디파이 대출 프로토콜 유러 파이낸스 1억9700만 달러 해킹 사건

이더리움 기반 디파이 대출 프로토콜 유러(오일러) 파이낸스가 3월 13일 플래시론 공격을 받아 1억9700만 달러 이상의 자산을 탈취당했다. 플래시론 공격은 블록체인의 한 블록 생성 시간 내에 무담보로 대출과 상환이 동시에 이뤄지는 기법으로, 디파이 프로토콜의 담보 구조를 악용하는 데 자주 쓰인다. 탈취된 자산에는 스테이블코인 다이(DAI)와 USD코인(USDC), 스테이킹된 이더리움(stETH), 랩드비트코인(WBTC) 등이 포함됐다. 이는 2023년 한 해 동안 발생한 디파이 해킹 사고 가운데 최대 규모로 기록됐다. 블록체인 보안업체들의 분석에 따르면 이번 공격은 유러의 스마트컨트랙트 중 'donateToReserves' 기능이 상태를 제대로 확인하지 않는 버그를 악용한 것으로 드러났다.

블록체인 보안업체 펙쉴드(PeckShield)가 가장 먼저 이상 거래를 포착해 경보를 울렸고, 개발사 유러랩스(Euler Labs)도 3월 14일 공격 사실을 공식 확인했다. 유러랩스는 보안 전문가 및 법 집행기관과 협력해 문제를 해결하고 있다고 밝히며 사태 수습에 나섰다. 유러 파이낸스는 이토큰(eToken)을 담보로, 디토큰(dToken)을 부채로 활용하는 렌딩 프로토콜로, 출시 이후 총 여섯 차례의 독립 감사를 받은 바 있었다. 그럼에도 대형 해킹을 피하지 못하면서 디파이 감사 체계의 한계가 다시 도마 위에 올랐다. 이 사고로 예치자산(TVL)은 2억6400만 달러에서 하루 만에 1000만 달러 수준으로 급락했다.

공격에 사용된 지갑 주소는 3월 16일 약 178만 달러 상당의 이더리움을 자금세탁에 활용되는 토네이도캐시 믹싱 서비스로 이체했다. 이 주소는 화이트해커일 가능성이 빠르게 배제됐으며, 과거 바이낸스 스마트체인(BSC) 기반 EPMAX 프로젝트를 공격한 이력이 있는 것으로 확인됐다. 자금을 반환하기보다 출처를 은폐하려는 시도로 해석되면서 시장의 우려를 키웠다. 유러 파이낸스는 이에 앞서 24시간 이내에 나머지 자금을 반환하면 탈취액의 10%를 인센티브로 제공하겠다는 제안을 공개적으로 내건 상태였다. 협상이 결렬될 경우 100만 달러 현상금을 걸겠다는 방침도 함께 예고됐다.

유러랩스는 공격자의 지갑 주소로 소액 거래를 보내면서 그 안에 협상을 제안하는 메시지를 담아 온체인으로 전달했다. 이에 3월 17일 공격자는 '우리는 이 일을 관련된 모든 이들에게 쉽게 만들고 싶다. 우리 것이 아닌 것을 계속 가지고 있을 의도는 없다'는 취지의 답신을 온체인 메시지로 보내며 대화와 합의 가능성을 열어뒀다. 그러나 이 시점까지 실질적인 자금 반환은 이뤄지지 않은 상태였다. 앞서 자금 일부가 토네이도캐시로 흘러간 정황이 있었던 만큼, 시장에서는 이 발언의 진정성에 대한 의구심도 함께 제기됐다. 협상 국면이 이어지면서 피해 자금 회수 여부에 업계의 관심이 집중됐다.

협상이 이어진 지 약 열흘 만인 3월 25일, 공격자는 탈취 자금의 절반가량인 1억100만 달러를 유러 파이낸스 측에 돌려보냈다. 이는 온체인 협상 이후 처음으로 이뤄진 실질적이고 대규모인 자금 반환이었다. 시장에서는 이를 두고 공격자가 완전한 자금 회수 대신 부분적 반환을 통해 법적 책임을 완화하려는 전략일 수 있다는 분석이 나왔다. 유러 파이낸스는 반환된 자금을 프로토콜 재건과 피해자 보상 재원으로 활용하겠다는 방침을 밝혔다. 이 반환을 계기로 시장에서는 나머지 탈취 자금도 순차적으로 돌아올 수 있다는 기대가 커졌다.

공격자는 3월 27일 두 차례에 걸쳐 총 2650만 달러를 추가로 반환했다. 이로써 3월 25일의 1억100만 달러를 합쳐 누적 회수액은 1억3800만 달러에 달했으며, 이는 전체 피해액 1억9700만 달러의 약 70%에 해당하는 규모였다. 여전히 약 5700만 달러가 반환되지 않은 상태였지만, 공격자가 단계적으로 자발적인 반환을 이어가는 모습을 보이면서 전액 회수에 대한 기대감이 높아졌다. 이 같은 단계적 반환 패턴은 공격자가 일시에 전액을 돌려주기보다 자신의 안전을 확인하며 조금씩 반환하는 전략을 취하고 있음을 시사했다. 유러 커뮤니티에서는 나머지 금액의 반환 여부와 시점에 관심이 집중됐다.

4월 3일 유러 파이낸스는 해커가 협상 끝에 '회수 가능한 자금 전액'을 반환했다고 발표하며, 앞서 내걸었던 100만 달러 현상금 계획을 철회했다. 이 마지막 반환은 8080 ETH와 2500 ETH, 1200만 달러 상당의 DAI 등 세 차례 거래를 통해 약 3100만 달러 규모로 이뤄졌다. 스스로를 '제이콥'이라 밝힌 공격자는 블록체인 메시지를 통해 '내가 잘못했다. 그러려던 건 아니었지만 다른 사람들의 돈을 건드렸다'며 '정말 잘못했다. 미안하다'는 사과의 뜻을 전했다. 그는 반환이 늦어진 이유에 대해 '나는 내 안전만을 신경 썼고, 그것이 지연의 이유'라고 해명했다. 이 소식이 전해지자 유러의 거버넌스 토큰 EUL 가격은 24시간 만에 13% 넘게 급등했으며, 유러 재단은 남은 이용자 자산 복구 계획을 커뮤니티에 제시하겠다고 약속했다.