1000만 달러(144억 원) 털렸다… 스텔라 디파이 YieldBlox, 'USTRY 가격조작' 해킹 드러났다

YieldBlox의 대출 풀(lending pool)이 스텔라(Stellar) 네트워크에서 약 1000만달러(약 144억3900만원) 규모 해킹을 당한 것으로 전해졌다. 공격자는 프로토콜 내부 토큰인 USTRY 가격을 비정상적으로 끌어올린 뒤 이를 담보로 활용해 스텔라루멘(XLM)과 USD코인(USDC)을 대출로 빼냈다.

USTRY 가격 ‘급등’시킨 뒤 XLM·USDC 대출로 1000만달러 유출

프로토스(Protos) 산하 ‘인폼드 크립토 뉴스(Informed Crypto News)’에 따르면, 이번 공격은 YieldBlox의 특정 대출 풀을 겨냥해 진행됐다. 해커는 먼저 USTRY 가격을 100달러를 넘는 수준까지 밀어올렸고, 이후 과대평가된 USTRY를 담보로 잡아 XLM과 USDC를 대량 차입하는 방식으로 자금을 탈취했다.

디파이(DeFi) 대출 프로토콜은 담보 자산의 가격을 기준으로 대출 한도(LTV)가 산정된다. 이 때문에 공격자가 유동성이 얇은 토큰의 가격을 순간적으로 왜곡할 수 있으면, 실제 가치보다 큰 금액을 빌려가는 ‘가격 조작’형 공격이 발생할 수 있다. 이번 사례도 USTRY 가격이 단기간 급등한 점이 핵심 단서로 거론된다.

스텔라 기반 디파이의 구조적 취약점 재점화

스텔라 생태계는 결제·송금에 강점을 가진 네트워크로 알려져 있지만, 최근에는 USDC 등 스테이블코인 유통과 함께 디파이 서비스가 늘어나며 공격 표면도 넓어지고 있다. 특히 대출 풀은 오라클(가격 정보 제공 장치) 설계, 담보 인정 범위, 유동성 깊이 등에 따라 취약점이 크게 달라지는 영역이라, 시장에서는 스텔라 기반 디파이 전반의 리스크 관리 수준을 다시 점검해야 한다는 목소리가 나온다.

이번 사건은 단순 피해 규모(약 144억3900만원)를 넘어, ‘담보로 쓰이는 토큰 가격이 어떻게 산정되는가’가 프로토콜 안전성의 핵심이라는 점을 재확인시켰다. 향후 YieldBlox가 피해 범위와 복구 계획, 재발 방지 대책을 어떤 수준으로 제시하느냐에 따라 스텔라 네트워크 내 디파이 신뢰도에도 영향을 미칠 전망이다.

“가격 조작 대출 공격, 원리부터 알아야 막는다” 토큰포스트 아카데미에서

USTRY 가격을 비정상적으로 끌어올린 뒤, 과대평가된 담보로 XLM·USDC를 대출로 빼내는 방식의 해킹은 디파이에서 가장 흔하면서도 치명적인 ‘가격 조작(Oracle/Market Price Manipulation)’ 리스크를 다시 보여줍니다.

특히 유동성이 얇은 토큰이 담보로 인정되는 순간, LTV 산정 구조와 청산 설계가 허술한 프로토콜은 한 번의 왜곡으로도 대규모 유출을 막기 어렵습니다.

토큰포스트 아카데미는 “수익률”보다 먼저, 내 자산을 지키는 구조 이해와 리스크 관리부터 훈련합니다.

• 5단계: The DeFi User (탈중앙화 금융) 과정에서는 대출·담보 구조의 핵심을 체계적으로 학습합니다.

• Lending & Borrowing (LTV, Liquidation): 담보 가치 산정과 LTV, 청산(Liquidation) 메커니즘을 이해해 ‘담보 과대평가’로 터지는 사고를 스스로 점검하는 기준을 세웁니다.

• DeXs explained (Order book vs AMM): 유동성 깊이(얇은 유동성)의 위험이 어떻게 가격 왜곡으로 이어지는지, AMM 구조와 함께 원리로 정리합니다.

• 리스크 관리 관점의 실전 학습: “담보로 쓰이는 토큰 가격이 어떻게 산정되는가”라는 질문을 오라클/유동성/위험 변수 관점에서 해석하는 능력을 기릅니다.

디파이는 ‘구조’를 모르면, 수익이 아니라 손실이 먼저 찾아옵니다.

다음 해킹을 뉴스로만 보지 않기 위해, 토큰포스트 아카데미에서 원리부터 정교하게 익혀보세요.

토큰포스트 아카데미 수강 신청하기

커리큘럼: 기초부터 디파이, 선물옵션까지 7단계 마스터클래스

첫 달 무료 이벤트 진행 중!

바로가기: https://www.tokenpost.kr/membership

TP AI 유의사항

TokenPost.ai 기반 언어 모델을 사용하여 기사를 요약했습니다. 본문의 주요 내용이 제외되거나 사실과 다를 수 있습니다.