금융 거버넌스 악용 사례: 감사받은 코드가 DeFi 예금을 보호하지 못하는 이유

목차

• 장기 금융 관리 악용 사례: 8월 23일에 무슨 일이 일어났는가
• 거버넌스 공격 설명: 투표 하나로 금고가 비는 방법
• Strategy Vault와 Meta Vault: 공격자가 장악한 풀은 무엇인가?
• 토네이도 캐시에서 2 ETH 확보: 시드 캐피털이 의결권 과반수를 확보한 방법
• 감사된 코드, 텅 빈 금고: 감사가 거버넌스 공격을 잡아내지 못하는 이유
• 타임록: 해결과 실행 사이의 지연 시간이 결과에 영향을 미치는 이유
• 권력의 상징: 동일한 순서가 2026년 6월에 이미 어떻게 효과를 발휘했는지
• 세 개의 체인에서 발생한 7건의 인수: Blockaid 집계 결과가 보여주는 것
• 지배구조 위험 점검: 예금 전 반드시 확인해야 할 다섯 가지 질문
• 이 점검으로는 달성할 수 없는 것
• 토큰 승인 취소: 거버넌스 공격에 대한 방어책으로 효과적이지 않은 이유
• 탈중앙화 금융(DeFi) 해킹으로 인한 손실: 세금 신고 시 기록해야 할 사항
• 2025년 5월 정기예금: 이전 사건은 왜 다른 유형이었을까
• 장기 금융 지배구조 악용: 확립된 사항과 미해결 과제는 무엇인가
• 이 계정의 제한 사항
• 지배구조 위험 점검: 핵심 사항

2026년 8월 23일, 이더리움 대출 프로토콜인 Term Finance의 예치금 풀에서 약 850만 달러가 유출되었습니다. 공격자는 프로그램 코드의 보안 취약점을 이용할 필요가 없었습니다. 그들은 충분한 의결권을 확보하여 해당 풀에 대한 투표권을 단독으로 행사했습니다. 그런 다음 자금을 자신들에게 지급하기로 결의하고 실행했습니다.

투자자 여러분에게는 이 부분이 더욱 중요한 뉴스일 것입니다. 감사를 거친 프로토콜은 단 한 줄의 코드도 변경하지 않고도 모든 자산을 비울 수 있습니다. 따라서 DeFi 프로토콜에 잔액을 보유한 투자자라면 해당 잔액 사용에 대한 투표권이 누구에게 있는지, 그리고 그러한 결정이 얼마나 빨리 효력을 발휘하는지 알아야 합니다.

장기 금융 관리 악용 사례: 8월 23일에 무슨 일이 일어났는가

Term Finance는 이더리움 블록체인 상의 대출 프로토콜로, 고정 금리로 대출을 제공합니다. 사용자는 소위 ‘볼트(vault)’에 자금을 예치하고, 프로토콜은 이를 담보로 대출을 실행합니다. 이 프로토콜은 Term Labs에서 개발했습니다.

크립토브리핑(Cryptobriefing)은 보안 회사인 서틱(CertiK)과 펙쉴드(PeckShield)의 확인을 인용하여, 약 2,843 ETH와 160만 DAI가 단일 수신자 주소로 흘러들어갔다고 보도했습니다. 해당 주소의 식별자는 0xD5183으로 시작합니다. 현재 가격 기준으로, 이 유출액은 앞서 언급된 850만 달러에 해당합니다. 텀랩스(Term Labs)는 이 사건을 공식적으로 확인했으며, 조사가 완료되는 대로 자세한 내용을 발표할 예정입니다. 텀랩스는 이 사건이 스마트 계약의 취약점과는 다르다고 명확히 밝혔습니다.

이더리움은 프로토콜이 실행되는 블록체인이며, 관련 통화의 가격 추이는 이더리움 가격 예측에서 다룹니다. 하지만 이번 사건을 평가하는 데 있어서 가격은 아무런 관련이 없습니다. 중요한 것은 누가 예치금 풀을 처분할 수 있느냐는 점입니다.

거버넌스 공격 설명: 투표 하나로 금고가 비는 방법

탈중앙화 금융(DeFi) 프로토콜에서 거버넌스는 변경 사항을 결정하는 규칙을 의미합니다. 투표 토큰을 보유한 사용자는 누구나 제안을 제출하고 투표할 수 있으며, 제안이 필요한 과반수를 얻으면 실행됩니다. 이러한 설계는 중앙 관리 없이 프로토콜이 운영될 수 있도록 하기 위한 것입니다.

