비너스 프로토콜(Venus Protocol)의 370만 달러 탈취 사건: 9개월간의 계획이 어떻게 BNB 체인의 알려진 취약점을 악용했는가
보안 감사는 이미 몇 달 전에 정확한 공격 벡터를 지적했습니다. 팀은 이를 묵살했습니다. 일요일, 한 공격자가 $ 370만 달러를 탈취해 유유히 사라졌습니다.
BNB 체인에서 약 0.27에서 거의 370만 달러 이상의 자산이 빠져나갔으며, 약 $ 215만 달러는 회수 불가능한 부실 채권으로 남게 되었습니다.
이 공격이 놀라운 점은 규모뿐만 아니라 그 뒤에 숨겨진 인내심, 그리고 취약점이 뻔히 드러나 있었다는 사실입니다.
9개월간의 준비 과정
대부분의 DeFi 공격은 몇 분 안에 발생합니다. 하지만 이번 공격은 2025년 6월에 시작되었습니다.
온체인 분석 결과, 공격자는 9개월 동안 조용히 THE 토큰을 매집하여 비너스의 THE 공급 한도인 1,450만 개의 84 %에 해당하는 포지션을 구축했습니다. 초기 자금인 7,400 ETH는 제재 대상 암호화폐 믹서인 토네이도 캐시(Tornado Cash)를 통해 유입되어 공격자의 신원을 추적하는 것이 사실상 불가능했습니다.
느린 매집은 두 가지 목적을 수행했습니다. 첫째, 비너스의 리스크 모니터링에 걸릴 수 있는 유동성 경보나 급격한 가격 변동을 피했습니다. 둘째, 공격자에게 적절한 시기에 투입할 수 있는 거대한 자금력을 제공했습니다.
공격이 시작될 무렵, 공격자는 THE의 유통 공급량 중 지배적인 점유율을 장악했으며, 이는 전형적인 오라클 조작을 위한 무대를 마련했습니다.
공격 과정: 4단계의 파괴 루프
공격은 일요일에 단 몇 분 만에 다음과 같은 정확한 순서로 전개되었습니다:
1단계: 공급 한도 우회. 비너스는 THE 예치를 제한하는 공급 한도가 있었습니다. 공격자는 일반적인 예치 함수를 거치는 대신, THE 토큰을 비너스의 내부 예치 토큰인 vTHE 컨트랙트로 직접 전송하여 이를 우회했습니다. 이 "기부 공격(donation attack)"은 프로토콜이 인식하는 환율을 부풀려, 공격자가 승인된 한도의 3.5배가 넘는 5,320만 개의 THE 포지션을 구축할 수 있게 했습니다.
2단계: THE 가격 부풀리기. THE의 온체인 유동성이 낮은 상황에서 비교적 적은 매수 압력만으로도 가격이 5로 18배나 폭등했습니다. 공격자는 THE를 담보로 예치하고 이를 바탕으로 다른 자산을 빌린 뒤, 빌린 자산으로 더 많은 THE를 매수했습니다. 비너스의 시간 가중 평균 가격(TWAP) 오라클이 조작된 시장 가격을 반영하도록 업데이트됨에 따라 이 사이클을 반복했습니다.
3단계: 가치 있는 자산 탈취. 인위적으로 부풀려진 THE 담보를 사용하여 공격자는 20 BTC, 151만 6천 CAKE, 158만 USDC, 2,801 BNB 등 실제 유동성 자산을 빌렸습니다. 조작된 서류상의 가치를 여러 시장에 걸쳐 실물 자산으로 전환한 것입니다.
4단계: 탈출. 대출이 완료되자 THE 가격은 실제 가치로 급락했고, 비너스는 실제 부채에 대해 엄청나게 과대평가된 담보를 보유하게 되었습니다. 프로토콜에는 약 $ 215만 달러의 부실 채권이 남게 되었습니다. 이는 더 이상 적절하게 담보되지 않는 118만 CAKE와 184만 THE 토큰입니다.
무시된 보안 감사
아마도 가장 뼈아픈 세부 사항은 이 정확한 공격 벡터가 비너스의 Code4rena 보안 감사 중에 지적되었다는 점입니다. 감사자들은 기부 공격을 비너스가 포함된 컴파운드(Compound) 포크 대출 프로토콜에서 알려진 취약점으로 식별했습니다.
