9개월 설계된 디파이 공격…비너스 해커, 되레 손실로 끝났다

디파이(DeFi) 시장에서 해킹은 대개 ‘순식간에 돈이 사라지는’ 사건으로 기록되지만, 비너스 프로토콜(Venus Protocol)에서 벌어진 이번 공격은 정반대였다. 공격자는 9개월에 걸쳐 치밀하게 준비했지만, 온체인 기준으로는 약 470만달러(약 70억6500만원) 손실을 본 것으로 분석됐다.

블록체인 보안 감사업체 블록섹(BlockSec)은 일요일 발생한 이번 사건과 관련해 “널리 알려진 370만달러 규모 해킹보다 ‘온체인에서 보이는 그림이 더 복잡하다’”며 “프로토콜과 공격자 모두 돈을 잃는 결과로 끝났다”고 밝혔다.

공격은 테나(Thena)의 토큰 THE를 장기간 축적하는 방식으로 시작됐다. 알레즈 랩스(Allez Labs)의 기술 보고서에 따르면 공격자는 토네이도캐시(Tornado Cash)를 통해 자금을 조달해 9개월 동안 THE 포지션을 쌓았다. 이후 비너스의 THE 담보 공급 한도(supply cap)를 넘어설 정도로 물량을 확보한 뒤, 담보 가치가 과도하게 높게 평가되도록 만들고 이를 담보로 약 1500만달러 상당의 자산을 빌려갔다.

문제는 출구 전략이었다. 블록섹은 온체인 손익을 추적한 결과 공격자가 “총 992만달러를 투입했지만, 모든 청산(liquidation)이 끝난 뒤 남은 금액은 약 520만달러에 불과해 온체인 순손실이 약 470만달러”라고 분석했다. 공격의 구조상 시장 유동성이 얇은 구간에서 담보 토큰이 대량 매도되며 가격 충격이 커졌고, 그 여파가 공격자 자신에게도 손실로 되돌아온 셈이다.

다만 블록섹은 공격자의 ‘진짜 수익’이 온체인 밖에서 발생했을 가능성도 열어뒀다. 예컨대 중앙화 거래소 계정 등 오프체인 포지션에서 THE 가격 변동을 활용했을 경우, 온체인 손실과 별개로 이익을 얻었을 수 있다는 해석이다. 실제로 한 보안 연구원은 이번 공격 흐름을 추적하며 THE를 공매도해 1만5000달러의 수익을 거뒀다고 주장했다.

프로토콜 측 피해도 남았다. 비너스 프로토콜은 청산 봇들이 유동성이 얇은 시장에 THE 담보를 던지면서 약 210만달러(약 31억5600만원)의 ‘부실채권(bad debt)’이 발생한 것으로 집계됐다. 알레즈 랩스는 더 뼈아픈 대목으로, 이번 공격 벡터가 2023년 코드4레나(Code4rena) 감사에서 한 차례 ‘경고’됐음에도 “부정적 부작용이 없다(no negative side effects)”는 이유로 크게 문제 삼지 않았다고 지적했다.

BNB체인 최대 대출 프로토콜, 반복되는 ‘오라클·담보’ 리스크

비너스 프로토콜은 BNB체인(BNB Chain·구 바이낸스 스마트체인)에서 가장 큰 대출 플랫폼으로, 예치 자산 규모(TVL)는 약 14억5000만달러에 이른다. 2020년 출시 이후 굵직한 사고와 논란이 반복돼 왔다는 점에서, 이번 사건은 단발성 해킹이라기보다 구조적 리스크를 다시 드러낸 사례로 평가된다.

최근에도 비너스는 여러 차례 위기를 겪었다. 지난해 9월에는 2700만달러 해킹 우려가 확산됐지만, 실제로는 한 사용자가 피싱에 속아 자산을 탈취당한 사건으로 결론 났다. 당시 프로토콜은 일시 중단됐고, 피해 복구를 위해 해당 사용자의 포지션이 청산됐다.

그 이전에도 오라클(가격 정보 제공 장치) 취약점을 둘러싼 부실채권이 반복됐다. 약 1년 전에는 “아무도 예상하지 못한 오라클 조작 공격”으로 90만달러의 부실채권이 발생했는데, 사후 보고서는 “마운틴(Mountain)의 WUSDM 환율 오라클”을 원인으로 지목했다.

2023년에는 2022년 BNB 브리지 해킹(피해액 6억달러) 여파로 약 1억5000만달러 규모의 BNB 청산 가능성에 대비하기도 했다. 2022년 테라·루나 붕괴 당시에는 체인링크(Chainlink)의 루나(LUNA) 가격 피드가 바닥을 찍는 과정에서 1400만달러의 부실채권이 누적됐다. 2021년에는 자체 토큰 XVS 변동성이 커지며 2억달러 청산과 9000만달러 부실채권이 발생한 전례도 있다.

