본문으로 건너뛰기

DeFi United: 7개의 경쟁 프로토콜이 크립토 최초의 3억 달러 규모 상호 부조 구제금융을 구축한 방법

· 약 13 분
Dora Noda
Dora Noda
Software Engineer

2026년 4월 18일, 북한의 라자루스 그룹(Lazarus Group)이 2억 9,200만 달러 상당의 rsETH를 탈취했을 때, 거의 모든 이들은 익숙한 시나리오를 예상했습니다. Kelp DAO가 손실을 떠안고, Aave 예치자들이 부실 채권을 감당하며, 2022년 Jump Crypto가 Wormhole을 위해 했던 것처럼 단일 억만장자 후원자가 조용히 수표를 써주는 방식 말입니다. 하지만 그런 일은 일어나지 않았습니다. 대신, 평소에는 치열하게 경쟁하던 디파이(DeFi)의 가장 큰 7개 프로토콜이 약 10만 ETH를 "DeFi United"라는 단일 복구 기금에 모았고, 암호화폐가 자체적인 재앙을 처리하는 규칙을 조용히 새로 썼습니다.

수치는 거대하고, 그 이면의 정치는 더욱 방대하며, 이번 선례는 업계가 수년 동안 만들어낸 가장 중요한 성과일지도 모릅니다.

크로스체인 불변성을 깨뜨린 해킹​

4월 18일 발생한 익스플로잇(exploit)은 스마트 컨트랙트 버그가 아니었습니다. 그것은 인프라 공격이었습니다.

Kelp DAO의 rsETH 브릿지는 1-of-1 탈중앙화 검증인 네트워크(Decentralized Verifier Network) 구성으로 LayerZero에 연결되어 있었습니다. 즉, 민팅(mint)이 승인되기 전에 단일 검증인이 크로스체인 메시지에 서명해야 했습니다. LayerZero의 사후 분석(post-mortem)에 따르면, 라자루스 운영자(특히 TraderTraitor 하부 조직)는 두 개의 RPC 노드를 해킹하고 나머지에 DDoS 공격을 가해, 검증인이 공격자가 제어하는 엔드포인트로 페일오버(fail over)하도록 강제했습니다. 검증인이 조작된 확인을 수락하자, 이더리움 측 컨트랙트는 당시 약 2억 9,200만 달러에 달하는 116,500 rsETH를 공격자의 주소로 전송했습니다.

이 공격은 단순히 Kelp의 자산을 고갈시킨 것에 그치지 않았습니다. rsETH를 지탱하는 크로스체인 담보 불변성(cross-chain backing invariant)을 깨뜨렸습니다. 래핑된 rsETH가 20개 이상의 네트워크에 흩어져 있고 이더리움상의 담보 풀이 텅 빈 상황에서, rsETH를 담보로 수락했던 모든 프로토콜은 갑자기 평판만으로 가치가 유지되는 토큰을 마주하게 되었습니다.

48시간 이내에 전염이 시작되었습니다:

  • Aave의 TVL이 264억 달러에서 약 175억 달러로 급감했습니다. 이는 89억 달러의 손실(haircut)이며, 그중 66억 달러가 첫날에 집중되었습니다.
  • Aave, SparkLend, Fluid, Morpho 및 rsETH 담보를 수락했던 여러 소규모 플랫폼 전체에서 총 132.1억 달러의 DeFi TVL이 유출되었습니다.
  • AAVE 토큰은 16 ~ 18% 하락했습니다. 프로토콜의 1차 손실 방어선인 Aave의 엄브렐러 안전 예비금(Umbrella safety reserve)은 rsETH / wETH 페어에서 발생한 약 1억 9,600만 달러의 추정 부실 채권에 대해 고작 8,000만 ~ 1억 달러만을 보유하고 있었습니다.

이것이 헤드라인에서 간과된 부분입니다. 익스플로잇은 브릿지에서 일어났지만, 위기는 대출 프로토콜에서 발생했습니다.

DeFi United의 등장​

4월 23일까지 Aave의 서비스 제공업체인 TokenLogic, BGD Labs, Aave Chan Initiative는 이 문제를 단독으로 해결하려는 시도를 중단했습니다. 그들은 DeFi United의 창립 헌장이 된 조정 문서를 배포했습니다. DeFi United는 디파이의 블루칩 대출 프로토콜 전반에 걸친 연쇄 청산을 막기 위해 rsETH의 담보 자산을 신속하게 복구하는 임무를 맡은 다중 프로토콜 연합체입니다.

