시기에서 고대 황금 결정을 입수할 수 있는 방법은 오로지 벨테인 미션의 보상상자 혹은 벨테인 미션 몹 드랍으로 확률적으로 입수하는 법 뿐이었다. 하지만 당연히 고대 황금 결정이 나오는 확률은 굉장히 낮아 직접 구하기가 힘들다. 그러다보니 디바인 무기들을 제작하려는 밀레시안들은 보통 다른 밀레시안에게서 구입해서 제작하는 데 사용한다.

하지만 nath에게 이런 재료들을 판매했다는 사람이나, 거래한 흔적을 찾을 수 없다는 게 문제이다. 당시에는 보통 마비노기 거래 게시판이나 뿔피리 등을 통한 직거래로 재료들을 구한다. 하지만 어디에도 거래한 흔적(게시물, 혹은 판매한 사람의 제보 등)이 없다. 물론 거래한 사람이 아직 제보하지 않은 것일 수도 있지만, 이 논란이 몇 년째 반복되고 있음에도 제보가 없다는 점은 여전히 이를 논란거리로 만들고 있다. 반면, nath가 무기를 팔았다는 흔적과 nath에게서 무기를 샀다는 제보는 여럿 있다.

제작 확률에 대한 논란

또한 디바인 무기들을 제작할 때 피해량 등의 성능은 만들 때 마다 유동적으로 달라지게 된다(이른바 유동옵). 그런데 nath가 판매하고 있는 물품들은 전부 최고 성능들 뿐인데, 저 많은 무기들을 최고 성능으로 단 한번만에 만들어내는 매우 운 좋은 일이거나, 아니면 최고 성능이 아닌 물품들도 다수 존재해야 한다. 최고 성능이 아닌 물품들도 존재하는 것이라면, 이는 더 많은 재료 물품들이 필요하다는 이야기인데 거래 흔적을 찾을 수 없다는 문제로 돌아간다. 만일 한 번에 다 만든 것이라면 로또 당첨 확률보다도 높은 일을 해냈다는 이야기가 된다. 이를 계산해보면 nath가 판매한 것으로 알려진 무기들을 단 한번에 최고 성능으로 만들어내는 데 로또 1등 당첨 확률보다 10배 어렵다고 한다.

관련된 의혹

nath와 류태민이 동일 계정이라는 의혹

1. 싴갤러스에 ID "nath"로 가입한 사용자가 닉네임을 "류태민"으로 기입했다.
2. 마비노기 홈페이지의 옛날 사용자 정보 기능을 이용해 보면, nath의 정보와 류태민의 정보에서 한줄 인사와 공통 아이콘이 동일하게 표시되는데, 이는 동일 계정이라서 그런 것이라는 의견이 있다.

2021년 3월 간담회에서 이는 사실로 밝혀졌다.

nath와 신준서가 친한 관계라는 의혹

1. "신준서"라는 이름을 사용하는 밀레시안이 물품 구매관련하여 협의할 때, 본인 대신 nath에게 연락하라고 했다는 제보가 있다.
2. "신준서"는 "nath"가 가입한 길드 인디고의 길드장이다.
3. "신준서"가 게임 내에서 소울 메이트로 지정한 밀레시안이 "nath"이다.

신준서라는 밀레시안이 넥슨 관계자라는 의혹

1. 네이버 카페에서 신준서로 활동하는 사람의 정보를 보면 이 사람의 Naver ID가 나온다.
2. 해당 Naver ID의 블로그 정보를 보면, 본명을 공개해 두었다.
3. 마비노기 2007 대학생 슬로건 공모전 수상자 명단에 동일한 이름이 있다.
4. 수상자에게 넥슨 입사지원 관련 혜택이 있으니, 혹시 "신준서"라는 밀레시안과 뭔가 관계가 있는 건 아닐까?

운영진은 2021년 3월 간담회에서 사실이 아님을 밝혔다. 운영진 내부의 누구도 이와 연관되지 않았다고 한다.

운영진의 해명

2021년 3월 간담회를 통해 운영진의 해명이 있었다. 요약하면 다음과 같다.

