텀랩스(Term Labs)가 프로토콜 볼트에 영향을 미친 거버넌스 취약점을 통해 약 850만 달러 규모의 공격을 당했다. 공격자는 약 2,843 ETH(약 687만 달러 상당)와 168만 USDC를 빼돌렸다.
블록체인 보안업체 펙실드(PeckShield)가 이 공격을 최초로 포착했고, 공격 지갑의 초기 자금 출처를 토네이도캐시(Tornado Cash)까지 추적했다. 토네이도캐시는 제재 대상에 오른 암호화폐 믹서로, 공격자들이 실행에 앞서 자금 출처를 숨기는 데 흔히 쓰는 서비스다. 텀랩스는 사건 발생 사실을 확인했지만, 보도 시점까지 구체적인 복구 일정이나 피해 예치자에 대한 보상 계획은 내놓지 않았다.
코드가 아니라 거버넌스가 반복되는 약점
텀랩스 사건은 2026년 DeFi 익스플로잇을 관통해온 패턴과 정확히 맞아떨어진다. 단순한 스마트컨트랙트 버그가 아니라 프로토콜 거버넌스 구조의 허점을 파고드는 공격이라는 점이다. 올해 최대 규모 해킹 두 건도 같은 논리를 따랐다. 4월 발생한 솔라나 드리프트 프로토콜(Drift Protocol)의 약 2억 8,500만 달러 유출 사건은 코드 결함이 아니라, 퀀트 트레이딩 회사로 위장한 공격자들이 기여자들과 대면 관계를 쌓은 뒤 결국 프로토콜 보안위원회로부터 사전 서명된 승인을 얻어낸 데서 비롯됐다. 그로부터 며칠 뒤 켈프 다오(Kelp DAO)는 크로스체인 검증기에 연결된 RPC 노드가 침해당해 약 2억 9,200만 달러를 잃었는데, 이 역시 검증기를 속여 허위 메시지를 승인하게 만든 사건이었다.
같이 보면 좋은 기사: 샌드박스, 익스플로잇 이후 베이스·BNB체인 SAND 브릿징 중단
규모는 작아도 실패 구조는 동일
850만 달러라는 금액은 앞선 두 사건에 비하면 훨씬 작지만, 같은 교훈을 재차 확인시켜준다. DeFi 프로토콜들이 스마트컨트랙트 코드 자체는 직접 공격에 강하게 다져갈수록, 공격자들은 그 코드를 둘러싼 거버넌스와 권한 부여 계층을 노리는 쪽이 오히려 더 쉬워지고 있다는 것이다. 이더리움 메인넷의 USDC 볼트 그룹에서 지분 가격을 조작해 약 600만 달러를 빼낸 지난 7월 사건을 포함해, 올해 다른 볼트 익스플로잇들도 암호화를 직접 깨기보다는 프로토콜 로직과 권한을 악용하는 비슷한 흐름을 보였다.
예치자들에게 남은 것
펙실드의 포렌식 추적 결과가 이미 공개됐고 공격 지갑의 토네이도캐시 자금 출처도 기록으로 남은 만큼, 텀랩스의 온체인 조사와 협상을 통한 자금 회수 시도는 올해 다른 거버넌스 관련 익스플로잇 사건들이 밟아온 익숙한 절차를 따를 가능성이 크다. 다만 그 결과는 사건마다 크게 갈렸다. 트레저리 자금으로 부분 보상이 이뤄진 경우도 있었고, 예치자들이 손실을 고스란히 떠안은 경우도 있었다.