약속된 기여금은 이 게임에 누가 직접적인 이해관계를 가지고 있는지 보여줍니다:

기여자약속 금액유형
Consensys / Joe Lubin30,000 ETH직접 배포
Mantle30,000 ETH신용 한도 대출
Aave DAO (제안됨)25,000 ETH재무고 할당
Stani Kulechov (개인)5,000 ETH설립자 기여
EtherFi5,000 ETH직접 기부
Compound DAO (제안됨)최대 3,000 ETH재무고 할당
Lido DAO (제안됨)2,500 ETH재무고 할당
Golem1,000 ETH직접 기부
Ethena, LayerZero, Ink Foundation미공개운영 + 자본

공개된 총 약정액은 3억 달러를 넘어섰으며, 운영 연합 자체는 약 69,534 ETH (약 1억 6,100만 달러)를 단일 공유 복구 기금에 모았습니다. 이는 디파이 역사상 최대 규모의 공동 자본 대응입니다.

놀라운 점은 참여자 면면입니다. EtherFi는 유동성 재스테이킹 시장에서 Kelp의 직접적인 경쟁자입니다. Compound와 Aave는 대출 시장의 숙적입니다. Lido와 Mantle은 스테이킹된 ETH 점유율을 두고 경쟁합니다. 이들 중 누구도 Kelp를 구제함으로써 개별적인 이득을 얻지 못합니다. 이들은 브릿지 설정 리스크가 이제 경쟁자의 문제가 아닌 카테고리 전체의 문제라는 신호를 보내고 있는 것입니다.

이단계 복구 계획​

4월 27일 발표된 DeFi United의 기술 제안서는 복구 과정을 두 개의 조정된 트랙으로 나눕니다.

트랙 1 — rsETH 페깅 복구. 단계별 ETH 트랜치 예치 메커니즘을 통해 Kelp DAO 브릿지 금고 컨트랙트에 자금을 주입하여 1.07 ETH / rsETH 비율을 복구합니다. 각 트랜치가 확인된 후에만 브릿지 운영을 재개합니다. 이러한 단계적 접근 방식은 핵심적인 차별점입니다. 방금 자금이 털린 컨트랙트에 10만 ETH를 한꺼번에 다시 넣는 대신, 브릿지 설정에 남아있을 수 있는 잔류 보안 리스크를 제한하는 것입니다.

트랙 2 — 회수 가능한 자산 회수. 탈취된 116,500 rsETH 중 약 107,000 rsETH가 여전히 7개의 공격자 주소에 남아 있으며, Aave V3 (Ethereum, Arbitrum, Mantle) 및 Compound의 활성 포지션에 예치되어 있습니다. DeFi United는 거버넌스 승인 청산을 통해 Aave에서만 약 7,100만 달러 / 약 13,000 ETH를 회수하고, Compound에서도 추가 회수를 진행할 것을 제안하고 있습니다. 아비트럼 보안 의회(Arbitrum Security Council)는 법 집행 기관과 협력하여 이미 3만 ETH 이상의 하류 자금을 동결했습니다.

이 지점에서 설계의 영리함이 돋보입니다. 대부분의 탈취된 암호화폐는 몇 시간 내에 믹서를 통해 빠져나갑니다. 하지만 라자루스 운영자들은 추가적인 대출 유동성을 추출하기 위해 탈취한 rsETH를 대출 시장의 담보로 활용하는 선택을 했습니다. 그 결정 덕분에 탈취된 토큰의 약 92%가 일반적인 거버넌스 절차를 통해 공격자의 포지션을 청산할 수 있는 프로토콜 내에 남게 되었습니다. 연합이 거버넌스 절차를 충분히 빠르게 실행할 수 있다면, 이번 익스플로잇은 부분적으로 자체 복구가 가능합니다.

세 가지 구제 금융 모델 비교​

DeFi United가 왜 진정으로 새로운지 이해하려면, 지난 10년 동안 DeFi가 만들어낸 세 가지 이전 복구 모델과 비교해 보는 것이 도움이 됩니다:

이더리움 DAO 포크 (2016). The DAO에서 약 6,000만 달러가 탈취되었을 때, 이더리움 핵심 개발자들은 원장을 다시 작성하여 예치자들에게 자금을 돌려주는 하드 포크를 조율했습니다. 이는 체인을 분열시켰고(ETC의 탄생), 한 세대의 도덕적 자본을 소진시켰습니다. 이후의 모든 구제 금융에 관한 논쟁은 이 사건의 그림자에 가려져 있습니다. 롤백은 단일 체인 해결책이며, 크로스체인이나 멀티 프로토콜의 실패에 대해서는 아무런 도움이 되지 않습니다.

