Cozy Finance 해킹으로 옵티미즘(OP) 커버 시장서 17만 달러 유출

DeFi 커버 프로토콜 Cozy Finance가 월요일 새벽 Optimism (OP) 네트워크에서 약 17만 달러 규모의 해킹을 당했다. 이는 이 보험성 서비스 제공자가 이더리움 레이어2 네트워크에서 당한 피해로는 두 번째 사례다. 이번 사건은 블록체인 보안업체 Blockaid가 X에 긴급 커뮤니티 경보를 게시하면서 알려졌다. 경보는 프로토콜의 보호 시장, 즉 DeFi 전반의 장애에 대한 커버를 판매해 스테이블코인 유동성을 한곳에 집중시키는 시장에서 진행 중인 자금 인출을 경고했다.

OP Mainnet 익스플로러의 온체인 데이터에 따르면 해킹 트랜잭션은 05:43 UTC에 기록됐다. 공격자는 이 트랜잭션에서 63건의 개별 토큰 전송을 통해 약 163,326 USDC.e를 프로토콜에서 빼냈고, 동일한 트랜잭션에서 커버 포지션의 증서인 Cozy PToken(CPT) 약 160만 개를 소각했다. 이후 공격자는 05:56 UTC에 추가 토큰 승인과 함께 브리지를 통해 탈취 자금을 넘겼다. 첫 인출에서 크로스체인 이탈까지 걸린 시간은 13분으로, Blockaid가 경보를 게시하기 전에 창구가 닫힌 셈이다. 익스플로러 기록상 브리지 이탈 이후 공격자 지갑의 추가 움직임은 없으며, 지금까지 크립토 믹서를 거친 흔적도 온체인에서 확인되지 않는다. 글 작성 시점 기준 Cozy Finance와 Optimism 팀 모두 공식 입장을 내놓지 않았다.

2025년 42만 7,000달러 피해에 이은 두 번째 타격

이번 유출은 일회성 사고가 아니라 반복된 침해다. 2025년 8월에도 공격자가 Cozy Finance의 Optimism 배포 자산에서 약 42만 7,000달러를 가져간 바 있다. 당시 보안업체 Verichains의 연구진은 인출 코드가 상환 완료자의 신원을 전혀 검증하지 않아 트리거할 수 있는 누구에게나 지급을 돌릴 수 있는 결함을 원인으로 특정했다. 이번 침해에 대해서는 아직 대등한 기술적 설명이 공개되지 않았고, 같은 유형의 버그가 재차 작동했는지도 확인되지 않은 상태다.

피해의 상대적 규모는 뚜렷하다. DefiLlama가 추적하는 보험 프로토콜 가운데 Cozy Finance는 현재 5위에 위치하며, 총 예치 자산(TVL)은 약 130만 달러, 이 가운데 약 172,000달러가 Optimism 측에 놓여 있다. 이 수치를 기준으로 하면 공격자는 이더리움으로 최종 정산되는 롤업인 OP Mainnet, 즉 독립 사이드체인이 아닌 체인에 배치된 자산 거시 전부를 쓸어 담은 것으로 보인다. 사실상 해당 체인의 커버 시장이 비워진 것이다. 지급 구조에 대한 신뢰가 곧 상품인 프로토콜에게 같은 네트워크에서 벌어진 두 번째 상환 경로 사고는 TVL 순위가 보여주는 것 이상의 평판 타격이며, Optimism 생태계 전반에 지급 능력 문제를 제기한다.

이번 침해는 DeFi 보안에 냉혹한 시기에 터졌다. Notional Finance는 지난주 정수 오버플로 버그로 173만 달러를 잃었고, 며칠 전에는 Full Sail이 공격자에게 약 91,000달러를 빼앗긴 뒤 운영을 중단했다. 월요일에는 다른 곳에서 훨씬 큰 사례도 있었다. 약 3억 2,000만 달러 상당의 비트코인이 Liquid Network에서 인출됐고, 행위자는 온체인에서 화이트햇 의도를 주장했다. 초기 피해 추정치는 움직이기도 한다. Blockaid는 8월 Flow 해킹의 피해를 처음 930만 달러로 잡았다가 네트워크가 약 41만 달러로 수정했다. 자금 추적이 계속되는 만큼 Cozy Finance의 최종 피해 규모도 달라질 수 있다.

온체인 기록은 익숙한 결함을 가리킨다

온체인 기록을 살펴보면 이번 사건은 포렌식 관점에서 이례적으로 깔끔하다. 단일 해킹 트랜잭션, 특정된 브리지 출구, 이후 움직이지 않는 지갑까지 각 요소가 OP Mainnet에서 독립적으로 검증 가능하며, Blockaid의 공개 경보가 사건의 공식 공시 역할을 한다. 열린 질문은 근본 원인이다. 프로토콜의 2025년 포스트모템은 당시 피해를 상환자 신원을 검증하지 않은 코드로 돌렸지만, 이번 유출에 대해서는 아직 그에 상응하는 설명이 없다. 약 13개월 만에 같은 체인에서 벌어진 두 번째 침해가 Optimism 배포 자산 거의 전부를 쓸어갔다는 점에서, 성장 자금으로 향한 최근의 5억 4,690만 OP 거버넌스 재배분이 기본적인 프로토콜 보안과 공존할 수 있을지 시험대에 올랐다.