• 2016년 7월 22일 ~ 24일 : 아이템 복사를 암시하는 내용의 제보 유입
  • 로그 조사 결과 만돌린 서버에서 복사가 이뤄진 정황을 확인. 대상 2개 계정에 임시 블록 조치 후 1차 조사.
  • 2개 아이디(만돌린/신**, 만돌린/류**)를 이용, 다수의 재료 아이템을 복사한 것을 확인.
    • [n***]와 [류**] 캐릭터는 동일 계정에 생성되어 있음.
  • 연관된 2명의 총 12개 아이디 제제 완료.
• 2016년 7월 25일 ~ 31일 : 복사 규모 파악.
  • 2개 계정에 대한 내부자 조사 또한 진행. 2건 모두 내부자/관련자는 아님을 확인.
• 2016년 8월 8일 ~ 14일 : 유관부서 확인 후 넥슨 약관에 따라 제재 처리.

캐릭터	계정	최종로그아웃 시간	블럭 등록일
신**	c***********	2016-07-22 오후 6:50:05	2016-08-09 오후 5:27:51
n***	n***	2016-07-22 오전 11:52:38	2016-08-09 오후 5:27:51

• 사건 요약 및 결과
  • [n***]와 [신**] 아이디를 보유한 유저가 아이템 복제를 악용.
  • 총 1만회에 걸쳐 62만개 아이템을 복사.
  • 복사한 고대 황금 결정, 붕괴된 마력의 정수, 개조석 등 제작/강화 재료를 복사해 아이템을 제작/강화 시도.
  • 제작, 복사한 아이템의 99% 이상을 회수. 총 990회의 거래를 통해 4,740개의 아이템이 외부로 유출.
    • 외부로 유출되지 않은 채 제작/강화 등에 사용했거나 영구 제재된 계정에 보유중인 재화를 회수.
  • 정상 거래를 통해 유출된 아이템은 피해자 확산을 우려하여 회수하지 않음.

관련된 질문과 답변이 아래와 같이 있었다.

질문	운영진 답변
2016년 당시에 조사된 내용인가?	그렇다. 2016년에 조치가 끝났다.
일찍 발표하는 것에 대한 고려는 없었는가?	공지할 시점을 잡지 못했다. 해당 오류는 수정을 통해 재발되지 않는 건이다.
마비노기는 공식적으로 OpenAPI를 지원하고 있는가? 타 게임에서 이런 문제 확인하는 데 도움이 되었다.	없다. 필요하다면 도입할 수 있지만, 확답은 어렵다. 확인해보겠다.
복사 방법에 대한 자세한 설명을 듣고싶다. Engine의 문제인가?	정확한 재현 방법을 알고는 있으나, 취약점인만큼 자세한 안내는 힘들다. Engine은 아니고 client쪽의 문제이다.
OpenAPI 관련하여 검토에 얼마나 시간이 걸리는지?	4월 이내로 답변하겠다.
이런 사건이 이미 있었는데 필요성에 대한 판단이 더 필요한가?	OpenAPI의 악용 가능성이 있으므로, 보안과 필요성 사이에서 고민이 필요하다.
OpenAPI가 아니더라도 timeline같은 기능을 공식으로 제공하는 건 어떠한가?	관련되어 내부적 감시 체제를 개선 중이다.
조사는 밀레시안의 제보에서 시작되었는가? 그렇다면 동일 수법이 또 있었나?	그렇다. 이후엔 없었다. 내부 감시 체제로 확인했다.
복사 방법은 programming 등의 전문 지식이 필요한 내용이었나?	전문 지식이 없어도 가능한 부분이었다.
2016년 에린온의 종료도 유사한 이유였나? 아니라면 이유는?	보안상의 문제는 아니었다. 옛날 일이라 확인해보고 답변하겠다.

함께보기

• 2021년 2월 3차 성명문에서 운영진에게 해명을 요구했다.
• 2021년 3월 간담회에서 이 내용이 다루어졌고, 운영진의 해명은 여기에서 밝혀진 내용이다.
• 마비노기 홈페이지 공지사항 - 2016년에 발생한 아이템 복사 어뷰징 처리 결과 안내