1,000만 달러 유출… 스텔라(XLM) 디파이 ‘YieldBlox’, 오라클 조작 한 방에 뚫렸다

YieldBlox가 운영하는 스텔라(XLM) 기반 디파이(DeFi) 대출 풀이 오라클 조작 공격을 받아 1000만달러(약 144억2500만원) 이상 피해를 입었다. 공격 직후 스텔라(XLM) 가격이 급락했지만 현재는 낙폭을 대부분 만회한 상태다.

YieldBlox 대출 풀, 오라클 조작으로 1000만달러 이상 유출

Script3는 2026년 2월 22일(현지시각, UTC 기준 일요일 0시 직후) YieldBlox 관련 ‘DAO(탈중앙화 자율조직) 관리형 머니마켓’의 렌딩 풀에서 해킹 피해가 발생했다고 밝혔다. Script3는 원인으로 ‘오라클(가격 정보를 온체인에 전달하는 시스템) 조작’을 지목했다.

Script3에 따르면 00시25분(UTC) 무렵 Reflector의 USTRY 오라클이 비정상적인 가격을 반영하면서 담보 가치가 과대 산정됐고, 그 결과 Blend 내 YieldBlox 풀에서 USDC와 스텔라(XLM) 혼합 자산 기준 약 1000만달러 규모가 빠져나갔다. Script3는 “다른 Blend 풀은 영향이 없고, 다른 풀은 취약하지 않다”고 선을 그었다.

‘비유동성’ 노린 단일 거래…USTRY 가격 1달러대에서 100달러 이상으로 왜곡

문제가 된 오라클을 제공한 Reflector는 “오라클은 ‘정확한 가격’을 인용했다”며, 가격 왜곡의 배경에 스텔라 거래소 내 USTRY/USDC 시장의 ‘유동성 부족’이 있었다고 설명했다.

Reflector가 X에 올린 스레드에 따르면 공격자는 거래가 거의 없는 USTRY/USDC 페어를 정조준했다. 해당 풀의 마켓메이커가 “어느 시점에 가용 유동성을 모두 회수”했고, 공격 직전 한 시간 거래량이 1달러 미만으로 떨어질 정도로 시장이 얇아진 틈을 탔다. 공격자는 단 한 번의 거래로 USTRY 가격을 약 1.05달러에서 100달러 이상으로 끌어올린 뒤, 과대평가된 USTRY를 담보로 대출을 실행해 자산을 인출한 것으로 전해졌다.

48만0000만 XLM 동결…보안위원회 “10% 바운티, 잔액 반환하면 협의”

디파이 보안업체 디큐리티(Decurity)는 YieldBlox 풀에서 총 6100만 XLM과 100만 USDC가 대출 형태로 빠져나갔다고 집계했다. 이 가운데 USDC 상당량은 브리지를 통해 이더리움으로 옮겨졌고, 4800만 XLM(약 750만달러·약 108억1875만원)은 스텔라 블록체인에서 동결된 것으로 알려졌다.

YieldBlox 보안위원회(Security Council)는 해커의 이더리움 주소로 온체인 메시지를 보내 “남은 자금을 반환하면 10% ‘바운티(포상금)’를 지급하겠다”고 제안했다. 동결된 4800만 XLM을 반환하는 절차도 안내하겠다고 덧붙였다.

주말 사이 디파이 해킹 재점화…IoTeX 브리지 사건까지 합쳐 1800만달러 이상

최근 2주간 비교적 잠잠했던 디파이 해킹은 이번 주말 다시 고개를 들었다. 이번 YieldBlox 건을 포함해 주말 동안 도난당한 자산이 1800만달러를 넘어섰다는 집계도 나왔다.

별도 사건으로 2월 21일(UTC 기준) IoTeX 브리지는 프라이빗키 유출로 의심되는 공격을 받아 초기에는 약 800만달러 피해로 추정됐다. 보안 연구원 웨이린 리(Weilin Li)는 공격자가 IOTX 토큰을 대량 발행(mint)한 뒤 바이낸스에 예치해 매도하려 했다고 관측했다. 다만 IoTeX 측은 이후 업데이트에서 피해 규모를 200만달러 수준으로 하향 조정하며 “여러 체인을 겨냥한 장기 계획형, 고도화된 공격”이라고 밝혔다.

