에이브 V4 출시 앞두고 ‘보안 우선’ 전환…150만달러 투입해 다층 감사 진행

에이브(AAVE) 개발사 에이브랩스(Aave Labs)가 V4 출시를 앞두고 보안에 ‘올인’했다. 총 150만달러(약 22억2855만원)를 들여 1년에 가까운 기간 동안 다층 감사(audit)를 진행하면서, 디파이(DeFi) 업계에서도 손꼽히는 고강도 보안 검증 사례로 평가받는다.

이번 감사는 에이브 DAO 지원을 바탕으로 진행됐다. 체인시큐리티(ChainSecurity), 트레일 오브 비츠(Trail of Bits), 블랙손(Blackthorn), 서토라(Certora) 등 주요 보안업체 4곳이 참여했고, 단발성 점검이 아니라 관점이 다른 여러 팀이 코드를 교차 검증하는 방식으로 설계됐다. 누적 리뷰 기간은 약 345일에 달한다.

150만달러 들인 V4 감사…“디파이 보안의 기준선이 바뀌고 있다”

에이브랩스가 강조한 건 ‘규모’와 ‘방식’이다. 내부 팀 점검, 외부 전문 감사, 독립 연구자 검토를 겹겹이 쌓는 형태로 진행됐고, 핵심 구간 중 하나로는 2025년 12월부터 2026년 1월까지 6주간 진행된 공개 보안 콘테스트가 꼽힌다.

이 콘테스트는 보안 플랫폼 셜록(Sherlock)에서 열렸다. 900명 이상 연구자가 참여해 950건이 넘는 제보·지적 사항을 제출했지만, ‘치명적(critical)’ 또는 ‘고위험(high severity)’ 취약점은 발견되지 않았다는 게 에이브랩스 설명이다. 공개 환경에서 대규모로 공격 시나리오를 검증했음에도 핵심 결함이 나오지 않았다는 점은 V4 신뢰도를 끌어올리는 대목이다.

업계에선 이를 V4의 ‘허브-스포크(hub-and-spoke)’ 구조와도 연결해 해석한다. 에이브는 V4에서 유동성과 기능을 확장하면서도 공격 표면(attack surface)을 줄이기 위한 설계를 전면에 배치했는데, 이번 결과가 그 설계 방향을 뒷받침한다는 평가가 나온다. 특히 TVL(총예치자산) 확대 국면에서 반복적으로 문제가 됐던 스마트컨트랙트 리스크를 선제적으로 낮추려는 시도로 읽힌다.

“만들고 나중에 감사”는 끝…V4는 ‘보안 우선’으로 설계

V4에서 가장 큰 변화는 개발 방법론 자체가 ‘보안 우선(security-first)’으로 이동했다는 점이다. 기존의 ‘먼저 만들고, 나중에 감사’가 아니라, 개발 초기부터 보안팀이 병행 참여해 코드 작성과 검증이 동시에 굴러가도록 프로세스를 바꿨다.

에이브랩스가 제시한 핵심 축은 5가지다. 수학적으로 코드의 성질을 증명하는 ‘형식 검증(formal verification)’, 수동 감사와 자동 테스트를 결합한 ‘다층 리뷰’, 코드 업데이트마다 반복되는 ‘지속 점검’, 상시 운영되는 ‘버그바운티’, 그리고 비정상 공격 경로를 탐지하는 ‘AI 기반 스캐닝’이다.

특히 AI 요소는 사람이 놓치기 쉬운 엣지 케이스(edge case)를 자동으로 포착할 수 있다는 점에서 눈에 띈다. 서토라는 코드가 반드시 지켜야 하는 규칙인 ‘불변조건(invariants)’을 정의하는 데 관여한 것으로 알려졌다. 불변조건은 특정 상황에서도 자산 보존, 권한 통제, 상태 전이 등 핵심 안전장치가 깨지지 않도록 강제하는 일종의 안전 규칙이다. 이 규칙을 먼저 세워두고 그에 맞춰 코드를 검증하면, 수동 감사 단계에 도달하기 전부터 위험을 크게 줄일 수 있다.

사전 검토에 참여한 일부 연구자들이 “감사 전 단계치고 코드가 이례적으로 깔끔하다”는 취지로 평가했다는 점도 같은 맥락이다. 디파이 해킹이 반복되며 시장 신뢰가 흔들린 이후, ‘빠르게 만들고 고치기’보다 ‘처음부터 탄탄하게 만들기’가 경쟁력이 되는 흐름이 뚜렷해졌다는 해석이 나온다.

기관 자금이 보는 건 수익률보다 리스크…V4의 다음 시험대는 ‘출시 이후’

업계에선 이번 150만달러 투자 자체가 일종의 ‘신뢰 신호’라고 본다. 기관 자금은 스마트컨트랙트 위험이 불명확한 프로토콜에 쉽게 들어오지 않는다. 대형 해킹 이후 디파이에 대한 위험 프리미엄이 커진 상황에서, 감사에 비용과 시간을 선투입하는 전략은 유동성 확장(스케일링)과 직결되는 문제다.

다만 진짜 시험대는 출시 이후다. 공개 콘테스트에서 치명적 취약점이 나오지 않았더라도, 메인넷 환경에서 실제 자금이 대규모로 움직이면 예상치 못한 결함이 드러날 수 있다. V4가 출시 후 초기 수개월을 큰 사고 없이 통과한다면, 그동안 디파이 리스크를 이유로 관망하던 보수적 자금이 다시 유입될 여지가 커진다. 결국 V4의 보안 전략은 비용 집행 자체가 아니라, ‘운영 성적표’로 최종 평가받게 될 전망이다.

TP AI 유의사항

TokenPost.ai 기반 언어 모델을 사용하여 기사를 요약했습니다. 본문의 주요 내용이 제외되거나 사실과 다를 수 있습니다.