에이브 예치액 43% 감소, 브리지 충격 이어졌다

에이브(AAVE)의 총예치액(TVL)이 켈프다오(KelpDAO) rsETH 브리지 공격 이후에도 공격 전 수준을 회복하지 못했다. 공격은 에이브 자체 침해가 아니었지만 대출 프로토콜 유동성에는 후폭풍을 남겼다.

디파이라마(DefiLlama)에 따르면, 19일 기준 에이브 TVL은 약 146억 달러(약 20조6000억원)로 표시됐다. 프로토스(Protos)는 에이브 TVL이 4월 18일 공격 이후 43% 줄었다고 보도했다. 디파이라마의 19일 기준 수치도 공격 전 수준을 밑돈다.

이번 사건은 에이브 스마트컨트랙트 침해가 아니었다. 에이브 거버넌스 포럼의 4월 20일 사고 보고서는 공격자가 켈프다오의 레이어제로(LayerZero) V2 유니체인→이더리움 rsETH 경로를 악용해 11만6500 rsETH를 빼냈고, 이 가운데 8만9567 rsETH를 에이브에 예치했다고 밝혔다. 보고서는 에이브 스마트컨트랙트와 오라클, 청산 구조가 설계대로 작동했다고 설명했다.

공격은 한국시간으로 4월 19일 오전 2시35분 발생했다. 에이브는 같은 날 오전 4시께 rsETH와 wrsETH 리저브를 동결해 신규 공급과 차입을 막았고, 기존 포지션은 상환과 청산 대상에 남겼다. 4월 19~20일에는 WETH 금리 모델 조정과 WETH 동결도 이어졌다.

공격 규모는 레이어제로 보고서 기준 2억9200만 달러(약 4129억원)다. 레이어제로는 5월 20일 보고서에서 맨디언트, 크라우드스트라이크, 독립 보안 연구자들이 공격 주체를 북한 연계 TraderTraitor(UNC4899)로 봤다고 밝혔다. 레이어제로는 단일 검증자 구성에서 목적지 계약이 하나의 유효 증명을 받아 rsETH를 풀어준 점을 문제로 짚었다.

켈프다오 측 설명은 달랐다. 코인데스크는 켈프다오가 레이어제로의 기본 설정과 인프라 신뢰 구조를 문제 삼았다고 전했다. 책임 소재를 둘러싼 논쟁은 여기서 갈렸다.

브리지 구조는 서로 다른 블록체인 사이에서 자산 이동을 가능하게 하는 장치다. 이용자는 한 체인에서 자산을 잠그고 다른 체인에서 대응 자산을 받는다. 이 과정에서 검증 구조가 흔들리면 자산 발행과 상환의 균형이 깨질 수 있다.

에이브가 받은 충격은 책임 논쟁과 별개로 나타났다. 외부 담보 자산 신뢰가 흔들리자 예치자는 빠져나갔고, 대출 시장의 유동성은 줄었다. TVL은 프로토콜에 들어간 자산 규모를 보여주지만 가격 변동, 신규 예치, 인출 흐름이 함께 반영되는 지표다.

복구 절차도 진행됐다. 에이브랩스(Aave Labs)는 5월 개발 업데이트에서 DeFi United 복구 작업이 청산, 담보 회수, 락박스 보충을 포함해 진행됐다고 밝혔다. 같은 문서는 이더리움(ETH)과 아비트럼(ARB)에서 공격자 포지션이 청산됐고, 영향을 받은 배포 환경의 ETH 유동성이 회복됐다고 설명했다.

rsETH 운영 상태도 초기 동결에서 일부 정상화 단계로 넘어갔다. 5월 업데이트는 rsETH가 에이브 이더리움 코어, 아비트럼, 베이스, 리네아, 멘틀(MNT) 시장에서 다시 일시정지 해제됐다고 밝혔다. 다만 운영상 조치와 TVL 회복은 별개로 움직였다.

수치상 회복은 제한적이다. 프로토스는 공격 이후 에이브 TVL이 43% 줄었다고 보도했다. 현재 디파이라마 수치와 비교해도 에이브는 대형 디파이 대출 프로토콜 지위를 유지하고 있지만, 공격 전 유동성에는 못 미친다는 취지다.

본지는 앞서 4월 rsETH 사건이 대출 시장의 위험 관리 논의를 키운 배경으로 꼽힌다고 전했다. 당시 에이브 거버넌스 포럼은 rsETH와 wrsETH 시장 동결을 공지했고, 후속 보고서는 11만6500 rsETH 탈취와 8만9567 rsETH의 에이브 담보 예치를 정리했다.

이 사안은 한국 투자자에게도 디파이 예치 지표를 읽는 기준을 남긴다. TVL이 크더라도 담보 자산의 신뢰와 브리지 검증 구조가 흔들리면 대출 시장 전체로 충격이 번질 수 있다. 에이브에 미칠 장기 영향은 TVL 회복 속도와 rsETH 정산 결과로 확인될 예정이다.