탈중앙 금융(DeFi) 공격자가 올해 최대 규모의 해킹 사건처럼 보이는 공격을 감행했지만, 결국 수익은 푼돈으로 줄어들었습니다.

화요일, 에코 프로토콜은 해커가 탈취된 관리자 키를 이용해 모나드 블록체인에서 약 1,000개의 무단 eBTC 토큰을 발행했다고 확인했습니다. 이 토큰의 장부상 가치는 약 77만 달러에 달합니다. 몇 시간 동안 이 수치는...ico암호화폐 트위터에서는 이 사건이 2026년의 차세대 초대형 ​​공격으로 거론되었습니다. 이미 지난 한 해 동안 DeFi 프로토콜에서 10억 달러 이상이 사라진 상황에서 나온 발언이었습니다. 하지만 온체인 현실은 달랐습니다. 모나드 eBTC 시장은 누군가가 그 정도의 가짜 비트코인을 대량으로 매도할 경우 가격 폭락을 초래할 만큼 충분한 유동성을 확보하지 못했습니다. 공격자가 실제로 현금화할 수 있는 만큼만 빼돌렸을 때, 실제로 얻은 이익은 약 81만 6천 달러 상당의 ETH였으며, 추적을 어렵게 하기 위해 토네이도 캐시에 입금되었습니다. 에코는 관리자 키를 되찾고 공격자 지갑에 남아 있던 955 eBTC를 소각했으며, 무엇이 잘못되었는지 파악하는 동안 예방 조치로 앱토스 브리지를 일시 중단했습니다.

관리자 키가 어떻게 77만 달러짜리 민트 버튼으로 변신했을까?

이 공격 방식은 지난 18개월 동안 DeFi 취약점 공격을 지켜본 사람이라면 누구나 익숙할 것이며, 이처럼 막대한 자금이 투입된 프로토콜을 운영하는 모든 주체는 부끄러움을 느껴야 할 것입니다. 온체인 분석가들과 에코(Echo)의 사후 성명에 따르면, 모나드(Monad) 플랫폼에서는 단 하나의 관리자 개인 키로 eBTC 발행 권한이 관리되었으며, 멀티시그 보호, 타임락, 블록당 발행량 제한, 발행 속도 제한 등이 전혀 없었습니다. 공격자는 일단 해당 키를 손에 넣자 원하는 대로 무엇이든 할 수 있었고, 실제로 그렇게 했습니다. 공격자는 자신의 지갑에 발행 권한을 부여하고, 1,000개의 새로운 eBTC를 발행한 후 즉시 현금화를 시도했습니다. 온체인 전문가들은 몇 분 만에 의심스러운 발행을 발견했고, 에코가 첫 번째 성명을 발표하기도 전에 암호화폐 트위터를 통해 경보가 울렸습니다.

이 경로를 추적하는 것은 크로스체인 DeFi에서 자금이 실제로 어디에 있는지 보여주기 때문에 중요합니다. 공격자는 담보로 45 eBTC(장부상 약 3.45만 달러)를 Curvance에 예치했습니다. 거기서 약 11.29 WBTC(실제 비트코인, 약 86만 7천 달러 상당)를 빌렸습니다. 이 WBTC는 이더리움으로 브릿지되어 ETH로 교환되었고, 384 ETH가 Tornado Cash로 유입되었습니다. 자세한 내용에 따르면 분석 이번 악용으로 인한 실제 손실액은 모든 것을 고려했을 때 약 81만 6천 달러에 달했습니다. 나머지 955 eBTC는 사실상 가치가 없었는데, 거래 상대방이 적정 가격에 근접한 가격으로 이를 매입하려 하지 않았기 때문입니다.

조폐국은 효과가 있었다. 현금화는 효과가 없었다.

