2억9200만달러 디파이 해킹…에이브까지 번진 구조적 취약점

주말 사이 약 2억9200만달러(약 4286억원) 규모 해킹이 발생하며 디파이(DeFi) 시장이 크게 흔들렸다. 이더리움(ETH) 기반 파생 토큰 ‘rsETH’를 둘러싼 구조적 취약점이 드러나며 에이브(AAVE) 등 주요 대출 프로토콜로 충격이 확산되는 모습이다.

이번 공격은 켈프(Kelp)의 rsETH 토큰과 블록체인 간 자산 이동을 담당하는 ‘브리지’ 구조를 겨냥한 것으로 분석된다. 공격자는 담보 없이 토큰을 대량 발행한 뒤 이를 담보로 실제 이더리움(ETH)을 대출해 시장에서 유동성을 빼낸 것으로 보인다. 피해 자산 상당수는 디파이 최대 대출 플랫폼인 에이브(AAVE)에서 빠져나갔다.

단일 검증 구조가 만든 취약점

렛저 CTO 샤를 기이예메는 이번 공격이 ‘레이어제로 브리지’ 구성 요소를 노린 것이라고 설명했다. 브리지는 일반적으로 한 체인에 자산을 잠그고 다른 체인에서 동일한 토큰을 발행하는 구조인데, 이 과정은 검증자(오라클)에 의존한다.

문제는 켈프의 경우 단일 서명자 구조, 즉 한 개 주체만으로 모든 검증이 가능했다는 점이다. 공격자는 이 권한을 탈취하거나 악용해 실제 담보 없이 rsETH를 대량 발행했고, 곧바로 에이브(AAVE)에 예치해 이더리움을 빌려갔다.

커브 파이낸스 창립자 마이클 이고로프는 “단일 주체에 의존하면 이런 일이 발생한다”고 지적했다. 결과적으로 프로토콜은 현금화가 어려운 담보만 남기고 핵심 자산은 빠져나간 상태다.

에이브 유동성 급감…‘뱅크런’ 우려

이번 사태는 단순 해킹을 넘어 시장 전반으로 번졌다. 에이브(AAVE)는 사건 이후 약 60억달러(약 8조8060억원) 규모 자산이 이탈했고, 토큰 가격도 24시간 기준 약 15% 하락했다.

현재 일부 디파이 플랫폼은 실질 가치가 불분명한 담보와 부실채권을 떠안은 상황으로 분석된다. 이용자들이 자산 인출에 나서면서 ‘디파이판 뱅크런’ 가능성도 제기된다.

특히 이번 사건은 불과 몇 주 전 발생한 솔라나 기반 디리프트(Drift) 2억8500만달러 해킹 직후 발생했다. 연이은 사고로 약 900억달러 규모 디파이 시장 전체에 대한 신뢰가 흔들리고 있다.

남은 의문…검증 노드는 어떻게 뚫렸나

핵심 쟁점은 검증 시스템이 어떻게 무력화됐는지다. 해당 시스템은 레이어제로 공식 노드를 기반으로 작동했지만, 해킹인지 설정 오류인지, 혹은 인증 절차가 속은 것인지 아직 명확히 밝혀지지 않았다.

공격자 신원 역시 확인되지 않았지만, 업계는 이번 공격을 고도의 기술을 가진 조직의 소행으로 보고 있다.

디파이 구조적 리스크 재부각

전문가들은 이번 사건이 디파이의 ‘연결성 리스크’를 다시 보여준 사례라고 본다. 하나의 취약점이 여러 프로토콜로 빠르게 전이되는 구조가 문제라는 지적이다.

특히 자산 간 위험이 공유되는 대출 구조와 신규 자산 상장 과정의 검증 부족이 피해를 키웠다는 분석이다.

다만 업계는 이번 사건이 장기적으로 구조 개선 계기가 될 가능성도 제시한다. 시스템이 반복된 공격을 통해 진화해왔다는 점에서다.

그럼에도 단기적으로는 디파이에 대한 신뢰 훼손이 불가피하다. 전문가들은 2026년이 ‘해킹 피해 최악의 해’가 될 수 있다고 경고하며, 시장 전반의 경계심이 커지고 있다.

💡 자주 묻는 질문 (FAQ)