가상자산 대출 TVL 560억달러 보도…브리지 위험은 남아

가상자산 대출 시장의 예치 규모가 늘었다는 보도가 나왔지만, 예치 자산의 회복이 보안 위험의 해소를 뜻하지는 않는다. 담보 토큰이 브리지·검증자·오라클에 의존하면 외부 기반 시설의 사고가 대출 프로토콜의 유동성 문제로 이어질 수 있다.

코인텔레그래프 매거진(Cointelegraph Magazine)은 가상자산 대출 시장의 TVL이 7월 이후 55% 넘게 늘어 약 560억달러(약 74조9000억원)에 이르렀다고 전했다. 이 수치는 갤럭시 리서치의 대출 잔액 집계와 지표 범위 및 기준 시점이 같다고 확인되지 않아 직접 비교하기 어렵다. 갤럭시 리서치는 8월 14일 공개한 보고서에서 2026년 2분기 가상자산 담보 대출 잔액을 561억6000만달러(약 75조2000억원)로 집계했다. 전 분기보다 113억3000만달러(16.78%) 줄었으며, 갤럭시 리서치는 급격한 붕괴보다 단계적 감소에 가깝다고 분석했다. 2분기 대출 잔액의 감소 흐름을 다룬 본지 보도와도 이어지는 내용이다.

외부 기반 시설의 위험이 대출 시장으로 번지는 경로는 4월 Kelp DAO의 rsETH 브리지 사고에서 드러났다. LayerZero는 사고 보고서에서 4월 18일 브리지 공격으로 11만6500 rsETH, 당시 약 2억9200만달러(약 3910억원) 상당이 유출됐다고 밝혔다. 공격자는 탈취한 rsETH를 담보로 다른 자산을 빌렸다. Aave의 스마트 컨트랙트가 직접 침해된 것은 아니지만, 브리지에서 발생한 문제가 담보 자산을 거쳐 대출 시장에 영향을 미쳤다.

스타니 쿨레초프(Stani Kulechov) Aave 창립자 겸 Aave Labs 최고경영자는 원문 인터뷰에서 “담보 토큰을 받아들이는 것은 그 토큰의 브리지와 검증자 구성, 오라클, 발행자의 운영 보안에도 의존하는 일”이라고 설명했다. 담보의 가격과 변동성만으로는 위험을 충분히 파악하기 어렵다는 뜻이다.

사고 원인과 책임을 놓고는 당사자들의 설명이 엇갈렸다. LayerZero는 사고 보고서에서 단일 검증자 설정이 공격에 이용됐다고 밝혔다. Kelp DAO는 공개 논의에서 단일 검증자 구성이 LayerZero의 기본 설정으로 제공됐다는 취지로 반박했다. 양측의 설명은 다르지만, 사고 자산이 대출 담보로 쓰이며 브리지 위험이 다른 프로토콜로 옮겨간 경로는 확인됐다.

프로토콜 내부의 자산 검토와 코드 점검도 위험 관리의 일부다. Aave는 원문 인터뷰에서 자산을 분기마다 검토하고 중대한 변화가 있으면 추가로 살핀다고 밝혔다. 샘 맥퍼슨(Sam MacPherson) Spark 최고경영자는 담보 품질과 유동성, 운영 보안, 거버넌스, 생태계 내 의존성을 점검한다고 말했다. 이런 절차가 외부 브리지나 검증자 네트워크의 사고까지 막는다는 보장은 없다.

Aave Labs는 8월 13일 공개한 V3·V4 코드 검토에서 AI 보안 도구 3개가 총 71건을 보고했고, 수동 검토 뒤 20건을 유효한 낮은 심각도 또는 정보성 문제로 분류했다고 밝혔다. 별도 변형 테스트에서는 코드에 의도적인 변형 304건을 넣었으며, 기존 테스트가 271건을 잡아냈다. 나머지 33건은 테스트 시간 초과로 판정하지 못했다. Aave Labs는 AI 검토를 기존 보안 절차를 보완하는 수단으로 설명했다. 이 결과는 코드 검토에 관한 것으로 브리지 운영이나 외부 기반 시설의 보안까지 검증한 것은 아니다.

Aave 거버넌스 포럼에서는 손실 부담과 담보 위험 반영을 두고 비판과 반론이 오갔다. 다른 논의에서는 위기 상황에 위험 담당자와 커뮤니티가 신속히 대응했다는 평가도 나왔다. 이는 커뮤니티 내부의 반응으로, 업계 전체의 견해로 일반화할 수는 없다.

TVL은 프로토콜에 예치된 자산의 규모를 나타내는 지표다. 담보의 품질, 외부 시스템에 대한 의존성, 위기 때 자금을 회수할 수 있는지는 TVL만으로 알 수 없다. 따라서 시장 규모 변화와 보안 상태는 각각 살펴야 한다.