거버넌스 공격은 바로 그러한 설계를 뒤집어 놓는 것입니다. 공격자는 과반수를 확보할 만큼 충분한 의결권을 획득한 후, 자신에게 유리한 결정을 내립니다. 형식적으로는 모든 것이 프로토콜 규칙에 따라 진행됩니다. 침입도 없고, 비밀번호도 도난당하지 않았으며, 계약도 조작되지 않았습니다. 단지 투표에서 승리한 것뿐입니다.

잘 알려진 공격 유형과의 차이점은 실제 상황에서 중요합니다. 플래시론 공격이나 재진입 오류는 원칙적으로 감사를 통해 발견할 수 있는 프로그래밍 오류를 전제로 합니다. 반면, 거버넌스 공격은 의결권이 매매되고 있으며 아무도 제때 개입하지 않는다는 사실만을 전제로 합니다.

Strategy Vault와 Meta Vault: 공격자가 장악한 풀은 무엇인가?

텀 파이낸스에서 볼트는 자체 투자 전략을 가진 별도의 예금 풀입니다. 메타 볼트는 이러한 풀들을 여러 개 묶어 예치된 자금을 분산 투자하는 역할을 합니다.

크립토브리핑은 공격자가 확보한 통제권을 정확하게 설명했습니다. 5개의 USDC 전략 볼트 중 4개에서 공격자는 의결권의 100%를, 이더리움 메타 볼트에서는 약 91%를 확보했습니다. 이는 근소한 차이 이상의 과반수에 해당합니다. 이러한 의결권은 안건을 강행 처리하고 어떠한 반대에도 불구하고 보류시킬 수 있게 해줍니다.

이 수치들은 피해가 특정 풀에만 국한된 이유를 설명해 줍니다. 공격자가 과반수 지분을 보유한 풀의 자산만 영향을 받았습니다. 지금까지 공개된 정보에 따르면, 다른 풀에 자산을 보유한 사용자는 같은 방식으로 피해를 입지 않았습니다. 어떤 금고에서 어떤 자산이 손실되었는지에 대한 자세한 내역은 아직 공개되지 않았으며, Term Labs는 조사가 완료되는 대로 발표할 예정입니다.

토네이도 캐시에서 2 ETH 확보: 시드 캐피털이 의결권 과반수를 확보한 방법

크립토브리핑(Cryptobriefing) 보고서에 따르면, 이번 공격에 사용된 초기 자금은 놀라울 정도로 적었습니다. 토네이도 캐시(Tornado Cash)를 통해 얻은 2 ETH로 구성된 것으로 알려졌습니다. 토네이도 캐시는 블록체인 상에서 송신자와 수신자 주소 간의 연결을 모호하게 만들어 추적을 어렵게 하는 서비스입니다.

공격자는 그 초기 자본을 바탕으로 의결권 규모를 단계적으로 확대하여 결국 과반수를 확보했습니다. 이 사건에서 얻을 수 있는 불편한 교훈은 바로 여기에 있습니다. 인수 비용은 의결권 풀의 규모가 아니라 필요한 의결권의 가격으로 측정된다는 것입니다. 의결권이 저렴하거나 소수의 의결권만 보유할 경우, 적은 지분이 대규모 지분의 운명을 좌우할 수 있습니다.

많은 프로토콜에서 투표권은 거래 가능한 상품입니다. 충분한 투표권을 모은 사람이 단독으로 결정을 내립니다.

감사된 코드, 텅 빈 금고: 감사가 거버넌스 공격을 잡아내지 못하는 이유

감사는 전문 업체가 프로그램 코드를 검사하는 과정입니다. 코드가 의도한 대로 작동하는지, 그리고 예상치 못한 동작을 유발할 수 있는지 여부를 테스트합니다. 이번 사례에서 크립토브리핑은 감사 대상 계약들을 대상으로 검사를 진행하는 동안 단 한 줄의 코드도 오류 없이 진행되었다고 기록했습니다.

이는 감사관들을 비난하는 것이 아니라, 그러한 감사의 범위에 대한 설명입니다. 감사는 코드가 올바르게 작동하는지 여부에 대한 질문에 답하는 것이지, 투표권 배분이 악의적인 접근을 허용하는지 여부에 대한 질문에 답하는 것은 아닙니다. 따라서 크립토브리핑은 이러한 취약점을 아키텍처적 문제로 분류하고, 토큰 배분, 낮은 투표율, 그리고 금고 관리에서의 접근 제한 미비라는 세 가지 요소가 복합적으로 작용한 결과라고 판단합니다.