점프 크립토 / 웜홀 (2022). 솔라나-이더리움 브릿지에서 3억 2,000만 달러를 도난당했을 때, 점프 캐피탈은 예치자들의 손실을 보전하기 위해 120,000 ETH를 조용히 입금했습니다. 효과는 있었지만, DL News는 당시나 지금이나 이를 거버넌스도, 투명성도, 재현 가능성도 없이 한 명의 부유한 후원자에게 비용을 집중시킨 "매우 위험한 선례"라고 부릅니다.

망고 마켓 / 아브라함 아이젠버그 (2022). 공격자가 망고의 DAO를 통해 합의를 협상한 거버넌스 환수(clawback) 모델입니다. 익스플로잇을 준사법적 분쟁으로 취급하는 선례를 남겼지만, 공격자가 식별 가능하고 연락이 닿는 경우에만 작동했습니다.

DeFi United는 네 번째 모델이며, 멀티 프로토콜, 크로스 트레저리(cross-treasury), 상설 모델로는 처음입니다. 경쟁 관계인 7개의 프로토콜이 공유 기금에 자본을 모으고, 각 참여 DAO에서 공식적인 거버넌스 제안을 거칩니다. 아무도 체인을 롤백하지 않습니다. 아무도 단일 억만장자에게 의존하지 않습니다. 이 구조는 포크나 수표 지급보다는 신디케이트 구제 시설(syndicated rescue facility)에 더 가깝습니다.

아무도 답하고 싶어 하지 않았던 "크립토 FDIC" 질문​

이 지점부터 철학적으로 불편한 상황이 발생합니다.

브릿지나 인프라 장애에 대한 표준 DeFi 대응책으로 버그 바운티나 프로토콜별 예비금이 아닌 업계 전반의 연합 구제 금융이 자리 잡는다면, 생태계는 사실상 암묵적 보험 풀을 만든 셈입니다. 이는 다음 실패도 동일한 대우를 받을 것이라는 가정하에 대형 프로토콜들에 의해 임시로 자금이 조달되는 구조입니다. 이것이 구조적으로 전통 금융의 FDIC 보험과 같은 것입니다. 즉, 꼬리 위험(tail-risk) 손실을 사회화하여 예치자의 신뢰를 보호하는 상호 보완 장치입니다.

이에 대한 찬성 논거는 명확합니다. 신뢰할 수 있는 구제 메커니즘이 없다면 모든 크로스체인 익스플로잇은 잠재적인 시스템적 위기가 됩니다. Kelp 해킹 이후 48시간 동안 132억 1,000만 달러의 DeFi TVL이 유출된 것은 그 증거입니다. 대규모 예치자들의 반사적 행동은 버그가 누구의 잘못이었는지 신경 쓰지 않습니다.

반대 논거는 금융 역사의 모든 구제 금융에 대한 반대 논거와 같습니다. 바로 도덕적 해이. 프로토콜이 치명적인 인프라 실패가 동료 연합에 의해 부분적으로 보상될 것임을 안다면, 견고한 DVN 구성, 중복 검증인, 파라메트릭 보험 가입, 엄격한 브릿지 감사에 투자할 유인이 줄어듭니다. 이전에는 개별 프로토콜이 부담하던 비용이 연합으로 외부화됩니다. 웜홀-점프 선례는 이미 2022년에 이러한 우려를 제기했으며, DeFi United는 이를 7배로 증폭시킵니다.

더 심각한 것은 Nexus Mutual이나 Risk Harbor와 같은 표준 파라메트릭 보장 상품들이 프로토콜별 스마트 컨트랙트 실패에 맞춰 가격이 책정되어 있다는 점입니다. 브릿지 설정 위험, 관리자 키 유출, AWS-KMS 침해 등은 모두 해당 보험 정책의 범위 밖에 있습니다. 2026년 4월의 총 6억 600만 달러 규모의 DeFi 손실은 현재의 시장 구조상 거의 전적으로 보험에 가입되어 있지 않은 상태입니다. DeFi United는 적절한 가격과 자본을 갖춘 업계 보험 풀이 채워야 할 공백을 메우고 있습니다.

2026년 3분기 기관 자금 배분에 미치는 영향​

이 사안이 가장 중요한 대상은 크립토 네이티브 예치자가 아닙니다. 바로 BlackRock BUIDL(28억 달러), Apollo ACRED, Franklin Templeton의 BENJI와 같이 온체인에서 대규모로 토큰화된 자산을 보유하고 있는 기관의 리스크 위원회입니다.

