리졸브 USR 해킹…디페깅 악용에 디파이 전반 ‘전염’ 확산

리졸브(Resolv) 스테이블코인 USR이 2300만달러(약 344억4200만원) 규모 해킹을 겪은 뒤 디파이(DeFi) 전반으로 충격이 확산되고 있다. 단일 프로젝트 사고가 연쇄 청산과 유동성 고갈로 번지는 ‘전염(contagion)’이 재현됐다는 평가다.

핵심은 USR ‘디페깅(depeg·1달러 고정 붕괴)’ 이후 일부 트레이더가 이를 담보로 활용해 여러 수익형 볼트(yield vault)에서 유동성을 빼냈다는 점이다. 여기에 자동화된 자금 배분 기능까지 오작동하며 손실이 커졌고, “사후에 위험 등급과 큐레이터 책임을 논의했지만 크게 달라진 게 없다”는 비판도 나온다.

해킹 원인: 프라이빗키 탈취로 무담보 USR 8000만달러 ‘민팅’

리졸브랩스(Resolv Labs)는 프라이빗키(개인키) 침해로 인해 약 8000만달러 규모의 ‘무담보 USR’이 무단 발행(민팅)됐다고 밝혔다. 해킹 이전에 유통되던 USR 물량의 담보는 “여전히 완전하게 뒷받침된다”는 입장이지만, 공격자가 발행분을 시장에 던지면서 탈중앙화거래소(DEX) 유동성공급자(LP)가 직접적인 피해를 떠안았다.

예컨대 커브파이낸스(Curve Finance) 내 LP 손실만 1700만달러(약 254억6090만원)로 추정된다. 코인마켓캡 기준 USR은 현재 0.23달러 수준에 거래되고 있으며, 보안업체 비오신(Beosin)은 공격자 수익을 1만1409 이더리움(ETH)으로 산정했다(기사 작성 시점 2300만달러 이상).

디페깅 악용한 담보 대출, 그리고 ‘리스크 큐레이터’의 자동 배분

사태가 커진 배경에는 ‘가격이 깨진 USR’을 담보로 삼아 다른 자산을 빌려갈 수 있었던 구조적 허점이 있다. 일부 볼트가 하드코딩된 가격 오라클(oracle·외부 가격 정보) 또는 경직된 평가 로직을 사용하면서, 누군가 싸게 매수한 USR을 예전처럼 1달러로 간주해 USDC 등 다른 자산을 대출받는 방식으로 볼트 유동성을 고갈시켰다.

여기에 ‘리스크 큐레이터(risk curator)’가 운용하는 자동화 전략이 가동되면서 피해가 증폭됐다. 유동성 소진으로 대출 시장 이용률(utilization)이 급등하자 공급 수익률이 치솟았고, 사전 설정된 한도와 신용 라인에 따라 자금을 자동 배분하는 모듈이 “깨진 시장”으로도 돈을 밀어 넣었다는 설명이다. 카오스랩스(Chaos Labs)의 오머 골드버그는 모포(Morpho)의 퍼블릭 얼로케이터(Public Allocator)를 통해 곤틀렛(Gauntlet)·re7·kpk·9Summits 등이 수백만달러 규모 자산을 자동 투입했고, 일부는 수시간 지속됐다고 밝혔다.

피해 규모와 교훈: 상호운용성의 ‘양날의 검’, 큐레이터 책임론 재점화

모포의 폴 프램보(Paul Frambot)는 USR 익스포저(노출)가 1만달러 이상인 영향을 받은 볼트가 15개라고 집계했다. 보안 연구원 웨이린 리(Weilin Li)는 영향권 큐레이터로 곤틀렛, Re7, MEV 캐피털, 엑스트라파이, 심리스, 오거스트, 클리어스타, kpk, 레이록, 9Summits 등을 거론했으며, 지난해 11월 스트림파이낸스(Stream Finance) 9300만달러 손실과 xUSD 75% 붕괴 당시 이름이 다시 등장했다는 점이 시장의 불신을 키웠다.

프로토콜별 여파도 엇갈린다. 예른(Yearn)은 손실이 377달러로 미미했지만, 인버스파이낸스(Inverse Finance)의 DOLA 담보는 간접 노출로 34만달러 구멍을 메우겠다고 했고, 비너스프로토콜(Venus Protocol)과 리스트a(Lista) 등은 USR 관련 시장을 일시 중단했다. 플루이드(Fluid)는 최대 1750만달러(약 261억8970만원) 부실채권 가능성이 거론됐으나 단기 대출로 100% 커버했다고 밝혔고, 추가 자금이 필요할 경우 FLUID 토큰 매각도 검토 중이라고 했다. 이번 사건은 디파이의 강점인 ‘상호운용성’이 위기 때는 연쇄 붕괴를 낳는 양날의 검임을 재확인시키며, 큐레이터가 ‘자기 돈(스킨 인 더 게임)’을 먼저 잃도록 하는 트랜치(tranching) 구조 등 책임 강화 논의에 다시 불을 붙이고 있다.

TP AI 유의사항

TokenPost.ai 기반 언어 모델을 사용하여 기사를 요약했습니다. 본문의 주요 내용이 제외되거나 사실과 다를 수 있습니다.