즉, 감사 보고서의 인증 마크는 코드 자체에 대한 정보는 제공하지만 프로토콜 내 권력 분배 방식에 대해서는 아무런 정보를 제공하지 않습니다. DeFi 대출 상품을 이용한다면 예치 전에 두 가지 모두를 살펴보는 것이 좋습니다.

타임록: 해결과 실행 사이의 지연 시간이 결과에 영향을 미치는 이유

타임락이란 결의안이 과반수 찬성을 얻은 시점부터 실제로 실행되는 시점 사이에 설정되는 대기 기간입니다. 이 기간 동안 누구든지 결의안 내용을 평문으로 읽을 수 있습니다. 원치 않는 결의안이 처리된 풀에 자금을 남겨두고 싶지 않은 사람은 언제든지 자금을 인출할 수 있습니다.

따라서 타임록은 투표 결과가 이미 부결된 후에도 여전히 작동하는 유일한 안전장치입니다. 이는 인수 자체를 막지는 못합니다. 다만 결의와 유출이 같은 순간에 발생하는 것을 방지할 뿐입니다.

타임락이 누락되었을 때 어떤 영향을 미치는지는 두 번째 사례를 통해 정확히 파악할 수 있습니다. Term Finance가 그러한 대기 기간을 제공했는지, 그리고 그 기간이 얼마나 되었는지는 지금까지 공개된 회계 자료에서는 드러나지 않습니다. 따라서 저는 이 사항을 확정된 사항이 아닌 미해결 문제로 명시적으로 기록합니다.

권력의 상징: 동일한 순서가 2026년 6월에 이미 어떻게 효과를 발휘했는지

토큰 오브 파워(Token of Power, 줄여서 TOP) 사례는 이 공격 패턴의 유사 사례로, 관련 자료가 더 잘 정리되어 있습니다. TRM Labs와 Blockaid가 이 사례를 분석했으며, 두 기관의 설명은 핵심적인 부분에 대해 일치합니다.

TOP은 아라곤(Aragon) 기반의 이더리움 투표 토큰으로, 총 발행량은 16,384개에 불과했습니다. 아라곤은 프로토콜의 투표 규칙을 구성하는 툴킷입니다. 분석에 따르면, 공격자는 총 발행량의 절반에 해당하는 TOP 토큰을 확보한 후, 투표 기능을 이용하여 단일 거래로 안건을 제출, 채택 및 실행했습니다. 그 사이에 대기 시간은 전혀 없었습니다.

해당 결의안 자체는 공격자에게 100억 개의 새로운 TOP 토큰을 발행했습니다. 이 토큰은 유동성 풀에 투입되어 944.2 WETH로 변환되었으며, 참고 자료에 따라 약 150만 달러에서 160만 달러에 달하는 것으로 추정됩니다. 분석에서는 이러한 현상의 원인으로 초기 총 공급량의 부족, 대기 기간의 부재, 신규 토큰 발행량 상한선의 설정, 그리고 미흡한 투표 시스템 안전장치 등을 지적합니다.

텀 파이낸스와의 유사점은 세부 사항보다는 진행 과정에 있다. 두 경우 모두 의결권 매수가 이루어졌고, 자금 출처를 은폐하는 서비스를 통해 자금이 조달되었으며, 결국 예금주들의 손해를 감수하면서 규정을 준수하는 방식으로 해결되었다는 점에서 공통점이 있다.

세 개의 체인에서 발생한 7건의 인수: Blockaid 집계 결과가 보여주는 것

이것이 단순한 두 건의 사례가 아니라 하나의 패턴이라는 점은 수치로 입증될 수 있습니다. 보안 제공업체인 블록에이드(Blockaid)는 2026년 6월부터 8월 초까지 3개의 블록체인에서 발생한 7건의 거버넌스 탈취 사건을 분석하여 총 피해액을 약 2,200만 달러로 추산했습니다.

그러한 사례 중 하나가 저희 기록 보관소에 있습니다. 2026년 7월 7일, 저희는 수천만 달러 규모의 커뮤니티 자금이 관련된 BONK DAO의 거버넌스 공격에 대해 보도했습니다. 이 수치는 당일 저희의 보도 내용이며, 독립적인 출처는 아니지만 사건의 배경을 짐작할 수 있게 해줍니다.

이번 달은 어쨌든 여러 사건이 끊이지 않았습니다. Term Finance의 자금 유출 사태 이전에도 데이터 서비스 업체 DefiLlama는 2026년 8월에 이미 17건의 보안 사고를 기록했으며, 이로 인한 피해액은 약 1,880만 달러에 달했습니다.

