프라이빗 키 탈취로 USR 붕괴…2300만달러 이더리움 유출

Resolv Labs가 발행한 스테이블코인 USR의 ‘민팅(발행)’ 과정이 해킹으로 뚫리면서 디파이(DeFi) 시장이 또 한 번 충격을 받았다. 공격자는 담보 없이 대량의 USR을 찍어낸 뒤 다른 자산으로 바꿔치기해 최종적으로 약 2,300만달러(약 347억 원)를 이더리움(ETH)으로 빼돌린 것으로 온체인 데이터에서 확인됐다.

Resolv Labs는 현지시간 일요일 “네이티브 스테이블코인의 민팅 프로세스가 악용됐다”고 공개했다. 이어 월요일 오전 공지에서 “공격자가 프로젝트의 프라이빗 키에 접근해 담보 없는 USR 8,000만개를 발행했다”고 밝혔다. 발행된 물량은 스테이킹된 형태로 교환된 뒤, 서클의 달러 연동 스테이블코인으로 스왑되고 다시 이더리움(ETH) 매수에 사용되면서 자금 유출로 이어졌다.

이 여파로 USR 가격은 급락했다. 코인게코 기준 USR은 현재 0.4달러 아래에서 거래되고 있으며, 한때 0.02달러까지 밀린 것으로 나타났다. Resolv Labs는 추가 피해 확산을 막기 위해 민트와 리딤(상환) 기능을 ‘중단’한 상태라고 밝혔다. 결과적으로 USR 보유자들은 사실상 출구가 막힌 채 가격 변동을 고스란히 떠안게 됐다.

‘프라이빗 키’ 탈취가 핵심…담보 10만~20만달러로 8,000만개 발행

이번 사건은 USR의 페깅(1달러 가치 유지) 설계 자체가 직접 원인이 된 정통 ‘디페깅’ 사례라기보다, 운영·보안 영역에서의 프라이빗 키 유출이 핵심이었다는 점이 특징이다. Resolv Labs는 변동성이 큰 자산에 대해 롱·숏 포지션을 동시에 운용하는 트레이딩 전략으로 USR의 가치를 맞춘다고 설명해왔다. 예컨대 사용자가 이더리움(ETH)을 예치해 USR을 민팅하면, 프로토콜이 동시에 동일 규모의 숏 포지션을 열어 가격 변동을 상쇄하는 구조다.

다만 블록체인 분석업체 체이널리시스에 따르면 공격자는 프라이빗 키를 탈취한 뒤 약 10만~20만달러 수준의 담보만으로 8,000만 USR을 민팅했다. Resolv Labs의 키 관리 서비스가 아마존웹서비스(AWS)에서 침해되면서 프로토콜 로직이 사실상 ‘우회’됐고, 그 결과 정상적인 발행 제한이 작동하지 않은 것으로 전해졌다.

AI 기반 온체인 탐색기 ‘허드(Herd)’ 공동창업자 앤드루 웡(Andrew Whong)은 “민팅 컨트랙트에 오라클(가격 검증)이나 최대 민팅 한도 점검 장치가 없었다”고 지적했다. 프라이빗 키는 스마트컨트랙트의 핵심 권한을 쥐는 요소로, 탈취될 경우 발행·이체 등 치명적 행동이 가능해진다.

USR만의 문제가 아니었다…연동 프로토콜까지 ‘도미노’

피해는 Resolv Labs와 USR 보유자에 그치지 않았다. USR을 통합한 여러 디파이 프로토콜도 직격탄을 맞았다. 특히 ‘큐레이터(curator)’ 모델로 이용자 수익을 설계한 서비스들이 타격이 컸다는 평가다.

대표적으로 모포 Labs(Morpho Labs)는 이번 사태가 디파이 상호운용성(interoperability) 환경에서 어떻게 리스크가 확산되는지 보여주는 사례로 언급됐다. 모포는 서드파티 관리자가 대출 풀을 커스터마이즈하고, 자체 보안 기준과 토큰 리스트를 정하는 구조를 제공하는데 이 관리자를 ‘큐레이터’라고 부른다. 문제 발생 시 리스크는 모포 자체보다 해당 풀을 만든 큐레이터가 부담하는 형태다.

모포 공동창업자 멀린 에갈리테(Merlin Egalite)는 월요일 “모포 컨트랙트 자체에는 취약점이 없으며 의도대로 안전하게 운영 중”이라며 “USR 또는 Resolv 관련 자산에 노출된 볼트(vault)는 각 큐레이터의 커뮤니케이션을 따르라”고 밝혔다. 가운틀릿, Re7 Labs, kpk, 9summits 등은 USR에 노출된 맞춤형 볼트를 만든 모포 큐레이터로 지목됐다.

카오스 Labs(Chaos Labs) 설립자 오머 골드버그(Omer Goldberg)는 일부 큐레이터가 자동화된 유동성 공급 서비스를 운용하면서, 해킹 이후에도 수시간 동안 USR 볼트에 유동성이 계속 공급돼 피해를 ‘키웠다’고 지적했다. 모포 공동창업자 폴 프람보(Paul Frambot)는 “유동성 1만달러 이상을 보유한 약 15개 볼트가 영향을 받았다”며 “큐레이터들이 빠르게 대응했고 모포 팀도 필요한 지원에 나섰다. 다만 향후 유사 사건에 대비해 도구를 더 개선하겠다”고 말했다.

이번 Resolv Labs 해킹은 스테이블코인의 설계 논쟁을 넘어, 프라이빗 키 관리와 ‘연동 생태계’ 리스크가 결합될 때 피해가 얼마나 빠르게 번지는지 다시 확인시켰다. 디파이 시장에서는 단일 프로토콜의 보안 사고가 곧바로 여러 볼트와 대출 풀, 수익 상품으로 전이될 수 있는 만큼, 통합 자산에 대한 점검과 차단 체계가 업계 전반의 과제로 떠오르고 있다.

TP AI 유의사항

TokenPost.ai 기반 언어 모델을 사용하여 기사를 요약했습니다. 본문의 주요 내용이 제외되거나 사실과 다를 수 있습니다.