게임 보존 쪽에서는 사라진 줄 알았던 자료가 한꺼번에 나왔고, 법적으로는 가장 위험한 유출이 됐다. 밸브의 옛 배포 인프라 스팀2(Steam2)에 있던 2003~2013년 개발 파일 약 12TB가 온라인에 풀렸다. 커뮤니티는 이걸 '테라리크(teraleak)'라고 부르고 있다.
무엇이 새어 나왔나
최초로 이 사실을 알린 건 X 이용자 게이브 팔로워(Gabe Follower)다. 지난 금요일이었다.
그는 아카이브에 '포탈 2', '레프트 4 데드', 'CS:GO'의 초기 버전과 취소된 포탈 프리퀄 'F-Stop'의 에셋이 들어 있다고 밝혔다.
덧붙여 '하프라이프 2: 에피소드 3'와 연결될 수 있는 자료가 포함됐을 가능성도 언급했다.
유출물의 정체는 스팀의 파일 묶음 단위인 '디포(depot)'다. 2003년부터 2013년 사이 스팀 서버에 저장돼 있던 것들이다.
레딧 이용자 RefreshingCapybara가 디포 전체 목록을 공유했다. 여기에는 수백 개 게임의 디포명은 물론 트레일러, 티저, 사운드트랙, 데모, 체험판까지 들어 있다.
이 이용자는 "과장을 보태지 않고, 역대 최대급 유출일 수 있다"고 적었다.
다만 목록만으로는 각 디포 안에 실제로 무엇이 들어 있는지 알 수 없다는 점은 짚어 둘 필요가 있다.
실제로 확인된 것들
며칠 사이 확인된 항목이 늘고 있다.
밸브 쪽에서는 2009년 시점의 '포탈 2' 베타 빌드가 온전한 형태로 발굴됐다.
여기서 눈길을 끈 건 '웨포나이저(Weaponizer)'라는 무기 모델이다. 오래전부터 '에피소드 3'와 연관됐다고 추정돼 온 물건인데, 이번 자료에서는 포탈 2 안에서 임시 에셋으로 재활용된 형태로 나타났다.
'레프트 4 데드'는 2008년 6월자 베타 빌드가 실제 플레이 가능한 상태로 확인됐다.
이 빌드에는 초기 HUD, 작업 중이던 로비 화면, 삭제된 음성이 남아 있다. 조이(Zoey) 역이 젠 테일러로 교체되기 전, 알레시아 글라이드웰이 녹음한 대사도 포함됐다.
이 밖에 CS:GO 프로토타입과 취소작 'F-Stop'의 파일 일부도 나왔다.
게임 보존 사이트 히든 팰리스(Hidden Palace)는 실제로 추출 가능한 빌드가 담긴 디포를 다수 특정했다.
진짜 문제는 서드파티 자료다
유출물이 밸브 자사 게임에만 머물지 않는다는 점이 이번 사안의 성격을 바꿨다.
아스 테크니카 보도에 따르면 확인된 프로토타입에는 '스펙 옵스: 더 라인', '문명 5', '마피아 2', 'GTA 3'가 포함된다.
밸브 전문 유튜버 타일러 맥비커는 이 지점을 두고 "밸브 빌드만 있었을 때보다 훨씬 위험한 상황"이라고 평했다.
권리자가 여러 회사로 흩어져 있어 대응과 삭제 요청이 동시다발로 들어올 수 있는 구조이기 때문이다.
출처도 단일하지 않아 보인다. 아스 테크니카는 이 빌드들이 오랜 기간 여러 경로에서 모인 컬렉션일 가능성을 제기했다.
실제로 유출물 안의 readme 파일에는 "이 컬렉션의 자료를 갖고 있던 모든 수집가에게 따뜻한 인사를"이라는 문구가 남아 있다.
2013년 이전 빌드 상당수는 그동안 '소실된 미디어'로 분류돼 왔다. 밸브가 스팀2에서 스팀파이프(SteamPipe)로 배포 방식을 바꾼 시점이 2013년이다.
해킹당한 게 아니었다
가장 많이 오해되는 부분이 여기다.
최초 제보자인 게이브 팔로워가 출처를 확인한 결과, 해킹은 없었다.
문제의 파일들은 옛 스팀2 인프라에 딸린 공개 엔드포인트에 그대로 남아 있었다.
비밀번호도, 인증도, 어떤 접근 제한도 없는 서버였다는 것이다. 주소만 알면 누구나 받아 갈 수 있는 상태였다.
즉 이번 사안은 침입 사고가 아니라 13년째 방치된 레거시 인프라의 문제에 가깝다.
자료가 2013년에서 끊기는 이유도 여기서 설명된다. 밸브가 배포 체계를 스팀2에서 스팀파이프로 교체한 해가 2013년이고, 그 시점 이후 데이터는 이 경로에 쌓이지 않았다.
보안 사고로 분류하기는 애매하지만, 결과적으로 10년치 개발 자산이 통째로 공개된 상태였다는 점은 달라지지 않는다.
밸브는 아직 아무 말도 하지 않았다
밸브는 이번 건에 대해 입장을 내지 않았다.
혼동하기 쉬운 다른 사건과는 구분할 필요가 있다. 이달 초 밸브가 공개한 침해 사고는 유럽 배송 협력사 CEVA 로지스틱스가 뚫려 하드웨어 구매자 개인정보가 노출된 건이었다. 게임 데이터와는 무관하다.
커뮤니티의 관심은 결국 '에피소드 3'로 쏠린다.
다만 12TB를 다 훑는 데는 시간이 걸린다. 실제로 무엇이 들어 있는지 윤곽이 잡히기까지 며칠은 더 필요할 것으로 보인다.
참고할 배경은 있다. 2024년 데이터마이닝 보도와 관련 인물의 발언을 통해, 코드명 HLX로 알려진 신규 하프라이프 프로젝트가 "처음부터 끝까지 플레이 가능한" 상태라는 이야기가 나온 바 있다.
확실한 사실도 하나 있다. '하프라이프 3'는 2013~2014년에 개발 중이었고, 레프트 4 데드식 플레이에 서사를 결합한 절차적 생성 게임으로 구상됐다. 당시 미완성이던 소스 2 엔진 위에 올라가 있었던 탓에 취소됐다.