타임록은 구성 요소입니다. 설치되어 있고 충분한 시간 동안 설정되어 있는 경우에만 보호 기능을 발휘합니다.

지배구조 위험 점검: 예금 전 반드시 확인해야 할 다섯 가지 질문

다음 사항들은 프로토콜 문서나 거버넌스 페이지에서 찾아볼 수 있습니다. 몇 분만 투자하면 투표를 통해 풀을 얼마나 쉽게 개설할 수 있는지에 대한 답을 얻을 수 있습니다.

누가 투표권을 갖고 있으며, 투표권은 어떻게 배분되나요? 투표 토큰의 총 공급량이 적거나, 소수의 주소가 많은 양을 보유하고 있다면, 과반수 의석을 확보하는 데 드는 비용이 저렴할 수 있습니다. TOP의 경우, 총 공급량 16,384개 중 절반에 해당하는 토큰만으로도 과반수를 확보할 수 있었습니다.

해결과 실행 사이에 대기 기간이 있습니까? 타임락에 대한 언급이 없다면 타임락이 없다고 가정하십시오. 그러한 지연이 없다면, 중요한 시점에 잔액을 인출할 기회가 사라집니다.

투표로 잔액이 직접 변동될 수 있나요? 일부 프로토콜은 결의안을 통해 이자율이나 상한선과 같은 매개변수만 변경할 수 있도록 허용합니다. 반면, 다른 프로토콜은 예금이 어떤 주소로든 이체될 수 있도록 허용합니다. 두 번째 경우가 더 위험합니다.

신규 토큰 발행량에 상한선이 있나요? 상한선이 없다면 결의를 통해 과반수 의결권을 임의로 확대하거나 공급량을 희석시킬 수 있습니다. TOP의 경우 이것이 실질적인 수단이었습니다.

최근 투표율은 얼마나 높았습니까? 투표율이 낮으면 인수 장벽이 상당히 낮아집니다. 공격자는 실제로 투표된 표 수만큼만 더 높은 금액을 제시하면 되기 때문입니다.

이 점검으로는 달성할 수 없는 것

이는 공격으로부터 당신을 보호해주지는 않습니다. 단지 공격이 얼마나 큰 대가를 치르게 할지 보여줄 뿐입니다. 투표권이 광범위하게 분산되어 있고 며칠간의 대기 기간이 있는 프로토콜은 그렇지 않은 프로토콜보다 장악하기가 훨씬 어렵습니다. 어떤 경우든 잔존 위험은 여전히 존재합니다.

토큰 승인 취소: 거버넌스 공격에 대한 방어책으로 효과적이지 않은 이유

탈중앙화 금융(DeFi) 업계에서 문제가 발생한 후에는 일반적으로 부여한 토큰 승인을 취소하는 것이 좋습니다. 승인이란 특정 수량의 토큰을 거래에 사용할 수 있도록 계약에 부여하는 권한입니다. 이는 합리적인 조치이며, 그대로 유지하는 것이 좋습니다.

하지만 이러한 유형의 공격에 대해서는 어느 정도 대응할 수 있습니다. 거버넌스 공격의 경우, 지갑의 잔액이 사라지는 것이 아니라 이미 입금한 자금 풀이 사라집니다. 프로토콜은 어차피 해당 잔액을 자동으로 처리하며, 승인 취소는 단지 자금이 어디로 가는지만 변경할 뿐입니다. 승인을 취소하면 향후 지갑 접근이 차단될 뿐, 이미 입금된 잔액을 되찾을 수는 없습니다.

이 상황에서 효과적인 방법은 해당 풀에서 자금을 인출하는 것뿐이며, 이는 대기 기간이 허용될 때만 가능합니다. 결국 타임락 문제로 귀결되는 것입니다.

탈중앙화 금융(DeFi) 해킹으로 인한 손실: 세금 신고 시 기록해야 할 사항

만약 그런 일이 발생한다면, 가장 먼저 해야 할 일은 기록을 남기는 것이며, 이는 나중에 만회할 수 없는 유일한 방법입니다. 입금 날짜, 입금 풀, 입금 금액을 기록하고, 블록체인에서 거래 내역을 확인하고, 제공업체와의 날짜가 명시된 연락 내용도 함께 보관하십시오.

