빈스토크 팜스 플래시론 거버넌스 공격, 1억8200만달러 탈취 사건

2022년 4월 17일 한 공격자가 탈중앙화 대출 프로토콜 아베(Aave) 등에서 약 10억달러 규모의 플래시론(무담보 초단기 대출)을 빌려, 이더리움 기반 알고리즘 스테이블코인 프로토콜 빈스토크(Beanstalk Farms)의 거버넌스 토큰 '스톡(Stalk)'을 대량으로 확보했다. 빈스토크는 프로토콜에 자산을 예치한 이용자에게 스톡을 지급하고, 이를 보유한 만큼 거버넌스 투표권을 행사할 수 있도록 설계돼 있었다. 공격자는 단 한 번의 트랜잭션 안에서 거액을 빌려 예치와 투표권 행사를 동시에 실행해 순식간에 전체 투표권의 67%를 넘는 압도적 지분을 확보했다. 이는 시간을 두고 토큰을 매집할 필요 없이 단일 트랜잭션 안에서 프로토콜을 장악할 수 있음을 보여준 사례였다. 빈스토크의 거버넌스 설계는 플래시론을 이용한 순간적 투표권 집중을 막는 안전장치를 갖추지 못한 것이 근본 원인으로 지목됐다.

공격자는 확보한 압도적 투표권을 이용해 통상적인 대기시간을 우회할 수 있는 긴급 거버넌스 절차를 통해 자체 제출한 제안(BIP-18)을 즉시 통과시켰다. 이 제안은 빈스토크 프로토콜의 자금 풀에서 최대한 많은 자산을 공격자의 지갑으로 이체하도록 설계된 악성 코드를 담고 있었다. 이를 통해 공격자는 프로토콜에 예치돼 있던 약 1억8200만달러 상당의 다양한 암호자산을 빼돌렸으며, 빌린 플래시론 10억달러를 즉시 상환하고도 약 8000만달러의 순이익을 챙긴 것으로 분석됐다. 공격 직후 빈스토크의 자체 스테이블코인 BEAN은 담보 자산을 잃으면서 목표가 1달러에서 75%가량 폭락하며 사실상 페깅이 붕괴됐다. 이 사건은 디파이 역사상 손꼽히는 대형 거버넌스 공격이자 플래시론 악용 사례로 기록됐다.

같은 트랜잭션 안에서 공격자는 두 번째 제안(BIP-19)도 함께 통과시켜, 탈취한 자금 중 일부인 25만달러 상당의 BEAN 토큰을 우크라이나 구호 기부 주소로 전송했다. 당시는 러시아의 우크라이나 침공이 두 달가량 진행 중이던 시점으로, 공격자의 이례적인 기부 행위는 암호화폐 커뮤니티에서 큰 화제가 됐다. 일부에서는 이를 공격자가 여론의 비난을 누그러뜨리기 위한 '이미지 세탁'으로 해석했으며, 다른 일부는 공격자가 정치적 신념에 따라 의도적으로 기부했을 가능성을 제기했다. 그러나 어느 쪽이든 이 기부가 나머지 탈취 자금에 대한 법적·윤리적 책임을 상쇄하지는 못한다는 것이 대체적인 시각이었다. 이후 이 기부금은 실제 우크라이나 지원 단체에 전달된 것으로 확인됐다.

공격자는 탈취한 자금 대부분을 탈중앙화 자금세탁 방지 회피 도구로 악명 높은 믹서 서비스 '토네이도캐시(Tornado Cash)'를 통해 세탁한 것으로 추적됐다. 블록체인 분석업체들은 자금 흐름을 일부 추적했지만 공격자의 실제 신원은 2022년 10월 기준까지도 밝혀지지 않았고 탈취된 자금도 회수되지 못했다. 빈스토크 팀은 사고 직후 공식 성명을 내고 프로토콜을 즉각 중단시켰으며, 커뮤니티와 함께 후속 대응 방안을 논의하기 시작했다. 피해를 입은 예치자와 투자자들은 집단으로 손실 보상을 요구했지만, 탈중앙화 프로토콜의 특성상 명확한 책임 주체가 없어 보상 논의는 난항을 겪었다. 이 사건은 디파이 프로토콜 대다수가 플래시론 공격에 무방비 상태였다는 사실을 업계 전반에 각인시켰다.

빈스토크 팀은 2022년 6월 6일 공격으로 잃은 약 7700만달러 규모의 이용자 예치금을 복구하기 위한 '번 레이즈(Barn Raise)' 모금 캠페인을 시작했다. 이 캠페인은 USDC를 투입하면 프로토콜에 대한 채권 성격의 '퍼틸라이저(Fertilizer)' 토큰을 받는 구조로, 프로토콜이 정상화되면 이자와 함께 상환받을 수 있도록 설계됐다. 팀은 동시에 거버넌스 구조를 전면 재설계해 플래시론을 이용한 순간적 투표권 집중을 막는 안전장치와 제안 검토를 위한 최소 대기시간을 새로 도입하겠다고 밝혔다. 커뮤니티 다수는 공격으로 신뢰가 무너진 프로토콜에 다시 자금을 투입하는 데 대한 우려를 나타냈지만, 상당수 기존 이용자들이 손실 복구를 위해 모금에 참여했다. 이 캠페인은 디파이 업계에서 해킹 피해 프로토콜이 자체적으로 재기를 시도한 이례적 사례로 주목받았다.

스톡 토큰 보유자의 99% 이상이 찬성한 거버넌스 투표를 거쳐, 빈스토크는 2022년 8월 6일 개편된 버전인 '리플랜트(Replant)'로 프로토콜을 공식 재가동했다. 새 버전에는 플래시론을 이용한 거버넌스 탈취를 막기 위해 제안 제출과 투표 사이에 의무 대기시간을 두고, 비정상적으로 큰 규모의 투표권 변동을 감지해 자동으로 제한하는 안전장치가 새로 적용됐다. 재가동 시점까지 번 레이즈 모금을 통해 1700만달러가 넘는 자금이 모였으나, 이는 애초 피해 규모에는 크게 못 미치는 수준이었다. 빈스토크 팀은 이후에도 신규 서비스를 선보이며 사업을 이어갔지만, 이 사건은 디파이 프로젝트의 거버넌스 설계 취약성을 보여주는 대표 사례로 업계 교육 자료에 반복적으로 인용되고 있다. 사건 이후 다수 디파이 프로토콜들이 유사한 플래시론 방지 거버넌스 장치를 도입하는 계기가 됐다.