TranchePool 익스플로잇으로 101만 USDC 유출, 구조화 DeFi 리스크 노출
TREE NEWS 보도: SlowMist의 보안 경고에 따르면 ValinorDigital, Oatfi, fence_finance와 연계된 TranchePool 컨트랙트가 약 101만 3천 USDC를 익스플로잇당했다. 근본 원인은 풀의 스마트 컨트랙트 아키텍처에서 UT(아마도 ‘unit’ 또는 ‘utility’의 오타) 컴포넌트의 취약점인 것으로 보인다. 이번 사건은 자본을 여러 리스크 트랜치에 걸쳐 풀링하는 구조화 DeFi 상품이 직면한 지속적인 보안 과제를 부각시킨다.
무슨 일이 있었나
SlowMist의 모니터링이 예치금을 선순위와 후순위 트랜치로 분할해 리스크를 관리하도록 설계된 컨트랙트인 TranchePool에 대한 공격을 포착했다. 익스플로잇의 전체 세부 내용은 아직 밝혀지는 중이지만, 100만 달러 이상의 USDC 손실은 복잡한 금융 공학이 스마트 컨트랙트 코드와 만나는 지점에서의 높은 위험을 보여준다. ValinorDigital, Oatfi, fence_finance의 관여는 토큰화된 매출채권이나 실물자산(RWA) 담보를 포함할 가능성이 있는 다자간 약정을 시사하며, 이는 DeFi에서 성장하는 추세다.
업계 시사점
이번 익스플로잇은 차별화된 리스크-수익 프로필을 제공하는 것을 목표로 하는 구조화 DeFi 상품이 악용될 수 있는 추가적인 복잡성 계층을 도입한다는 점을 뼈아프게 상기시킨다. 특히 트랜치 기반 대출은 기관 자본을 유치하는 방법으로 주목받아 왔지만, 기저 스마트 컨트랙트에 리스크를 집중시키기도 한다. 이번 공격은 그러한 프로토콜에 대한 감사와 실시간 모니터링의 적절성에 의문을 제기한다. 나아가 ValinorDigital, Oatfi, fence_finance 등 여러 주체의 관여는 책임 소재와 복구 노력을 복잡하게 만들며, 이는 컴포저블 DeFi의 흔한 문제다.
보안 업체들은 트랜치 풀이 종종 외부 가격 오라클과 복잡한 청산 로직에 의존하며, 이 둘 모두 공격자의 주요 표적이 된다고 반복적으로 경고해 왔다. UT 관련 결함이 확인된다면, 이는 풀이 단위 가치를 계산하거나 지분 회계를 처리하는 방식의 결함을 나타낼 수 있으며, 이는 조작될 경우 대규모 인출로 이어질 수 있는 핵심 기능이다.
향후 전망
DeFi가 성숙해짐에 따라 업계는 사후 대응적 보안 조치를 넘어서야 한다. 프로젝트는 형식 검증, 버그 바운티, 실시간 이상 탐지를 우선시해야 한다. 투자자에게 이번 사건은 구조화 상품의 감사 이력과 팀 투명성을 면밀히 검토해야 한다는 알림이다. 규제 당국도 주목할 가능성이 높으며, RWA 연계 풀의 손실은 더 엄격한 감독 요구를 가속화할 수 있다. 당면한 초점은 복구에 있지만, 더 넓은 교훈은 분명하다. DeFi의 혁신은 그에 못지않게 혁신적인 보안 관행으로 뒷받침되어야 한다.
