Summer.fi, 진행 중인 디파이 익스플로잇으로 약 600만 달러 유출...SUMR 토큰 5%대 하락

온체인 볼트 프로토콜 레이지 서머(Lazy Summer)의 프런트엔드인 Summer.fi에서 실시간으로 진행된 익스플로잇으로 약 600만 달러가 빠져나갔다. 7월 들어 두 번째로 기록된 디파이 침해 사고다. 보안 모니터링이 이 사건을 월요일 오전 포착했으며, 온체인 데이터는 자금이 공격자가 통제하는 컨트랙트를 거쳐 이동하는 가운데 초기 피해 규모를 600만 달러 안팎으로 특정했다. 해당 시스템은 이용자 예치금을 여러 수익 처(venue)로 자동 라우팅하는 구조이며, 빠져나간 자금은 상대적으로 위험도가 낮은 USDC 볼트에 예치돼 있었다. 최초 탐지 시점 기준으로 공격은 여전히 진행 중이었고 총 피해액은 확정되지 않았다. 침해된 Aave 연동 예치 경로에 대한 포렌식 추적이 이어지면서 피해 규모가 더 불어날 여지가 남아 있다.

가장 큰 피해를 입은 것은 보수적 상품으로 마케팅되며 외부 전문 기업이 위험을 관리해 온 LazyVault_LowerRisk_USDC 볼트였다. 온체인 데이터에 따르면 이 볼트의 표시 연환산 수익률(APY)은 사고 도중 약 208만%까지 순간적으로 치솟았다. 이는 실제 수익이 아니라 내부 회계 수치가 왜곡됐음을 보여주는 전형적인 징후다. 예치자에게 제시되는 연환산 수익률인 APY는 볼트 잔고에서 산출되므로, 갑작스러운 비상식적 수치는 통상 준비금 계산이 조작됐다는 신호로 해석된다. 조사자들은 이 수치를 익스플로잇이 볼트의 지분 대비 자산 비율(share-to-asset ratio)을 훼손했다는 증거로 지목했다. 이 비율은 위험도가 낮은 알트코인 볼트가 모든 참여자의 예치금 가치를 정확히 산정하기 위해 의존하는 핵심 메커니즘이다.

조사자들은 온체인 식별자를 전면 공개했다. 0x7BF716으로 시작하는 공격자 주소, 전용 익스플로잇 컨트랙트, 그리고 영향을 받은 레이지 서머 컨트랙트 세 곳이다. 온체인 데이터에 따르면 침해된 볼트의 현재 최대 예치자는 약 860만 USDC를 넣었으며, 이 프로토콜 생태계와 연결된 주체와 관련이 있는 것으로 나타났다. 공격자 주소를 조기에 공개하는 것은 표준적인 초기 대응 절차로, 거래소와 온체인 분석 데스크가 자금이 믹서나 AMM 기반 스왑 경로로 세탁되기 전에 해당 지갑을 블랙리스트에 올릴 수 있게 한다. 공개된 컨트랙트 집합은 화이트햇 대응 인력에게 동결 대상 표면을 정확히 제시하지만, 이미 이동한 자금의 회수 여부는 현 단계에서 확인되지 않았다.

프로토콜의 네이티브 토큰인 SUMR은 이번 침해에 민감하게 반응했다. 최근 시장 데이터에 따르면 SUMR은 0.00193달러 부근에서 거래되며 24시간 동안 약 5.3% 하락해, 같은 날 1% 이상 상승한 전반적 시장과는 반대로 움직였다. 이 같은 상대적 부진은 프로토콜에 국한된 개별 위험을 명확히 반영한다. 전체 시장이 오르는데 특정 토큰만 하락한다면, 그 매도세는 거시 요인이 아니라 개별 종목 고유의 것이다. 소형 거버넌스 토큰의 얕은 유동성은 이런 움직임을 증폭시킬 수 있으며, 페그 유지를 위해 설계된 알고리즘 스테이블코인과 달리 SUMR은 익스플로잇 헤드라인이 전파된 뒤 신뢰 붕괴에 따른 하락을 막을 장치를 갖고 있지 않다.

이전에 Oasis.app으로 불렸던 Summer.fi는 레이지 서머 프로토콜의 이용자 대면 관문으로 작동한다. 이 온체인 볼트 시스템은 Aave, Morpho 같은 디파이 수익원 사이로 예치금을 자동 이동시킨다. 이러한 자동 라우팅 설계는 자본을 소수의 전략 컨트랙트에 집중시켜 자본 효율은 높이지만, 단일 볼트가 침해될 경우 피해 반경을 함께 키운다. Oasis.app에서의 리브랜딩은 플랫폼이 자동화된 수익 애그리게이션으로 방향을 전환한 뒤 이뤄졌으며, USDC를 비롯한 자산의 손 안 대는(hands-off) 배분 서비스로 자리매김했다. 이번 침해는 그 편의성 우선 아키텍처가 8자릿수 예치금을 보유한 프로토콜을 뒤따르는 공격 압력을 견딜 수 있는지를 시험대에 올린다.

이번 Summer.fi 사고는 혹독했던 6월에 이어 7월 들어 기록된 두 번째 크립토 익스플로잇이다. 온체인 데이터에 따르면 지난달 여러 플랫폼은 40건의 개별 해킹으로 약 7,587만 달러를 잃었으며, 휴머니티 프로토콜(Humanity Protocol) 침해가 해당 기간 단일 최대 피해로 집계됐다. 매달 수십 건의 사고, 그중 다수가 8자릿수에 이르는 이 같은 빈도는 스마트 컨트랙트 위험이 여전히 이 산업의 가장 끈질긴 구조적 걸림돌임을 드러낸다. 집계된 해킹 데이터는 이번 Summer.fi 유출을 예외적 사건이 아니라, 조합 가능한 컨트랙트 로직 뒤에 예치금을 모아두는 수익 라우팅·볼트 프로토콜이 탈중앙 금융에서 가장 빈번한 표적 계층으로 남아 있는 패턴의 연장선으로 규정한다.

이러한 흐름을 종합하면, COINOTAG는 헤드라인 가격이 안정되는 와중에도 계속 자본이 새어 나가는 디파이 보안 사이클을 목격하고 있다. 우리의 집계 시장 데이터가 그 배경을 보여준다. 공포·탐욕 지수는 100점 만점에 24점으로 극단적 공포(Extreme Fear) 구간에 있고, 비트코인 도미넌스는 69.3%를 유지하며, 전체 크립토 시가총액은 약 1조 8,200억 달러 수준이다. 자본이 비트코인으로 몰리는 동안 알트코인 프로토콜이 익스플로잇 손실을 흡수하는 이 조합은, 스마트 컨트랙트 실패를 거의 용인하지 못하는 위험 회피형 시장을 시사한다. 6월의 7,587만 달러 손실에 이번 600만 달러 규모의 Summer.fi 유출이 더해지면서, 온체인 증거는 이번 분기 프로토콜의 생존을 가르는 결정적 변수가 수익률이 아니라 보안임을 말해 준다.