플래시론 공격자, Avalanche 트랑체 볼트에서 USDC 101만 달러 인출

과대 평가된 트랑체 지분으로 볼트 자금 유출

Avalanche (AVAX) 네트워크의 트랑체 볼트에서 약 101만 달러 규모의 USDC가 유출됐다. 공격자는 플래시론으로 자금을 빌린 뒤 실제보다 많은 수의 트랑체 지분을 발행하고, 그 지분을 볼트에 남아 있는 예치 자산으로 전환한 것으로 확인된다. 사건은 미국 동부시간 10월 27일(화) 저녁 발생했다. 보안 업체 Blockaid는 미국 동부시간 밤 9시 7분 X에 올린 경보에서 당까지의 손실을 약 101만 달러로 추정했고, 해킹이 진행 중이라고 밝혔다. 인출은 약 두 건의 트랜잭션으로 실행됐으며, 누구나 온체인에서 직접 확인할 수 있는 흔적이다. Blockaid가 완결된 강도 사건을 복원한 것이 아니라 실시간 활동을 읽고 있었다는 점에서, 발표 수치는 최종액이 아니라 누적액으로 제시됐다. 플래시론은 블록체인 트랜잭션 한 번 안에서 빌리고 갚아야 하는 담보 없는 대출이다. 호출자는 원금 리스크 없이 순간적으로 큰 규모의 자금을 움직일 수 있다. 이번 사건에서 빌린 자금은 실제보다 부풀려진 수량의 트랑체 지분을 발행하는 데 쓰였고, 그 지분이 풀에 남아 있던 USDC와 상환 처리됐다. 트랑체 볼트는 예치 자산을 리스크와 수익 구조가 다른 계층형 포지션으로 나눠 담는다. 지분 수량이 부풀려지면 풀에 대한 청구권도 그만큼 커진다. 피해 규모를 가늠할 때 이 지점이 중요하다. 부풀려진 지분은 풀에 상환 가능한 USDC가 남아 있어야만 수익으로 이어지고, 공격자가 전환한 것이 정확히 그 잔여 자산이었다. Blockaid는 볼트가 Valinor Digital 및 Fence와 '관련돼 있다'고 말하고 두 회사의 X 계정을 태그했지만, 운영사를 명명하지는 않았다. 기고 시점까지 어느 쪽도 공식 입장을 내놓지 않았다. 스테이블코인인 USDC는 달러 가치 추적을 목적으로 설계됐으며, 이번 표적은 USDC 가격이 아니라 예치 잔액 그 자체였다.

경보가 나갔을 때 아직 풀리지 않은 사항들은 손실액만큼이나 중요하다. 거래가 일시 중단됐는지, 탈취된 USDC의 회수가 가능한지, 예치자 몇 명이 피해에 노출됐는지는 여전히 확인되지 않았다. 101만 달러는 명시적으로 진행형 누계였다. 공격이 미국 동부시간 밤 9시 7분 이후에도 이어졌다면 수치는 더 올라갈 수 있다. 기고 시점까지 Valinor Digital과 Fence 어느 쪽도 성명, 거래 중단 공지, 복구 계획을 발표하지 않았다. 그래서 예치자들은 출금이 정상 작동하는지, 풀의 몇 퍼센트를 돌려받을 수 있을지에 대한 공식 설명을 갖지 못한 상태다. 두 건의 트랜잭션 흔적은 조사 창구다. 수익이 볼트 컨트랙트를 떠난 뒤에는 운영사가 얼마나 빨리 대응하는지, 프런트엔드에 미처 처리되지 않은 출금 요청이 남아 있는지에 따라 회수 가능성이 갈린다. 누계 방식은 보상 산정도 복잡하게 만든다. 수치가 멈출 때까지는 예치자별 손실분이 확정되지 않기 때문이다. 공격 설계는 Avalanche (AVAX)가 이전에 겪은 패턴과 일치한다. 2023년 2월 같은 네트워크의 스테이블코인 스왑 플랫폼 Platypus는 플래시론과 파손된 지급능력 검사의 결합으로 약 850만 달러를 잃었다. 이번 사건도 같은 구조를 따른다. 대출, 부풀려진 지분 회계, 예치물 청구, 그리고 같은 트랜잭션 안의 대출 상환까지, 대부분의 예치자가 대응하기 전에 완결됐다. 트랑체 볼트 사건에서 키 유출은 주장되지 않았다. 검수 팀의 시선은 지분 가격 로직과 지급능력 가정으로 향하며, 이는 Blockchain Security Audits에서 다루는 표면과 동일하다. USDC 볼트 노출을 고민하는 보유자에게 실질적 질문은 운영에 관한 것이다. 운영사가 누계가 커지기 전에 거래를 중단하고, 공개하고, 지분을 재정가하는지 여부다.

회수·거래 중단 여부, 운영사는 여전히 미공개

결정적 사실은 온체인에 있다. 유출을 만든 두 건의 트랜잭션은 탐색기에서 지금도 추적할 수 있고, 도착지 지갑 주소를 보면 수익이 보관된 상태인지 이미 믹서로 향하고 있는지 드러난다. 회수 확률을 가르는 것은 보도자료가 아니라 이 추적이다. 나머지는 세 가지 공개가 결정한다. 거래 중단 확인, 운영사 명명, 누계를 대체할 최종 수치. 장애 지점도 구분돼야 한다. 이번 실패는 볼트 계층에서 발생했지 발행사의 인프라에서 생긴 것이 아니다. Circle의 USDC Match는 기관 발행과 상환을 매시간 경매로 매칭하는 제도인데, 그 장치는 온전히 유지됐다. 최근 가장 가까운 사례는 Initia 해킹이다. 이 사건은 USDC 준비금을 63달러까지 남겨두고 재시작 일정을 공개하지 않았다. 세 가지 공개 중 하나가 나오기 전까지는 101만 달러를 합의액이 아니라 최저선으로 읽어야 한다.