디파이 대출 프로토콜 테라 랩스(Term Labs)가 거버넌스 통제권을 노린 공격으로 자사 볼트 상품에서 약 850만 달러를 잃었다. 우 블록체인(Wu Blockchain)에 따르면 이번 피해는 PeckShieldAlert와 CertiK의 경보로 확인됐으며, 공격자는 볼트가 자금을 풀도록 지시할 수 있을 만큼의 투표권을 확보하고 있었다. 이 공격으로 약 2,843 ETH(당시 가치로 약 687만 달러)와 168만 USDC가 빠져나갔고, USDC는 이후 약 160만 DAI로 스왑됐다.
이번 사건이 여느 디파이 대형 해킹과 다른 점은 스마트 컨트랙트 버그도, 오라클 결함도, 플래시론 트릭도 개입되지 않았다는 데 있다. 공격자는 그저 볼트에 자금을 내놓으라는 제안을 통과시킬 만큼의 거버넌스 투표권을 모았을 뿐이고, 컨트랙트는 설계된 그대로 정직하게 작동해 이를 이행했다. 다만 피해를 본 볼트는 테라 파이낸스 본연의 레포 대출 구조가 아니라 연 v3(Yearn v3) 인프라 위에 지어진 상품이어서, 핵심 대출 프로토콜 자체가 직접 뚫린 것은 아니다.
코드 취약점이 아닌 거버넌스 공격
이 사건의 메커니즘이 중요한 이유는, 감사(audit)가 원래 걸러내도록 설계된 보호 범주 전체를 완전히 비껴가기 때문이다. 거버넌스 공격은 완벽하게 감사를 통과한 컨트랙트를 기술적으로는 아무것도 깨뜨리지 않은 채 그대로 관통한다. 진짜 취약점은 투표권이 어떻게 분산돼 있고, 통과된 악성 제안이 얼마나 빨리 실행될 수 있는지에 있지, 컨트랙트 로직 자체에 있지 않다. 보도에 따르면 공격자의 초기 자금은 토네이도 캐시(Tornado Cash)를 거친 단 2 ETH까지 거슬러 올라간다. 이 작은 종잣돈만으로도 약 850만 달러를 움직일 수 있는 거버넌스 지분을 확보하기에 충분했다.
피해 규모는 해당 상품 기준으로 보면 결코 작지 않다. 탈취된 자금은 전 체인에 걸친 볼트 상품 TVL의 약 68%에 해당하며, 이더리움 기반 TVL만 놓고 보면 사실상 전부에 가깝다. 게다가 이번이 테라 파이낸스의 첫 보안 사고도 아니다. 이 프로토콜은 2025년 5월에도 정기 업그레이드 도중 발생한 오라클 소수점 오류로 약 150만 달러를 잃은 전력이 있는데, 실패 유형 자체는 이번과 전혀 달랐다.
같이 보면 좋은 기사: 크립토 카드 결제 10억달러로 급증...스테이블코인이 일상 결제로
거버넌스로 지켜지는 디파이가 마주한 숙제
이번 사건은 거버넌스 기반 공격 벡터도 스마트 컨트랙트 취약점 못지않은 감시가 필요하다는 근거를 하나 더 보탰다. 특히 투표권을 지배하는 가치 대비 저렴하고 빠르게 그러모을 수 있는 프로토콜일수록 위험은 크다. 볼트 상품을 검토하는 예치자라면 감사 이력만이 아니라 해당 프로토콜의 거버넌스가 얼마나 집중돼 있고 얼마나 빠르게 움직이는지까지 함께 따져봐야 한다는 교훈을 남겼다. 이번 케이스에서 컨트랙트는 작성된 그대로 정확히 작동했고, 바로 그 점이 문제였다.
