불타는 거버넌스: X100 프로토콜, 조직적 익스플로잇 피해
TREE NEWS 보도: 이더리움상의 X100 프로젝트가 현재 지속적이고 조직적인 공격을 받고 있으며, 보안 업체 Blockaid는 세 개의 공격자 집단이 프로토콜의 거버넌스 및 유동성 관리 메커니즘을 악용해 상당한 자금을 빼돌렸다고 보고했다. 진행 중인 익스플로잇으로 이미 약 485만 USDT와 55만 X 토큰이 도난당했으며, 공격자들은 여전히 활동 중이다.
공격의 구조
공격 경로의 핵심은 프로젝트의 금고와 유동성을 관리하도록 설계된 핵심 구성 요소인 X100의 Senate 거버넌스 메커니즘에 있다. Blockaid의 분석에 따르면, 첫 번째 공격자는 3개 중 2개의 Senate 의석을 장악해 다수 통제권을 획득했다. 이 통제권을 이용해 프로젝트 금고에서 40만 X 토큰을 유동성이 전혀 없는 자체 생성 유동성 풀에 매도함으로써 사실상 프로토콜에서 가치를 빼냈다.
두 번째 공격자는 다른 경로를 택해 프로토콜의 Freezer 컨트랙트가 보유한 Uniswap V3 유동성 포지션을 파괴했다. 이는 프로토콜의 유동성 깊이에 대한 직접적인 타격이었다. 세 번째 공격자는 이어서 첫 번째 공격자의 거버넌스 장악을 재현해 동일한 Senate 조작을 통해 약 55만 X 토큰에 해당하는 나머지 Uniswap V3 유동성 포지션을 인출했다.
DeFi 거버넌스 보안에 대한 시사점
이 사건은 온체인 거버넌스 시스템, 특히 권력 구조가 집중된 시스템에 내재된 취약성을 뼈저리게 상기시킨다. 효율적인 의사결정을 위해 설계된 Senate 메커니즘은 단일 실패 지점이 되었다. 공격자들이 거버넌스 의석의 통제권을 신속히 장악하고 악의적인 제안을 실행할 수 있었다는 점은 더욱 견고하고 탈중앙화된, 타임락이 적용된 거버넌스 프레임워크의 필요성을 부각한다.
나아가 이 공격은 안전한 유동성 관리의 중요성을 강조한다. Freezer의 Uniswap V3 포지션 파괴는 유동성이 어떻게 무기화될 수 있는지를 보여준다. 가격 슬리피지를 유발하기 위해 유동성을 제거하든, 이를 관리하는 메커니즘을 악용하든 마찬가지다. 공격자들이 유동성이 전혀 없는 자체 생성 풀을 이용해 금고 토큰을 투매한 사실은 전형적인 ‘유동성 러그풀’ 수법이지만, 거버넌스를 통해 실행되었다는 점이 특징이다.
향후 전망
공격은 계속되고 있으며, 여전히 1,220만 X 토큰이 Freezer 컨트랙트에 남아 있다. X100 팀과 보안 파트너들은 시간과의 싸움에 직면해 있다. 최우선 과제는 공격을 중단하는 것이며, 프로토콜 일시 중지나 취약한 컨트랙트 업그레이드가 가능한 방안이다. 그러나 사용자 신뢰에 대한 피해는 이미 상당하다.
더 넓은 DeFi 생태계에 있어 이 사건은 거버넌스 보안에 대한 재평가를 촉발해야 한다. 프로토콜은 다중 서명 통제, 거버넌스 행위에 대한 타임락, 보다 탈중앙화된 투표 메커니즘의 도입을 고려해야 한다. 또한 이 사건은 Blockaid와 같은 보안 업체의 실시간 위협 탐지 및 대응 역할, 그리고 그러한 모니터링이 프로토콜 설계의 표준 구성 요소가 되어야 하는지에 대한 의문도 제기한다. 궁극적으로 X100 익스플로잇은 거버넌스 설계를 보안 모범 사례와 정렬시키는 중요성에 대한 값비싼 교훈이 되었다.
