디파이 프로토콜 '리서플라이', 스마트컨트랙트 취약점 노린 해킹에 132억 원 피해

탈중앙화 스테이블코인 프로토콜 리서플라이가 해킹 공격으로 약 950만 달러(약 132억 원)의 피해를 입었다. 이 프로토콜은 콘벡스 파이낸스(Convex Finance)와 이어른 파이낸스(Yearn Finance) 등 주요 디파이 프로젝트와 연계돼 있어 파장이 예상된다.

이번 해킹은 유동성이 거의 없는 시장에서 환율 계산 방식의 허점을 파고들어 계획됐다. 블록체인 보안 업체 블록섹(BlockSec)의 팔콘(Phalcon) 팀과 써티크(CertiK)는 공격자가 cvcrvUSD 토큰의 시장 가격을 인위적으로 부풀리고, 계약 내부의 ‘버림 나눗셈(floor division)’ 취약점을 이용해 실질적으로 ‘제로’에 가까운 가격으로 스테이블코인을 대량 차입했다고 설명했다.

공격자는 모포(Morpho)에서 4,000 USDC(약 556만 원)를 플래시론으로 빌려 해당 거래를 시작한 것으로 드러났으며, 조작된 환율을 근거로 사실상 담보 없이 reUSD 토큰 약 1,000만 달러(약 139억 원) 상당을 대출받았다. 이들은 이후 커브(Curve)와 유니스왑(Uniswap)에서 해당 토큰을 USDC와 이더리움(ETH) 기반 토큰인 WETH로 교환해 총 약 950만 달러(약 132억 원)의 순이익을 챙겼다.

펙실드(PeckShield)에 따르면, 이 공격자들은 익명성을 확보하기 위해 이더리움 2개를 카우스왑(Cow Swap)을 통해 지갑에 입금한 뒤, 이를 토네이도 캐시(Tornado Cash)로 라우팅했다. 이후 공격 계약에 자금을 투입하고, 이를 통해 시스템의 취약 점을 공략해 약 1,581 ETH를 탈취했다는 설명이다.

써티크는 결론적으로 공격자가 전체 피해액 중 556만 달러(약 77억 원)를 한 주소로, 400만 달러(약 56억 원)를 또 다른 주소로 이동시켜 자금을 분산했다고 전했다. 리서플라이는 공식 X(옛 트위터)를 통해 이번 공격 사실을 확인하고 해당 마켓을 일시 중단했으며, 향후 며칠 내로 내부 조사 결과를 공개하겠다는 입장을 밝혔다.

이번 사건은 이란 거래소 노빗텍스에서 발생한 약 4,900만 달러(약 681억 원) 해킹, 그리고 수이(Sui) 기반 디파이 프로토콜 ‘세터스(Cetus)’의 2억 2,300만 달러(약 3,100억 원) 피해 사고에 이어 발생해 최근 유사 공격의 연속성을 시사한다. 세터스는 공격 직후 일부 자금을 동결했지만, 해커는 여전히 약 6,000만 달러(약 834억 원) 상당의 자산을 이더리움 네트워크로 옮기며 거래소 측의 대응을 우회했다.

한편, 암호화폐 산업 내 공격 양상이 단순 거래소를 넘어 데이터 플랫폼으로까지 확산되고 있다. 최근 바이낸스 전 CEO 자오창펑(Changpeng Zhao)은 주요 크립토 정보 사이트들이 피싱 공격에 악용되고 있다며 실제 코인마켓캡과 코인텔레그래프 사이트에서 지갑 털이형 팝업 창이 무단 삽입되는 사례를 경고한 바 있다.

이번 리서플라이 해킹은 단순 기술 결함이 아닌 디파이 내 유동성 부족과 계약 설계의 취약점이 복합적으로 작동하며 발생한 사건으로, 향후 스테이블코인 생태계 내 스마트컨트랙트 안정성에 대한 본격적인 점검 필요성을 시사한다.