블록체인 감사업체 펙실드(PeckShield)는 유출 자금 일부가 THORChain을 통해 비트코인으로 브리지됐다고 전했다. THORChain은 과거 불법 자금 이동에서 수수료 수익을 거둔다는 비판을 받아왔는데, 지난해 15억달러 규모 바이비트(Bybit) 해킹 자금 세탁 과정에서 THORChain이 약 20만달러를 벌었을 수 있다는 추정(ZachXBT)도 나온 바 있다.

이번 사건은 오라클 조작과 ‘얇은 유동성’이 결합될 경우 작은 거래 한 번으로도 담보 가치가 왜곡돼 대규모 인출로 이어질 수 있음을 다시 보여줬다. 디파이 시장이 반등 흐름을 타는 국면에서, 오라클 설계와 유동성 관리, 브리지 경로의 자금 추적·동결 체계가 동시에 시험대에 올랐다는 평가가 나온다.

오라클 조작·얇은 유동성… “디파이 리스크는 구조를 모르면 반복된다”

YieldBlox 사태는 단순한 해킹 이슈가 아니라, 오라클 설계와 유동성(마켓 깊이), 그리고 담보 평가 방식이 한 번 꼬이면 ‘단 한 번의 거래’로도 대규모 유출이 가능하다는 걸 보여줬습니다.

특히 USTRY/USDC처럼 거래가 얇은 페어에서 가격이 왜곡되면, “정확한 가격을 인용했다”는 오라클의 주장과 별개로 실제 시스템은 공격자에게 담보를 과대평가해주는 결과가 됩니다.

이럴 때 필요한 건 ‘뉴스를 읽는 것’이 아니라, 수익이 어디서 생기고(Real Yield), 리스크가 어디서 터지는지(오라클·LTV·청산·브리지 경로) 구조로 해부하는 능력입니다.

대한민국 1등 블록체인 미디어 토큰포스트가 운영하는 토큰포스트 아카데미는 이런 디파이 사고를 “남 일”로 넘기지 않고, 내 자산을 지키는 실전 체계를 단계별로 학습하도록 설계됐습니다.

• Phase 5: The DeFi User (탈중앙화 금융)
  

  단순 예치가 아니라, 디파이의 핵심 수익 구조와 함께 리스크를 관리하는 법을 배웁니다.

  ▲ 스테이킹·렌딩의 원리
  

  ▲ 유동성 공급(LP)와 비영구적 손실(Impermanent Loss) 계산법
  

  ▲ Lending & Borrowing (LTV, Liquidation) – 담보대출의 LTV/청산 리스크 관리

• Phase 2: The Analyst (가치 평가와 분석)
  

  ‘얇은 유동성’ 같은 취약 지점을 데이터로 판별하는 기반을 다집니다.

  ▲ 온체인 데이터 분석 입문 & 블록체인 탐색기 활용법
  

  ▲ 시장 참여자 손익 구간(SOPR), 심리 구간(NUPL) 등 핵심 지표 이해

• Phase 6: The Professional (선물과 옵션 - 심화)
  

  급변장 또는 사고 발생 시, 포트폴리오를 방어(Hedging)하는 방법을 다룹니다.
  

  (초보자 무리한 진입 금지 구간, 리스크 경고 및 포지션 사이즈/손절 원칙 포함)

오라클 조작, 브리지 경로, 동결·추적 이슈가 반복되는 시장에서 2026년의 생존 무기는 ‘운’이 아니라 검증과 리스크 관리 능력입니다.

혼탁한 수익률 경쟁 속에서, 내 자산이 어떤 위험에 노출돼 있는지부터 확실히 정리해보세요.

토큰포스트 아카데미 수강 신청하기

커리큘럼: 기초부터 디파이, 선물옵션까지 7단계 마스터클래스

첫 달 무료 이벤트 진행 중!

바로가기: https://www.tokenpost.kr/membership

TP AI 유의사항

TokenPost.ai 기반 언어 모델을 사용하여 기사를 요약했습니다. 본문의 주요 내용이 제외되거나 사실과 다를 수 있습니다.