이들이 접하는 모든 DeFi 플랫폼에 던지는 질문은 이제 기계적입니다. 귀하의 브릿지 구성은 기관 리스크 프레임워크가 요구하는 주기에 맞춰 어떻게 감사되고 있습니까? Kelp 사태 이후의 솔직한 답변은 "감사되지 않고 있으며, 이것이 바로 정지 조항(pause clauses)과 허가형 플랫폼(permissioned venues)을 기본값으로 유지하는 이유입니다"가 될 것입니다. Jefferies의 4월 21일 리서치 노트는 정확히 이 역학 관계를 지적하며, 은행들이 DeFi 인프라의 "업그레이드로 도입된 취약성"을 재평가함에 따라 기관 RWA 타임라인이 12~18개월 지연될 수 있다고 경고했습니다.

DeFi United가 그 타임라인을 앞당길지 아니면 늦출지는 다음에 무엇이 오느냐에 달려 있습니다. 만약 이 선례가 명시적인 보장 규칙을 가진 인가된, 업계 자금 조달 기반의 파라메트릭 멀티 프로토콜 보험 풀과 같이 상설적인 것으로 구체화된다면, 기관 투자자들은 지속적인 온체인 확장을 보증하는 데 필요한 신뢰할 수 있는 보완 장치를 갖게 됩니다. 만약 조직하는 데 열흘이 걸리고 개별 설립자의 약속이 필요한 일회성 임시 대응에 머문다면, 진지한 예치자들이 대규모로 자금을 배분하기 전에 모든 프로토콜은 여전히 우발적 복구 약속을 공개해야만 할 것입니다.

Spark, Morpho, Euler, Fluid에게 주어진 강제 함수는 이제 명백합니다. 예치자들은 그들에게도 연합 보완 장치가 있는지 물을 것이고, "답변 불가"는 더 이상 통하는 대답이 되지 않을 것입니다.

자금 이면의 구조적 질문​

2026년 4월은 2025년 2월 Bybit 해킹 사태 이후 DeFi 익스플로잇이 가장 기승을 부린 달로 기억될 것입니다. 총 6억 600만 달러의 누적 손실이 발생했으며, 올해 현재까지 47건의 DeFi 사고가 발생하여 2025년 같은 기간의 28건 대비 전년 대비 68% 급증했습니다. 이러한 손실 패턴에서 업계가 반드시 내면화해야 할 부분이 있습니다. 스마트 컨트랙트 로직 버그는 4월 손실액의 15% 미만을 차지한 반면, 브릿지 구성 오류, 관리자 키 탈취, 인프라 공격이 전체의 85% 이상을 차지했다는 점입니다.

익스플로잇의 표면이 스택 위쪽으로 이동했습니다. 즉, 솔리디티(Solidity)에서 브릿지 DVN, AWS KMS, 하드웨어 월렛 공급망, 그리고 크로스 체인 메시징으로 옮겨간 것입니다. DeFi United는 이러한 이동을 개별 프로토콜의 감사 문제가 아닌 조정(coordination)의 문제로 취급하는 최초의 대응 사례입니다. 이 연합이 영구적인 인프라로 자리 잡을지, 아니면 일회성 대응으로 남을지에 따라 업계가 자체적인 서킷 브레이커를 구축했는지, 아니면 단지 다음에 올 더 큰 패닉을 늦춘 것뿐인지가 결정될 것입니다.

4월 18일 익스플로잇 발생부터 DeFi United 결성까지 걸린 48시간이라는 시간은 역사적 기준으로 볼 때 매우 신속합니다. 2008년 베어스턴스(Bear Stearns)가 파산하는 데는 96시간이 걸렸습니다. 2016년 The DAO 논쟁은 이더리움 대역폭의 3주를 소모했습니다. 7개의 프로토콜, 8개의 DAO 거버넌스 프로세스, 그리고 열흘 만에 조율된 기술적 계획은 암호화폐 업계가 지금까지 만들어낸 기관급 사고 대응 중 가장 완성도 높은 사례입니다.

단지 그 단계에 도달하기 위해 2억 9,200만 달러의 손실과 130억 달러 규모의 예치금 유출 위협이 필요했을 뿐입니다.

BlockEden.xyz는 이더리움, 솔라나, 수이, 앱토스 및 30개 이상의 기타 네트워크에 걸쳐 엔터프라이즈급 RPC 및 인덱싱 인프라를 제공합니다. 이는 기관 규모에서 브릿지 구성과 DeFi 서비스들이 의존하는 이중화 및 멀티 리전(multi-region) 기반의 인프라입니다. 저희의 API 마켓플레이스를 탐색하여 크로스 체인 시대를 위해 설계된 인프라 위에서 빌드해 보세요.

출처​

Share on Twitter