미국과 이란이 휴전중인 지난 주말, 디지털 자산 시장에서는 무려 4000억원에 달하는 코인이 순식간에 사라졌습니다. 피해자는 이더리움 기반 금융 서비스를 제공하는 Kelp DAO입니다. 공격자가 코인을 탈취한 뒤 켈프 팀이 시스템을 동결할 때까지 걸린 시간은 불과 46분이었지만 공격자는 이미 탈중앙화 금융을 이용해 코인을 실제 자산으로 바꿨습니다. 이 여파로 에이브(AAVE)와 같은 다른 탈중앙화 금융 서비스도 중대한 타격을 입었습니다.

이번 해킹은 탈중앙화 금융과 체인간 자산을 옮기는 브릿지에 대한 경각심을 다시 한번 상기시킵니다. 특히 스마트 컨트랙트로 연쇄적으로 연결된 탈중앙화 금융 구조에서 한 지점에 문제가 생기면 다른 곳까지 연쇄적으로 피해를 입는 현 상황이 해킹에 얼마나 취약한지 명백하게 드러냈습니다. 이번 사태가 야기할 변화와 전망을 짚어보겠습니다.

Kelp DAO 해킹이 탈중앙화 금융 생태계에 야기한 사태의 시사점은 세가지로 정리할 수 있습니다. 가장 먼저 검증되지 않은 연결은 늘어날수록 더 위험하다는 것입니다. 탈중앙화 금융의 장점은 서로 다른 서비스들이 레고 블록처럼 연결돼 자본 효율을 높이는 것입니다. 그런데 이번 사태는 그 연결이 동시에 최대 약점이 될 수 있음을 보여줬습니다. 하나의 취약점을 노린 공격이 다른 탈중앙화 금융까지 연계돼 불과 수십분만에 수십억 달러 피해를 야기시켰습니다. 이어 48시간 만에 탈중앙화 금융 생태계 전체에서 132억달러, 한화로 20조원에 달하는 자본이 이탈하는 현상이 발생했습니다. 서비스들이 잘 연결돼 있기 때문에 그만큼 철수도 쉬운 것입니다.

다음으로는 과거 있었던 여러 공격의 대상이었던 스마트 컨트랙트 소스코드 뿐 아니라 네트워크 인프라도 공격의 대상이 될 수 있다는 것입니다. Kelp DAO의 스마트 컨트랙트 코드는 이번 해킹에서 취약점을 보이지 않았습니다. 그보다 브릿지의 검증 인프라에서 문제가 발생했던 것이죠. 이는 지금까지 블록체인 업계에서 안전의 보증서처럼 통용됐던 코드 감사(audit)만으로는 공격을 잘 막을 수 없음을 시사합니다. 그 코드가 어떤 인프라 위에서 어떤 설정으로 돌아가는지까지 검증해야 한다는 새로운 과제가 생겼다고 할 수 있습니다.

마지막으로는 해킹 피해가 일반 사용자들에게까지 무차별적으로 확산된다는 점입니다. 이번 사태의 여파로 에이브의 스테이블코인 풀이 동결돼 해킹과 전혀 무관하게 예치에 대한 보상을 받기 위해 스테이블코인을 예치해뒀던 다수의 이용자들이 자금을 제때 인출하지 못하는 상황이 발생했습니다. 탈중앙화 금융에는 아직까지 법적 규제나 제도에 따른 예금자 보호 등 안전망이 없기 때문에 억울한 피해에 대한 보상을 기대하기 어렵습니다. 한국의 디지털자산기본법이 하루빨리 통과돼야 할 이유이기도 합니다.