이 이야기는 DeFi 팀들이 밤잠을 설치게 할 만한 부분입니다. 설령 자신들의 프로토콜이 직접적인 피해를 입지 않았더라도 말이죠. 취약점은 아주 간단했습니다. 관리자 키에 단일 실패 지점이 있었던 것입니다. 민팅은 완벽하게 작동했습니다. 대출도, 브리징도, 믹서도 모두 정상적으로 작동했습니다. 하지만 실제 시장은 제대로 작동하지 않았습니다. 모나드는 아직 초기 단계의 블록체인이고, 그 위에 있는 eBTC 풀의 규모가 작았기 때문입니다. 공격자는 77만 달러 상당의 합성 비트코인을 만들었지만, 그중 약 1%밖에 실제 가치로 전환할 수 없었습니다. 만약 동일한 공격 방식이 이더리움 메인넷이나 솔라나의 풍부한 시장에서 이루어졌다면, 실제 손실 규모는 훨씬 더 컸을 것이고, 에코는 오늘 완전히 다른 성명을 발표했을 것입니다.

에코 프로토콜 측은 이번 사건이 모나드(Monad)에만 국한된 것이며, 앱토스(Aptos) 배포에는 어떠한 침해 증거도 없다고 주장했습니다. 앱토스의 aBTC와 모나드의 eBTC는 서로 분리된 비연결 자산이며, 현재 앱토스 관련 노출은 에코 대출 시장과 하이페리온(Hyperion) 유동성 풀을 통해 약 7만 1천 달러에 불과하고, 확인된 손실은 없다고 밝혔습니다. 그럼에도 불구하고, 에코 프로토콜은 광범위한 검토를 진행하는 동안 앱토스 브릿지를 완전히 일시 중단했습니다. 업계 추적 기관에 따르면 이번 사건으로 5월 한 달 동안 발생한 암호화폐 보안 침해 건수가 두 자릿수를 기록했으며, 이는 2026년 상반기 디파이(DeFi) 보안에 있어 매우 힘든 시기였음을 보여줍니다. 관리자 키 유출이 이제 스마트 계약 버그를 제치고 자금 도난의 주요 원인이 되었습니다.

에코 메스가 2026년 DeFi에 대해 말하는 것

최신 블록체인에서 래핑된 비트코인 ​​변형을 보유하고 있는 사람이라면 누구나 불편한 교훈을 얻을 것입니다. 래핑 자산의 안전성은 해당 자산을 제어하는 ​​관리자 키의 보안 수준에 달려 있으며, 수천만 달러의 사용자 자산을 관리하는 프로토콜에서 "핫월렛에 관리자 키를 보관하는 것"이 ​​여전히 용인 가능한 위험 관리 방식으로 여겨지고 있다는 사실은 충격적입니다. 멀티시그, 타임락, 하드웨어 키 저장, 발행량 제한과 같은 보안 조치는 바로 이러한 이유 때문에 존재하는 것이며, 더 이상 선택 사항이 아닙니다. 에코 개발팀은 신속하게 키를 다시 잠그고 남은 토큰을 소각하여 피해 확대를 막은 공로를 인정받을 만합니다. 하지만 이러한 기본적인 보호 조치가 처음부터 마련되어 있었다면 이러한 조치는 필요하지 않았을 것입니다.

그나마 다행인 점은, 시장 규모가 작아서 7,700만 달러 규모의 공격이 81만 6천 달러 규모로 축소되었다는 것입니다. 공격자는 운 좋게 취약점을 발견했지만, 불행히도 탈취한 자산을 되팔 수 없는 블록체인에서 공격했습니다. 더 큰 규모의 시장에서 같은 수법을 쓰는 다음 공격자는 이런 문제를 겪지 않을 것이며, 핫월렛에 보호되지 않은 관리자 키가 어딘가에 노출되어 언제든 발각될 위험에 처해 있습니다. 따라서 비트코인 ​​DeFi 플랫폼을 선택할 때는 자금을 입금하기 전에 키 관리 방식에 대해 반드시 확인해야 합니다. 마케팅 페이지에서 강조하는 것보다 훨씬 더 중요한 문제이기 때문입니다.