디파이 프로토콜 서머파이(Summer.fi)가 최근 발생한 604만 달러 규모의 USDC 볼트 해킹 사건에 대한 포스트모템을 발표했습니다. 처음에는 단순한 플래시 론 공격인 줄 알았는데, 알고 보니 해커가 무려 3개월 동안 지갑에 자금을 채워두며 치밀하게 준비한 작전이었던 것으로 밝혀졌습니다.

보고서에 따르면 이번 공격은 스마트 컨트랙트 코드 자체의 오류가 아니었습니다. 서머파이가 예전 전략을 중단하는 과정에서 발생한 운영상의 실수 때문이었는데요. 가치가 동결된 실로 파이낸스(Silo Finance) 토큰이 특정 컨트랙트에 기부되었는데, 이 컨트랙트의 입금 한도는 0으로 막혀 있었지만 볼트의 순자산가치 계산에는 여전히 포함되어 있었습니다. 해커는 이를 이용해 볼트 지분의 가치를 인위적으로 부풀린 뒤 604만 달러 상당의 USDC를 인출했습니다.

한편 온체인 데이터 분석 결과, 해커는 탈취한 USDC를 DAI로 바꾼 뒤 유니스왑에서 이더리움으로 스왑해 토네이도 캐시로 자금을 세탁하고 있는 것으로 나타났습니다.

코드는 설계된 대로 완벽하게 실행되었지만, 운영 레이어의 미세한 구멍이 프로토콜 전체를 흔든 셈이네요. 디파이 프로젝트들이 새로운 기능을 출시하는 것만큼이나 과거의 유산이나 오래된 전략을 안전하게 정리하는 오프보딩 과정에도 철저해야 한다는 교훈을 남긴 사건입니다.

관련 링크