이러한 손실을 세금 목적으로 어떻게 처리해야 하는지는 개별 사례에 따라 다르며, 일부는 논쟁의 여지가 있습니다. 이는 세무 전문가와 상담해야 할 문제이지, 기사에서 다룰 문제가 아닙니다. 여기서 일반적인 결론을 내리는 것은 무의미합니다. 여러분이 할 수 있는 일은 완전한 거래 내역을 기록하는 것입니다. 여러 지갑의 거래를 통합해주는 도구를 사용하면 이러한 작업을 대부분 간편하게 처리할 수 있습니다.

2025년 5월 정기예금: 이전 사건은 왜 다른 유형이었을까

Term Finance는 2025년 5월에 이미 손실을 기록했습니다. Cryptobriefing에 따르면 당시 약 150만 달러의 손실은 가격 데이터 서비스 업데이트 과정에서 소수점 위치 오류로 인해 발생했습니다. 해당 오류는 악의적인 것이 아니었으며, 손실된 자금은 결국 반환되었다고 같은 매체는 전했습니다.

이번 사건과의 차이점은 모든 평가에 중요한 영향을 미칩니다. 내부 오류는 수정이 가능하고 상대방과 연락도 가능합니다. 하지만 8월 23일 사건의 경우, 상대방은 외부 세력이며, 이들은 자금 세탁 서비스를 통해 초기 자본을 확보했습니다. 따라서 크립토브리핑은 피해를 입은 예금자들이 자금을 되찾을 가능성이 불확실하다고 평가합니다.

장기 금융 지배구조 악용: 확립된 사항과 미해결 과제는 무엇인가

이번 사건의 전반적인 윤곽은 다음과 같이 파악되었습니다. 유출된 자금의 규모는 약 2,843 ETH와 약 160만 DAI이며, 영향을 받은 볼트에서의 의결권, 수취인 주소, 초기 자금의 출처, 그리고 Term Labs, CertiK, PeckShield의 확인까지 포함되었습니다. 이러한 세부 정보는 2026년 8월 23일 Cryptobriefing의 보도에서 가져온 것으로, CoinDesk와 BeInCrypto의 동일한 사건 관련 보도와 일치합니다.

헤드라인에서 드러나는 것보다 더 많은 부분이 아직 밝혀지지 않았습니다. 어떤 금고에서 어떤 예금이 유출되었는지, 얼마나 많은 예금자가 피해를 입었는지에 대한 구체적인 정보는 없습니다. 문제 해결과 집행 사이에 유예 기간이 있었는지, 있었다면 얼마나 되었는지도 공개되지 않았습니다. 보상에 대한 정보도 없고, 공격자의 신원도 알려지지 않았습니다. Term Labs는 더 자세한 내용을 발표할 예정이며, 그때까지는 책임 소재에 대한 어떠한 언급도 추측에 불과하므로, 저희는 여기서 어떠한 책임도 지지 않습니다.

이 계정의 제한 사항

본 문서는 공개된 보고서와 Blockaid 및 TRM Labs의 분석 자료를 바탕으로 작성되었습니다. 당사는 블록체인 데이터에 대한 자체 분석을 수행하지 않았습니다. 자금 유출 시점의 가격 수치는 인용된 출처에서 가져온 것이며, 이후 변동되었을 수 있습니다.

지배구조 위험 점검: 핵심 사항

1. 예치금 풀에 대한 투표권이 누구에게 있는지 확인하세요. DeFi 대출 상품에 자금을 투자하기 전에 위의 다섯 가지 질문, 특히 승인과 실행 사이의 대기 기간에 대한 질문에 대한 답을 반드시 확인하십시오.
2. 장기 보유 자산 과 정기 보유 자산을 분리하세요. 장기 보유 자산은 투표로 이용 여부가 결정되는 저장소에 보관해서는 안 됩니다. 타인의 통제에서 벗어난 안전한 보관을 원한다면 하드웨어 지갑을 고려할 수 있습니다. 감독된 플랫폼을 선호하는 사람이라면 투표로 이용 여부가 결정되는 저장소보다는 허가받은 제공업체를 이용하는 것이 더 안전합니다.
3. 사고 발생 시 즉시 기록해 두세요. 인터페이스가 꺼지기 전에 입금 기록, 거래 데이터 및 제공업체의 날짜별 통신 기록을 안전하게 보관하세요. 여러 지갑에 걸쳐 있는 거래 내역을 통합 관리할 수 있는 도구를 사용하면 기록 관리에 도움이 될 수 있습니다.

(2026년 8월 23일 기준. 본 기사는 투자 조언이 아닙니다. 가격 및 수수료 체계는 변경될 수 있으므로 구매 전에 제공업체에 약관을 확인하십시오.)