이더리움 기반 Summer.fi, 604만 달러 USDC 볼트 해킹으로 서비스 종료 수순

이더리움(ETH) 기반 탈중앙화 금융(DeFi) 플랫폼 Summer.fi가 604만 달러 규모의 해킹으로 두 개의 USDC 볼트가 소진되면서 서비스를 종료한다고 공식 확인했다. 회사 측은 자사 Lazy Summer Protocol을 겨냥한 7월 6일 공격이 재건에 필요한 자본을 완전히 파괴했으며, 이제 남은 현실적 선택지는 통제된 종료뿐이라고 밝혔다. 이용자가 포지션을 점검하고 공식 공지를 확인할 수 있도록 애플리케이션은 2026년 8월 31일까지 유지된다. 한때 레버리지 DeFi 대출 전략을 뒷받침하던 인프라 위에 세워졌던 Summer.fi는 이번 폐쇄를 일시적 차질이 아닌 존립 자체를 뒤흔든 타격으로 규정했다. 이번 하락장 국면에서 나온 가장 무거운 항복 사례 중 하나다.

결정적 요인은 기술이 아니라 재무였다. Summer.fi는 팀 자체 자금의 상당 부분이 피해를 입은 볼트 안에 예치돼 있었다고 밝혔다. 즉 약 604만 달러의 손실이 이용자 자산은 물론 회복을 위해 따로 마련해 둔 운영 자본까지 한꺼번에 날려버린 것이다. 경영진은 2025년 10월 Stream Finance 붕괴 이후 알트코인과 DeFi 전반의 환경이 급격히 악화됐다고 지적했다. 당시 이 부문 전반에서 유동성과 신뢰가 크게 얇아졌다. 회사 측은 2026년 4월 한 달에만 DeFi 프로토콜들이 6억 3,500만 달러 이상의 손실을 흡수했다고 짚었다. 모든 대안을 저울질한 끝에, 이런 조건에서 재건은 지속 가능하지 않다는 결론에 이르렀다.

온체인 데이터는 공격자가 이더리움 메인넷에 있는 두 USDC 볼트의 회계 로직을 표적으로 삼았음을 보여준다. 보안 분석가들은 이번 사건을 플래시 론을 이용한 가격 조작으로 규정했다. 공격자는 각 볼트의 지분 가격(share price)을 왜곡한 뒤, 프로토콜이 대응하기도 전에 단 한 건의 트랜잭션으로 가치를 빼냈다. 플래시 론은 같은 블록 안에서 상환되는 무담보 대출로, 공격자는 이를 통해 노출 규모를 일시적으로 부풀리고 볼트 내부 가격을 뒤틀었다. 탈중앙화 거래소 가격 인프라인 0x Protocol을 상대로 실행된 조작된 지분 평가는 프로토콜이 즉시 심각한 손실을 장부에 반영하도록 강제했다. 이런 메커니즘은 개인키 유출이 아니었기에, 피해가 왜 즉각적이고 트레저리 내에서 복구 불가능했는지를 설명한다.

손실은 두 풀에 고르지 않게 집중됐다. LazyVault_LowerRisk_USDC 볼트가 가장 큰 피해를 입어 약 564만 달러의 USDC가 빠져나갔고, LazyVault_HigherRisk_USDC 볼트에서는 약 40만 달러가 유출됐다. Summer.fi의 자체 준비금이 바로 그 동일한 볼트에 예치돼 있었던 탓에, 이번 침해는 플랫폼 대차대조표를 비켜가지 않고 직접 강타했다. 이 겹침이 종료 결정의 핵심이다. 프로토콜은 때때로 보험이나 신규 자금 조달로 고객 손실을 견뎌낼 수 있지만, 이번에는 트레저리와 피해 이용자 예치금이 함께 소진됐다. 위험을 공유한 스테이블코인 볼트 구조는 기댈 완충 장치를 전혀 남기지 않았다.

Summer.fi의 뿌리는 Maker Foundation으로 거슬러 올라간다. 2021년 이곳에서 분사한 뒤 Oasis.app으로 운영되다 이후 리브랜딩을 거쳤다. 5년에 걸쳐 레버리지 관리와 볼트 자동화 도구를 구축하며 상승장과 하락장을 아우르는 5만 명 이상의 이용자를 확보했다. 약 1년 전 출시된 Lazy Summer Protocol은 9개월 만에 총예치금(TVL) 2억 달러에 도달하며, 자동화 수익 상품치고는 공격적인 성장 곡선을 그렸다. 그러나 그 기세는 Stream Finance 사태 이후 멈춰 섰고, 7월의 해킹은 둔화되던 사업을 끝내 회생 불가능한 상태로 몰아넣었다. 팀은 사업 종료를 확정하면서 이용자와 파트너, 투자자에게 감사를 전했다.

이용자에게 지금 시급한 것은 공황이 아니라 절차다. Summer.fi는 예치자가 포지션을 점검하고 안내를 기다릴 수 있도록 애플리케이션과 지원 이메일, 디스코드 채널을 2026년 8월 31일까지 열어 둔다. Lazy Summer Protocol은 탈중앙화 자율조직(DAO)이 거버넌스를 맡고 있어, 프로토콜의 최종 운명은 회사가 아니라 커뮤니티 거버넌스에 달려 있다. 현재 이 DAO는 공격을 받은 두 볼트를 포함해 모든 볼트에서 출금과 상환 기능을 재개하는 작업을 진행 중이다. 기술적·거버넌스적 절차가 마무리되면 Summer.fi 인터페이스를 통해 볼트 운영을 다시 이용할 수 있을 것으로 예상되지만, 구체적 재개 일정은 아직 공개되지 않았다.

우리가 보기에 Summer.fi의 붕괴는 고립된 실패라기보다 스트레스에 짓눌린 사이클의 증상에 가깝다. COINOTAG의 종합 시장 데이터에 따르면 투자심리는 극단적 공포(Extreme Fear)에 갇혀 있고, 공포·탐욕 지수는 25, 전체 암호화폐 시가총액은 약 1조 8,500억 달러에 머물러 있다. 이는 중견 프로토콜이 긴급 자금 조달이나 구제를 성사시키기 거의 불가능한 환경이다. 69.4%에 이르는 비트코인 도미넌스는 자본이 위험도 높은 DeFi와 알트코인 익스포저에서 대형 코인으로 빠져나가고 있음을 뒷받침한다. 공식 종료 공지가 확인하듯, 단 한 번의 플래시 론 공격이 이용자 예치금과 팀의 자금 여력을 동시에 지워버릴 수 있다는 사실은 Stream Finance 이후 이 부문의 회복력이 얼마나 얇아졌는지를 다시 한번 드러낸다.