Secured Finance, 18만 달러 해킹 뒤 아비트럼 대출 시장 재개

3개 체인에서 대출 시장 재개

고정금리 DeFi 프로토콜 Secured Finance가 이더리움, 아비트럼(ARB), Filecoin에서 대출 시장 운영을 다시 시작했다. 세 체인 모두 9월 7일 발생한 무단 인출 이후 운영이 중단돼 있었다. 재개는 10월 16일 효력이 발생했고, 팀은 10월 18일자 사후 분석 보고서로 이를 확인했으며, 팀 리더 Masa Kikuchi는 같은 날 재개 완료를 X에 공지하고 중단 기간을 기다려준 이용자들에게 감사를 전했다. 약 5주간의 중단 기간 동안 이용자는 신규 주문, 예치, 출금을 전혀 할 수 없었고, 만기 포지션의 만기 처리와 자동 롤오버도 모두 연기됐다. 해당 대출 시장을 전략에 활용하는 팀의 SF Yield Vault 역시 같은 기간 프런트엔드에서 예치와 출금이 제한된 상태로 유지됐다. 보고서에 따르면 Secured Finance 재단이 프로토콜의 손실을 부담했으며, 개발팀 외부에서 자금을 잃은 이용자는 없다. 회수 이전 기준 피해 총액은 18만 856달러로, 프로토콜 손실 17만 6,196달러와 팀원 개인 계정이 부당하게 청산되며 이동한 담보 4,660달러로 나뉜다. 두 금액 모두 9월 16일 기준으로 평가되고 10월 5일에 재확인된 값이라, 현재의 미회수 금액은 아니다. 회수 작업으로는 31.5547 ETH가 반환됐으며, 9월 11일 사고 공시 당시 이더 가격 기준 약 7만 8,000달러 규모로 프로토콜 손실의 약 44%에 해당한다. c0ffeebabe.eth로 알려진 화이트햇과 블록 빌더 Ultra Sound가 이 작업을 수행했고, 유출 자금 반환에 블록 구축 수수료 환불까지 더해졌다. 운영팀은 반환 자금과 재단 준비금을 프로토콜의 유동성 풀을 보관하는 TokenVault 계약에 반영한 뒤 공격자의 부당한 잔고와 포지션을 정정했고, 이 과정에서 개별 지갑 환불은 필요하지 않았다.

5월에 지적됐던 결함

보고서가 밝힌 근본 원인은 가격 수준별로 주문을 관리하는 오더북의 데이터 구조 결함이었다. 주문이 특정 순서로 접수되고 부분 체결된 뒤 취소되면 미체결 상태의 주문이 체결된 것으로 오인됐고, 실제 거래가 없음에도 포지션과 예치 잔고가 만들어졌다. 공격자는 이렇게 만들어진 허위 청구권을 이용해 TokenVault에서 자산을 빼냈다. 보고서는 14건의 무단 출금과 팀원 계정에 대한 청산 1건을 주요 거래로 꼽고, 외부 시세 데이터를 가져오는 블록체인 오라클은 조작되지 않았다고 밝혔다. 타임라인이 보고서에서 가장 날카로운 부분이다. 5월 말의 내부 보안 검토에서 이미 이 결함이 확인됐고, 수정 코드는 6월까지 작성돼 테스트까지 마쳤다. 그러나 팀은 이를 오더북 운영에 지장이 없는 사소한 불일치로 판단했고, 인출 위험은 인지하지 못했다. 당시 정책상 계약 변경에는 외부 감사를 거쳐야 했지만 다음 감사는 아직 잡혀 있지 않았고, 결국 패치는 쓰이지 않은 채 방치됐다. 팀은 이 판단을 실수라고 인정한다. 수정 코드는 9월 24일에야 세 체인 전체에 배포됐지만, 코드만으로는 허위로 만들어진 상태를 되돌릴 수 없었다. 이에 10월 9일 팀은 재자본화와 포지션 정정을 실행하고 일시적으로 운영을 재개해 밀린 만기 처리와 자동 롤오버를 진행했다. 검증 과정에서 이미 처리된 주문의 오래된 기록이 드러나면서 10월 13일 두 번째 중단에 들어갔다. 10월 15일의 점검에서 8개 오더북에 걸쳐 17개의 오래된 기록이 제거되고 임시 복구 기능과 권한도 삭제됐고, 이것이 10월 16일 재개의 길을 열었다. Quantstamp는 공격 재현, 수정 검증, 자금 추적을 지원했으나 그 검토 범위는 원인과 수정에 국한됐을 뿐 프로토콜 전체가 아니었다. 보고서는 탐지 공백도 인정했다. 팀이 쓰던 제3자 이상탐지 서비스는 중단된 상태였고 대체 서비스는 공격이 터질 때까지 준비되지 않았으며, 조사는 정기 관리 절차가 실패한 뒤에야 시작됐다. 첫 무단 출금에서 약 28시간 뒤의 일이었다.

모니터링 가동, 재감사는 대기

온체인 기록과 팀의 사후 분석을 함께 읽어보면 대응은 이미 세 체인의 관행 변화로 이어졌다. 설정된 조건을 충족하는 청산과 출금을 모니터링이 지켜보고, 오더북 검증 테스트가 추가됐으며, 어떤 코드 변경이든 작성자 이외 최소 1명의 검토와 승인을 거쳐야 한다. 재단은 사실상 프로토콜의 DeFi 보험 안전망 역할을 했고, 화이트햇 회수의 44% 이후 남은 부분을 흡수했다. 물론 9월 시점 평가 기준이다. Arbitrum (ARB) 보유자는 본지의 9,265만 ARB 언락 보도에서 유통 맥락을, 아비트럼 기술적 분석에서 차트 맥락을 확인할 수 있고, 일일 피벗 아래로 내려간 ARB의 하락을 다룬 앞선 기록도 참고가 된다. 대응에서 아직 이뤄지지 않은 것은 전면 재감사다. Quantstamp의 검토는 근본 원인과 수정에 한정됐고, 10월의 회수와 재개는 팀 자체의 검증으로 마무리됐다.