DeFi의 적은 더 이상 버그가 아니다

코드 한 줄의 실수가 아니었다. 감사(audit)도 통과했고, 스마트 컨트랙트에 허점도 없었다. 그런데 수백억 원이 사라졌다.

DeFi 생태계에서 반복되는 이 패턴이 보안 연구자들 사이에서 근본적인 질문을 촉발하고 있다. 우리는 지금 무엇과 싸우고 있는가?

버그와의 전쟁은 끝났다 — 그리고 우리는 졌다

초기 DeFi 해킹 사고의 서사는 단순했다. 개발자가 코드를 잘못 짰고, 해커가 그 틈을 파고들었다. 재진입 공격(reentrancy attack)으로 3억 6천만 달러를 잃은 2016년 더 다오(The DAO) 사태가 대표적이다. 해결책도 명확해 보였다. 더 꼼꼼한 코드 감사, 더 엄격한 테스트, 더 많은 보안 전문가.

업계는 그 방향으로 수년을 달렸다. 스마트 컨트랙트 감사 시장이 성장했고, 버그 바운티 프로그램이 표준이 됐으며, 형식 검증(formal verification) 도구도 등장했다. 그 결과, 단순 코딩 오류로 인한 해킹은 실제로 줄었다.

그런데 피해 규모는 줄지 않았다.

복잡성이라는 새로운 공격 벡터

프로토콜 설립자들과 보안 연구자들이 주목하는 변화는 이것이다. 위협의 진원지가 코드에서 아키텍처로 이동했다.

현대 DeFi 프로토콜은 홀로 작동하지 않는다. 대출 프로토콜은 오라클(가격 정보 공급자)에 의존하고, 그 오라클은 유동성 풀의 데이터를 참조하며, 그 유동성 풀은 다시 다른 프로토콜의 토큰을 담보로 받는다. 레고 블록처럼 쌓인 이 구조를 업계에서는 '머니 레고(money lego)'라고 부른다. 창의적이고 효율적이지만, 블록 하나가 흔들리면 전체가 무너질 수 있다.

광고

광고주 모집

[email protected]

광고

플래시 론(flash loan) 공격이 이 취약성을 가장 잘 보여준다. 담보 없이 순간적으로 대규모 자금을 빌려 여러 프로토콜 간 가격 차이를 인위적으로 만들고, 이를 이용해 이익을 취한 뒤 같은 블록 내에서 상환하는 방식이다. 개별 스마트 컨트랙트는 완벽했다. 문제는 그것들이 상호작용하는 방식에 있었다.

2021년부터 2024년까지DeFi 프로토콜에서 발생한 주요 해킹 피해액은 누적 수십억 달러에 달한다. 이 중 상당수는 코드 자체의 버그가 아닌, 프로토콜 간 상호작용의 허점을 이용한 사례였다.

이해관계자들이 보는 다른 풍경

프로토콜 개발자 입장에서 이 변화는 딜레마다. 다른 프로토콜과 연동될수록 유동성이 늘고 사용자 경험이 좋아진다. 하지만 연동이 많을수록 공격 표면도 넓어진다. '안전한 고립'과 '위험한 연결' 사이의 선택이다.

보안 감사 기관 입장은 더 복잡하다. 코드 한 줄씩 검토하는 전통적 감사 방식으로는 시스템 수준의 복잡성 리스크를 잡아내기 어렵다. 감사를 통과한 프로토콜이 해킹당했을 때 책임 소재도 불분명해진다. 감사 기관들은 "우리는 코드를 검토했지, 시장 조건과의 상호작용까지 보장하지 않았다"고 말할 수 있다.

규제 당국 시각에서는 이것이 시스템적 리스크(systemic risk) 논의로 이어진다. 전통 금융에서 '대마불사(too big to fail)' 문제가 있었다면, DeFi에는 '너무 얽혀 있어서 실패할 수 없는(too interconnected to fail)' 구조가 생기고 있다. 미국 SEC와 유럽 MiCA 규제 프레임워크 모두 아직 이 복잡성 리스크를 체계적으로 다루는 도구를 갖추지 못했다.

일반 투자자 입장에서는 가장 불편한 진실이 있다. 감사 보고서를 확인하고, 코드 공개 여부를 따지고, 팀의 평판을 조사해도 — 복잡성 리스크는 그 어디에도 명시적으로 표시되지 않는다.

복잡성을 어떻게 측정할 것인가

업계 일부에서는 새로운 접근이 시도되고 있다. 프로토콜 간 의존성을 그래프로 시각화하고, 특정 프로토콜이 '단일 실패 지점(single point of failure)'이 되는지 분석하는 방식이다. 경제적 감사(economic audit)라는 개념도 등장했다. 코드가 아닌, 인센티브 구조와 시장 조건 하에서의 프로토콜 행동을 시뮬레이션하는 것이다.

그러나 이런 도구들은 아직 초기 단계다. 그리고 DeFi 생태계는 이 도구들이 성숙하는 속도보다 빠르게 복잡해지고 있다.