비너스 팀은 직접적인 토큰 기부가 "부정적인 부작용이 없는 지원되는 동작"이라며 이 결과를 반박했습니다.
그들이 틀렸습니다.
기부 메커니즘을 통해 공격자는 공급 한도를 완전히 우회할 수 있었고, 이는 전체 공격의 핵심이었습니다. 이러한 우회가 없었다면 공격자는 THE 가격을 효과적으로 조작할 수 있을 만큼 큰 포지션을 구축할 수 없었을 것입니다. 알려진 취약점을 문제없다고 치부한 것이 수백만 달러 규모 탈취의 진입점이 되었습니다.
이는 포크된 코드로 운영되는 모든 DeFi 프로토콜에 불편한 질문을 던집니다. 얼마나 많은 다른 논란의 여지가 있는 감사 결과들이 시한폭탄으로 남아 있을까요?
비너스의 대응 및 시장 영향
비너스는 공격이 감지된 후 신속하게 움직였습니다:
- 즉각적인 중단: THE를 포함하여 BCH, LTC, UNI, AAVE, FIL, TWT 등 유동성 집중도가 높은 여러 마켓의 대출 및 출금을 즉시 중단했습니다.
- 담보 규칙 강화: 플랫폼 전반에 걸쳐 담보 규칙을 강화했습니다.
- 조사 착수: 유사한 공격을 방지하기 위해 오라클 메커니즘을 검토할 계획과 함께 조사를 시작했습니다.
- THE 토큰 가격: 공격 이후 약 17 % 하락하여 데나(Thena)의 광범위한 생태계에 영향을 미쳤습니다.
이번 사건은 비너스에게 특히 민감한 시기에 발생했습니다. 프로토콜은 2026년 2월에 BNB 체인에서 대출, 차입, 거래 및 레버리지 전략을 통합하려는 유동성 레이어인 비너스 플럭스(Venus Flux)를 막 출시한 상태였습니다. $ 370만 달러 규모의 공격은 신제품 출시가 구축하려 했던 신뢰를 훼손시켰습니다.
DeFi 의 반복되는 오라클 문제
Venus 익스플로잇은 결코 고립된 사건이 아닙니다. PeckShield 데이터에 따르면, 2026 년 1 분기 1 월과 2 월에만 이미 1 억 1,250 만 달러의 암호화폐 해킹 손실이 발생했습니다. 2025 년 한 해 동안 34 억 달러라는 엄청난 금액이 도난당했으며, 오라클 조작과 플래시 론 (flash loan) 공격이 상당한 비중을 차지했습니다.
근본적인 과제는 변하지 않았습니다. DeFi 대출 프로토콜이 작동하려면 정확한 가격 데이터가 필요하지만, 유동성이 낮은 토큰의 온체인 가격 피드는 충분한 자본을 가진 누구라도 조작할 수 있습니다. 플래시 론은 공격자에게 비용 없이 막대한 일시적 자본에 접근할 수 있게 함으로써 이 문제를 증폭시킵니다.
패턴은 우울할 정도로 익숙합니다 :
- 담보로 상장된 저유동성 토큰 — THE 는 Venus 의 공급 한도 (supply caps) 에 비해 거래량이 적었습니다.
- 조작 가능한 데이터에 대한 오라클 의존성 — 시간 가중 평균 가격 (TWAP) 은 여전히 급격한 가격 조작보다 뒤처집니다.
- 공급 한도 우회 — 기부 공격 (donation attack) 벡터로 인해 Venus 의 리스크 컨트롤이 무력화되었습니다.
- 빌린 자산의 유동성과 안정성 — BTC, BNB, CAKE, USDC 는 이동이 쉽고 가치가 유지됩니다.
이러한 동일한 패턴은 2026 년 3 월 초 AMM 오라클 조작을 사용한 Makina DeFi 의 500 만 달러 익스플로잇에서도 나타났습니다. 업계에서는 통합된 오라클 보호 및 재진입 방지 (reentrancy guards) 기능을 갖춘 "Flash Loan 2.0" 표준을 논의해 왔지만, 도입은 여전히 고르지 않습니다.