이번 비너스 프로토콜 공격은 ‘최근 디파이 해킹=즉각적인 탈취’라는 통념을 깨는 동시에, 담보 한도·오라클·얇은 유동성이라는 고질적 취약점이 여전히 악용될 수 있음을 보여줬다. 공격자가 온체인에서 손실을 본 이례적 결과와 별개로, 시장은 동일한 설계 리스크가 다른 대출 프로토콜로도 전이될 수 있다는 점에 주목하는 분위기다.

기사요약 by TokenPost.ai

🔎 시장 해석

- 비너스 프로토콜 해킹은 ‘즉시 탈취’가 아니라 9개월 축적→가격 왜곡→대출→청산의 장기형 공격으로, 디파이 대출의 구조적 약점(담보 한도·오라클·얇은 유동성)을 재확인시켰습니다.

- 온체인 기준 공격자는 약 470만달러 순손실을 봤지만, 오프체인(거래소 공매도 등)에서 손익을 상쇄/역전했을 가능성이 남아 ‘온체인 PnL만으로 결론내리기 어려운’ 사례입니다.

- 프로토콜도 청산 과정에서 약 210만달러의 부실채권이 발생해, 공격이 실패/손실로 끝나더라도 사용자·프로토콜 리스크는 현실화될 수 있음을 보여줍니다.

💡 전략 포인트

- 대출형 디파이는 ‘오라클 가격’과 ‘담보 자산 유동성’이 동시에 취약하면, 가격을 끌어올린 뒤 대출을 뽑아가는 형태의 공격에 노출될 수 있습니다(특히 유동성 얇은 토큰).

- 담보 공급 한도(supply cap) 상향/설정, 담보 자산 채택(리스팅) 기준, 청산 설계(청산 인센티브·부분 청산·경매 방식)가 공격 비용과 피해 규모를 좌우합니다.

- 감사에서 지적된 벡터를 “부작용 없음”으로 치부하면 동일 유형이 재발할 수 있으므로, 리스크 트레이드오프(유동성·성장 vs 안전장치)를 문서화하고 사후 대응(파라미터 조정·가드레일)을 상시화할 필요가 있습니다.

📘 용어정리

- 오라클(Oracle): 온체인 프로토콜이 참고하는 외부/시장 가격 정보 시스템(조작·지연 시 대출 한도 왜곡 가능).

- 담보(Supply/Collateral)·담보 한도(Supply cap): 특정 토큰을 예치(담보화)할 수 있는 최대 한도. 한도/유동성 설계가 공격 가능성을 바꿉니다.

- 청산(Liquidation): 담보 가치가 기준 이하로 내려가면 포지션을 강제 정리해 대출금을 회수하는 절차.

- 부실채권(Bad debt): 청산해도 대출금이 다 회수되지 않아 프로토콜에 남는 손실.

- 온체인/오프체인 손익: 블록체인 상 거래만의 PnL(온체인)과, 거래소 포지션 등 체인 밖 거래까지 포함한 PnL(오프체인)의 괴리 가능성.

💡 자주 묻는 질문 (FAQ)

Q.

이번 비너스 프로토콜 공격은 무엇이 핵심인가요?

공격자는 THE 토큰을 9개월간 축적한 뒤 가격이 과대평가되도록 만들고, 이를 담보로 약 1,500만달러 상당 자산을 빌려가는 구조를 만들었습니다. 다만 청산 과정에서 가격 충격이 커지며 공격자 본인도 온체인 기준 약 470만달러 순손실을 본 ‘이례적’ 사례로 분석됩니다.

Q.

공격자인데도 왜 손실이 발생했나요?

구조상 담보 토큰(THE)의 유동성이 얇은 구간에서 대량 매도·청산이 발생하면 가격이 급격히 무너집니다. 그 결과 담보 가치가 빠르게 훼손돼 기대만큼 자금을 회수하지 못하고, 청산 종료 후 남은 금액이 투입금보다 작아 온체인 손실로 남을 수 있습니다. 다만 거래소 공매도 같은 오프체인 포지션으로 별도 이익을 얻었을 가능성은 열려 있습니다.

Q.

사용자 입장에서 어떤 점을 조심해야 하나요?

대출 프로토콜에서 ‘유동성이 얇은 담보 자산’, ‘오라클 의존도가 큰 설계’, ‘담보 한도/리스팅 변경 공지’는 핵심 위험 신호입니다. 이런 상황에서는 담보로 쓰는 토큰을 분산하고, 청산 가격(헬스 팩터) 여유를 크게 두며, 프로토콜의 과거 부실채권/사고 이력을 확인하는 것이 안전합니다.

TP AI 유의사항

TokenPost.ai 기반 언어 모델을 사용하여 기사를 요약했습니다. 본문의 주요 내용이 제외되거나 사실과 다를 수 있습니다.