플래시론 악용 오라클 취약점, BSC의 CoreVault 강타
TREE NEWS 보도: 블록체인 보안 기업 CertiK의 모니터링 경보에 따르면, 공격자가 바이낸스 스마트 체인(BSC)의 DeFi 프로토콜인 CoreVault의 오라클 취약점을 악용해 단일 상환액을 약 33배로 부풀리고 프로토콜의 InsurancePool을 고갈시켰다. 공격자는 플래시론을 이용해 오라클 가격 피드를 조작한 뒤 거래를 되돌려 160.26 BNB(공격 당시 약 11만 2,200달러 상당)를 순이익으로 챙겼다. 이번 사건의 총 손실은 약 11만 2,300달러로 추정되며, 이는 공격자가 풀의 거의 전액을 빼냈음을 시사한다.
공격 전개 과정
플래시론은 동일 트랜잭션 내에서 상환되는 한 담보 없이 대규모 자금을 빌릴 수 있게 해준다. 이번 사례에서 공격자는 빌린 자금으로 CoreVault의 오라클이 추적하는 자산 가격을 왜곡해 프로토콜이 상환 가치를 잘못 계산하도록 만들었을 가능성이 높다. 부풀려진 비율로 상환한 뒤 거래를 되돌림으로써 공격자는 바로 이런 부족분을 보전하기 위해 설계된 InsurancePool을 희생시켜 이익을 얻었다.
오라클 조작은 여전히 DeFi에서 가장 흔한 공격 벡터 중 하나다. 단일 가격 소스나 단일 DEX의 현물 가격에 의존하는 프로토콜은 플래시론으로 자금을 조달한 가격 왜곡에 특히 취약하다. CoreVault 사건은 비교적 소규모 풀(이번 경우 11만 2,000달러 조금 넘음)조차 안전하지 않으며, 공격자들이 보안 감사와 모니터링이 취약할 수 있는 소규모 프로토콜을 적극적으로 노린다는 점을 부각한다.
업계에 대한 시사점
이번 공격은 DeFi 보안의 몇 가지 고질적인 문제를 드러낸다.
- 오라클 설계: 프로토콜은 단일 트랜잭션 조작을 막기 위해 시간가중평균가격(TWAP), 다수의 독립적 가격 피드, 서킷 브레이커가 필요하다.
- 보험 풀 리스크: 프로토콜 손실을 보전하는 풀은 부풀려진 상환을 통해 고갈될 수 있어 주요 표적이 된다. 설계에는 상한과 인출 지연이 포함되어야 한다.
- 크로스체인 리스크: BSC는 낮은 가스비와 다수의 소규모 프로토콜로 인해 저비용·고빈도 익스플로잇이 다수 발생했다.
- 감사 및 모니터링 격차: 소규모 프로토콜은 지속적인 보안 모니터링을 위한 자원이 부족한 경우가 많아 알려진 공격 패턴에 노출된다.
달러 기준 손실은 대형 DeFi 해킹에 비하면 작지만, 이번 사건은 오라클 조작이 아직 해결되지 않았음을 일깨워준다. DeFi 프로토콜이 체인 전반에 걸쳐 늘어나면서 공격 표면이 커지고, 공격자들은 컴포저빌리티와 플래시론 유동성을 악용하는 기법을 계속 정교화하고 있다.
향후 전망
CoreVault와 유사한 프로토콜은 재발 방지를 위해 오라클 인프라를 업그레이드하고 보험 메커니즘을 재설계하라는 압력을 받을 가능성이 높다. 더 넓은 DeFi 생태계에서는 다수의 데이터 소스를 갖춘 탈중앙화 오라클 네트워크와, 비정상적인 상환 패턴이 나타날 때 컨트랙트를 일시 중지할 수 있는 온체인 모니터링 도구의 채택이 늘어날 수 있다. 투자자에게는 자본을 투입하기 전에 프로토콜의 오라클 설계와 보험 펀드 구조를 확인하는 것의 중요성이 이번 사건으로 다시 강조된다. 특히 소규모의 감사가 덜 된 프로젝트가 흔한 체인에서는 더욱 그렇다.
