바이낸스 해킹 뒤 센토라 모포 금고 환매 요청 모두 처리

센토라(Sentora)는 바이낸스 사고 보고서에서 모포(Morpho) 금고 두 곳의 환매 요청을 모두 처리했다고 밝혔다. 자사가 관리하는 대출시장에서는 약 3만5000달러(약 4718만원) 규모 청산이 한 차례 있었지만 부실채권은 발생하지 않았다.

센토라는 10월 30일 공개한 사건 보고서에서 자사가 직접 감독한 차입 포지션은 청산되지 않았다고 설명했다. 이 결과는 센토라가 관리한 시장에 한정되며 전체 탈중앙화금융(DeFi) 대출시장의 손실 여부를 뜻하지 않는다.

센토라는 에이브 V4에서 독립 대출시장도 운영한다. 토큰포스트는 앞서 센토라가 운영하는 에이브 V4 대출시장 3곳이 출시됐다고 보도했다.

10월 30일 오전 5시 5분께 바이낸스 해킹이 시작됐다. 토큰포스트는 앞서 바이낸스 지갑 5곳에서 리플(XRP) 2억3346만개가 공격자 주소로 옮겨지며 공격이 시작됐다고 보도했다.

바이낸스(Binance)는 조사 보고서에서 공격자가 내부 지갑 서명 서비스에 접근해 통상적인 출금 절차 밖에서 거래를 실행했다고 밝혔다. 이더리움(ETH) 네트워크에서는 EIP-7702 권한 위임이 악용됐다. 바이낸스가 밝힌 사고 영향 규모는 63억4000만달러(약 8조5463억원)다.

바이낸스는 10월 31일 기준 피해 자산의 약 98%를 자사 자금으로 보충했다고 밝혔다. 자사 자금으로 피해를 메운 것과 도난 자산을 되찾은 것은 서로 다른 조치다.

바이낸스는 한국시간 11월 1일 오후 3시부터 9시간 30분 동안 출금 46억4900만달러와 입금 10억1000만달러를 처리해 약 36억4000만달러(약 4조9067억원)가 순유출됐다고 발표했다. 이는 거래소 이용자의 입출금 차액으로, 대출 프로토콜에서 빠져나간 자금과는 집계 대상이 다르다.

에이브(AAVE)는 바이낸스 사고에 대응해 V3의 16개 네트워크 준비금 175개와 V4의 4개 네트워크 준비금 117개를 동결했다. 새 자산 공급과 차입은 중단했지만 기존 이용자의 출금과 상환은 허용했다.

에이브는 대응 보고서에서 “시장을 중단하지는 않았다”고 밝혔다. 준비금 동결은 신규 공급과 차입을 제한하는 조치였고, 기존 이용자가 자산을 회수하거나 빚을 갚는 길은 열어뒀다.

켈프다오(Kelp DAO) 사고는 공격 경로가 달랐다. 공격자는 한국시간 4월 19일 오전 2시 35분께 크로스체인 브리지에서 rsETH 11만6500개를 빼냈으며, 당시 가치는 약 2억9200만달러(약 3936억원)였다.

에이브 사고 보고서는 이 가운데 rsETH 8만9567개가 에이브에 담보로 공급됐다고 기록했다. 에이브 자체 스마트계약은 침해되지 않았으며, 문제가 된 브리지는 단일 검증 구조로 운영됐다는 게 보고서의 설명이다.

LayerZero는 별도 조사 결과에서 공격자가 RPC 인프라를 조작해 허위 메시지를 검증하게 했다고 밝혔다. 에이브 보고서의 단일 검증 구조 설명과 LayerZero의 외부 인프라 조작 설명은 각 주체가 밝힌 사고 경위로 구분할 필요가 있다.

센토라는 켈프다오 사고 뒤 5일 동안 대출 프로토콜에서 109억달러(약 14조6932억원)가 빠져나갔으며, 해당 관측 기간에 복귀한 자금은 없다고 집계했다.

이 수치는 탈취액이 아니라 대출시장에서 빠져나간 자금 규모다. 센토라의 바이낸스 사고 보고서는 전체 대출시장의 순유출액을 제시하지 않아 두 사건의 자금 이탈 규모를 같은 기준으로 비교할 수 없다.

에이브 거버넌스 포럼에서는 위험 통제를 둘러싼 의견이 엇갈렸다. 한 참여자는 대규모 차입 속도 제한이 부족하다고 주장했고, 다른 참여자는 6000만달러(약 809억원) 규모 담보 공급만으로 전 시장을 동결한 것은 과잉 대응이라고 반박했다.