'플래시론' 악용 사례로 DeFi 논쟁 촉발

1,800만 달러 이상의 자금을 보유한 7번째로 큰 DeFi 프로토콜인 bZx는 지난 며칠 동안 두 차례의 별도 공격으로 각각 35만 달러와 64만 5천 달러 상당의 이더를 잃었습니다.

관점에 따라 합법적인 중재자로 볼 수도 있고 악의적인 해커로 볼 수도 있는 가해자들은 '플래시 론'을 사용하여 자금을 빌린 다음, 이 자금을 다양한 프로토콜의 정교한 경로를 통해 흘려보내고 거래함으로써 bZx에 자금이 부족하게 되었고, 이로 인해 분산형 프로토콜이 관리자 키를 재설정하여 손실된 자금을 회수해야 했습니다.

5일 만에 2개의 해킹

전 구글 엔지니어였던 코란틴 오귀스트가 블로그 게시물 에서 설명했듯이 , 두 공격 모두 다음과 같은 점을 악용했습니다.

여러 DeFi 대출 프로토콜에서 제공하는 '플래시 대출'입니다.

이러한 대출을 통해 거래자는 담보를 제공하지 않고도 단일 거래에 대해 막대한 양의 유동성을 빌릴 수 있으며, 이를 통해 가격 차이를 빠르게 활용할 수 있습니다.

최초의 플래시론 공격은 ETHDenver 컨퍼런스 기간 중 발렌타인 데이에 이루어졌으며, BzX의 대출 플랫폼 Fulcrum에서 일련의 복잡한 거래가 이루어졌습니다.

공식 사후 분석 블로그에 설명된 바와 같이 , 공격자는 dYdX에서 10,000 ETH의 플래시론을 개설한 후 자금을 분산하여 여러 프로토콜을 통해 이동시키고 서로 거래하여 1193 ETH(현재 가치로 약 298달러)의 수익을 올렸습니다.

화요일에 발생한 두 번째 공격 역시 플래시 대출을 이용하여 bZx에 담보 부족 포지션을 개설했지만, 공격 방식은 달랐습니다. 이로 인해 약 2,388 이더(미화 64만 5천 달러)의 손실이 발생한 것으로 추정됩니다.

DeFi 대 CeFi

이러한 공격 자체와 bZx가 분산화되지 않은 마스터 키를 사용하여 Fulcrum을 신속하게 종료하기로 한 결정은 모두 비판을 받았습니다.

라이트코인 창시자 찰리 리는 탈중앙화 금융(DeFi)을 "탈중앙화 연극"이라고 부르며, "최악의 양면"을 보여준다고 비판했습니다. 즉, 보안이 취약하기 때문에 중앙 집중식 플랫폼보다 나쁘지만, 동시에 중앙 기관에 의해 언제든 폐쇄될 수 있다는 것입니다.

투자자 아리 데이비드 폴을 비롯한 일부 인사들은 이번 사건이 성숙한 DeFi 생태계로 가는 길에 있는 작은 장애물일 뿐이며, 초기 단계에서 취약점을 드러내는 것이 장기적으로는 바람직하다고 주장합니다. 폴은 "이런 일이 많을수록, 빠를수록 좋다. DeFi가 시스템적 위험을 초래하기 전에 버그 바운티가 모두 지급되기를 바란다"고 트위터에 올렸습니다.