차세대 금융이라던 DeFI…올해 최대 4천억원대 해킹 [매일코인]

구글 제미나이

주말간 탈중앙화금융(DeFi)에서 올해 최대인 4000억원 규모 해킹이 발생했다. 디파이는 블록체인 기반 금융을 뜻한다.

담보를 활용해 대출을 일으켜 가치를 추가적으로 만들어내는 디파이의 특성상 연쇄 청산 우려로 커지면서 관련 코인들이 연달아 20% 가까이 급락하기도 했다.

20일 아베(AAVE)는 세계 최대 가상자산거래소인 바이낸스에서 91.39달러에 거래되고 있다. 이는 해킹이 발생한 지난 18일 이후 20.43% 급락한 가격이다.

아베가 급락한 건 디파이프로토콜 켈프다오(Kelp DAO)에서 발생한 11만6500개의 rsETH 탈취가 아베에 지대한 영향을 미쳤기 때문이다.

디파이는 코인을 예치하면 이에 대한 증서를 준다. 이 증서를 또 다시 다른 곳에 예치하고 이자를 받으면서 수익을 끌어올릴 수 있다.

켈프다오는 이더리움 예치증서인 stETH, ETHx 등를 예치하면 그에 대한 증서인 rsETH를 발급하는 프로토콜이다. 일종의 2차 대출 플랫폼인 셈이다.

이번 사건에서 해커는 이 rsETH를 대거 탈취해 다른 디파이에서 ETH로 최종 교환을 했다. 차용증(채권)을 갖고가서 양질의 자산으로 뒤바꾼 셈이다.

해커가 이럴 수 있었던 건 특히 블록체인을 활용해 차세대 국제은행간통신협회(SWIFT·스위프트)를 표방했던 디파이 시스템의 구조적 문제에서 기인했다.

본래 블록체인간 자산을 전송할때에는(예컨대 이더리움에서 트론으로) 서로 체인이 다르기 때문에 직접 전송을 못하기 때문에 브릿지를 통해 이동한다.

이더리움을 브릿지에 맡기면 브릿지가 담보증서를 트론에서 찍어주는 식이다.

레이어제로는 OFT라는 기술을 통해 브릿지가 아닌 직접 찍어내는 형태로 작동한다. 이더리움을 소각하고 그만큼의 트론을 민팅하는 식이다. 그 사이에 ‘메시지’를 보내 소각과 민팅 여부를 알리는 식이다.

메세지를 보낸다는 개념은 스위프트가 은행간 국제송금을 하는 방식을 본땄다.

해커의 지갑

문제는 가짜 메세지를 구분하지 못했다는 점이다. 해커는 메시지 검증 구조를 악용해 캘프다오의 정상 요청으로 위장된 메시지를 생성하고 rsETH를 발행했다

이후 rsETH를 아베(Aave) 등에 맡기고 이더리움을 대출해 현금화 했다.

따라서 rsETH는 이미 마구 찍어내 부실 채권이 된 셈인데 이를 받아서 실제 이더리움을 내줬기 때문에 아베 등은 대규모 불량 부채를 떠맡게 됐다.

레이어제로의 신뢰도 하락, 캘프다오의 파산, 아베의 부실 등으로 우려가 커지면서 레이어제로(ZRO) 15%, 아베(AAVE) 17% 등 급락했고, OFT를 사용하는 에테나와 스타게이트 등도 하락했다.