빌더와 사용자를 위한 교훈
Venus 공격은 DeFi 프로토콜을 구축하거나 사용하는 모든 사람에게 몇 가지 중요한 원칙을 상기시킵니다 :
감사 결과 (audit findings) 를 진지하게 받아들이십시오. 전문 감사자가 취약점 (이론적으로 보이는 것조차도) 을 지적할 때, 완화 비용은 거의 항상 익스플로잇 비용보다 적게 듭니다. Venus 가 Code4rena 의 기부 공격 발견을 묵살한 것은 향후 수년간 연구될 경고 사례입니다.
공급 한도는 그 집행력만큼만 강력합니다. 토큰이 직접 컨트랙트 전송을 통해 한도를 우회할 수 있다면, 한도는 눈속임에 불과합니다. 프로토콜은 입금 함수 체 크뿐만 아니라 컨트랙트 수준에서 총 공급량을 검증해야 합니다.
저유동성 담보는 고위험 담보입니다. 거래량이 적은 토큰을 담보로 상장하면 토큰의 유동성과 프로토콜의 대출 용량 사이의 격차에 비례하는 공격 표면이 생성됩니다. 프로토콜에는 실시간 유동성 상황에 반응하는 동적 리스크 파라미터가 필요합니다.
시간 가중 오라클은 비유동성 자산에 불충분합니다. TWAP 오라클은 지속적인 가격 조작에 비용이 많이 든다고 가정합니다. 유동성이 낮은 토큰의 경우, 지속적인 조작 비용은 익스플로잇으로 인한 잠재적 이익에 비해 사소할 정도로 작을 수 있습니다.
9 개월간의 인내심은 모두가 우려해야 할 대목입니다. 공격자가 9 개월 동안 토큰을 축적했다는 사실은 대부분의 프로토콜 팀이 위협 모델에서 고려하지 않는 수준의 정교함과 계획성을 시사합니다. DeFi 보안은 단일 트랜잭션 (atomic transaction) 익스플로잇뿐만 아니라 장기적인 공격 전략도 고려해야 합니다.
향후 전망
Venus 프로토콜의 즉각적인 과제는 215 만 달러의 부실 채권을 회수하고 리스크 관리에 대한 신뢰를 회복하는 것입니다. 더 넓은 DeFi 생태계는 더 어려운 질문에 직면해 있습니다 : 오라클 조작 표면을 만들지 않고 어떻게 다양한 담보 유형을 상장할 것인가 하는 점입니다.
몇 가지 접근 방식이 주목받고 있습니다 :
- Chainlink 및 Pyth 외부 가격 피드 : 여러 소스의 데이터를 집계하고 조작하기 더 어려운 외부 가격 피드 사용
- 서킷 브레이커 (Circuit breakers) : 짧은 시간 내에 가격이 예상 범위를 벗어날 때 시장을 중단시키는 장치
- 엄격한 유동성 상대적 공급 한도 : 정적 임계값이 아닌 실시간 온체인 유동성에 담보 한도를 연동
- 형식 검증 (Formal verification) : 공급 한도 집행에 대한 검증을 통해 직접 전송을 포함한 어떤 코드 경로도 프로토콜 한도를 우회할 수 없도록 보장
Venus 익스플로잇은 DeFi 의 결합성 (composability) 이 양날의 검이라는 점을 일깨워줍니다. 허가 없는 혁신을 가능하게 하는 동일한 개방성이 허가 없는 착취도 가능하게 합니다. 생태계가 성숙해지려면 프로토콜은 보안 감사 결과를 제안이 아닌 실행 항목으로 취급해야 하며, 밀리초가 아닌 수개월 단위로 생각하는 공격자에 대비해 방어 체계를 설계해야 합니다.
BNB Chain 또는 다른 블록체인 네트워크에서 빌딩하고 계신가요? BlockEden.xyz 는 신뢰성과 보안을 핵심으로 설계된 엔터프라이즈급 RPC 엔드포인트와 블록체인 인프라를 제공합니다. 신뢰할 수 있는 기반 위에서 구축하려면 API 마켓플레이스를 살펴보세요.