Hedera 오라클 취약점 악용에 Bonzo Lend서 900만 달러 유출...랩드 HBAR 3,450만 개 포함

Hedera 기반 대출 프로토콜 Bonzo Lend가 담보로 쓰인 SAUCE 토큰의 가격이 조작되면서 약 900만 달러를 잃었다. 실제 예치된 규모를 훨씬 웃도는 자금이 풀에서 빠져나간 사건이다. 주말 사이 공개된 예비 보고서에 따르면, 이번 공격은 높은 처리량과 낮은 수수료로 알려진 분산원장 네트워크 Hedera 위에 구축된 DeFi(탈중앙화 금융) 애플리케이션을 겨냥했다. HBAR(HBAR)는 이 네트워크의 기축 알트코인이다. Bonzo 측은 이번 손실을 자체 스마트 컨트랙트의 결함이 아니라 오라클 검증 실패로 규정했으나, 유동성이 빠져나가며 이용자 신뢰가 흔들렸고 HBAR 생태계 전반에도 뚜렷한 압력이 가해졌다.

온체인 흐름을 직접 들여다보면 초기 투입 대비 탈취 규모가 얼마나 컸는지 드러난다. 공격자는 처음에 단 250 SAUCE, 금액으로는 몇 달러에 불과한 물량만 예치했다. 이어 해당 토큰의 가치를 약 12자릿수 규모, 즉 약 1조 배 수준으로 부풀리는 가격 업데이트를 제출했다. 담보가 엄청나게 과대평가된 것으로 인식되자, 같은 지갑은 대출 풀에서 663만 USDC와 3,450만 랩드 HBAR를 빌린 뒤 그대로 빠져나갔다. 오프체인 가격을 스마트 컨트랙트에 공급하는 오라클은 대출 플랫폼이 담보 가치를 산정하는 지점이다. 따라서 오염된 가격 피드 하나가 몇 달러짜리 예치를 수백만 달러 규모의 인출로 뒤바꾼 셈이다.

Hedera는 이번 취약점을 자사 기반 계층과 분리하는 데 신속하게 나섰다. 네트워크는 공식 성명을 통해 자체 합의 알고리즘이나 핵심 서비스가 침해된 정황은 확인되지 않았으며, 사건 내내 메인넷이 중단 없이 정상 가동됐다고 밝혔다. 이는 보유자에게 중요한 구분이다. 결함은 원장 자체가 아니라 애플리케이션 계층의 가격 산정 컴포넌트에 있었기 때문이다. 그럼에도 이번 사례는 네트워크가 완벽하게 돌아가는 와중에도 그 위에 올라탄 프로토콜은 자금을 흘릴 수 있으며, 블라인드 서명과 허술한 오라클 검증이 DeFi 이용자에게 상존하는 공격면임을 다시 일깨운다.

Bonzo는 근본 원인을 Supra의 온체인 오라클 검증기 결함으로 지목했다. 이 검증기가 서명 값이 0으로 비워진 조작된 SAUCE 가격을 그대로 수용했다는 것이다. 쉽게 말해 검증 계층이 무효화된 위조 가격 피드를 정상으로 판단해 대출 로직으로 넘겼다. 프로토콜 측은 Supra가 결함을 인정하고 수정 조치를 배포했다고 전하면서, Bonzo Lend의 컨트랙트나 Hedera의 기반 인프라에는 해당 취약점이 없었다는 점을 거듭 강조했다. 서명 검증을 우회해 터무니없는 평가를 강제하는 이번 공격 패턴은, 왜 대출 시장 전반에서 오라클 무결성이 핵심 인프라로 다뤄지는지를 보여준다.

Bonzo의 손실은 DeFi에 가혹했던 한 해의 한복판에서 벌어졌다. 시장 데이터는 2026년 2분기가 건수 기준 역대 가장 많은 해킹이 발생한 분기가 됐음을 보여준다. 이 기간 별개의 취약점 악용만 83건, 탈취액은 약 7억 5,500만 달러에 달했다. 이 가운데 크로스체인 브리지 프로토콜 공격만으로 약 3억 5,100만 달러가 빠져나갔고, 관리자 권한 탈취와 가짜 가격 조작이 분기 손실의 37%를 차지했다. 오라클과 담보 가격 산정을 노린 공격이 몰린다는 것은, 공격자들이 스마트 컨트랙트 자체보다 DeFi의 데이터 배관을 점점 더 정조준하고 있음을 시사한다.

업계 전반의 배경 역시 만만치 않다. DeFi 총예치자산(TVL)은 1월 약 1,150억 달러에서 6월 700억 달러를 겨우 웃도는 수준으로 39% 감소했으며, 이 기간 121건의 해킹과 약 9억 4,200만 달러의 손실이 기록됐다. 잇단 사고가 자본 유출을 더욱 부추긴 것으로 보인다. Bonzo 사례는 지난 2월 Stellar에서 발생한 취약점 악용을 떠올리게 한다. 당시 공격자들은 USTRY 담보의 가치 산정에 쓰인 가격 경로를 조작해 YieldBlox 대출 풀에서 약 1,000만 달러를 빼냈다. 반복되는 담보 가격 산정 실패는 온체인 신용의 축을 이루는 자동화 마켓 메이커(AMM)와 대출 모델에 대한 신뢰를 서서히 갉아먹고 있다.

COINOTAG 자체 시그널 기준으로 HBAR는 $0.0696 부근에서 거래되며 하루 0.94% 하락했다. 42개 지표를 결합한 독자 S/R 스코어링 엔진은 $0.0685 지지선을 최대치인 100점 만점에 100점으로 평가했는데, 켈트너 하단·ATR 하단 밴드와 돈치안 하단이 겹치는 구간이라는 점이 근거다. 상방으로는 $0.0757 저항이 90점(이치모쿠 기준선·스윙 고점), 더 가까운 $0.0704 피벗 클러스터가 70점으로 매겨졌다. RSI 38과 하락 추세는 약세로 읽히지만 MACD는 강세로 전환됐다. 파생상품 데이터에서는 펀딩비가 0.0049%로 소폭 플러스, 미결제약정은 2,030만 달러를 기록했고, 공포·탐욕 지수는 26(공포)에 머물러 있다. 일봉 종가가 $0.0685를 하회할 경우 반등 시나리오는 무효화되며 $0.0572가 노출된다.