디파이 프로토콜 텀파이낸스, 850만 달러 규모 해킹으로 서비스 중단

암호화폐 디파이(DeFi) 대출 프로토콜인 텀파이낸스(Term Finance)가 약 850만 달러(약 117억원) 규모의 해킹 공격을 받아 메타 볼트(Meta Vaults) 서비스를 영구적으로 중단했습니다. 이번 공격으로 인해 프로토콜 내 이더리움(ETH) 예치가 거의 전부 유출된 것으로 알려졌습니다.

블록체인 보안 업체들의 분석에 따르면, 공격자는 텀파이낸스의 전략 볼트(Strategy Vaults)에 대한 거버넌스 통제권을 탈취하여 막대한 양의 자산을 빼돌린 것으로 파악됩니다. 블록체인 보안 감사 업체 펙쉴드(PeckShield)는 공격자가 당시 약 687만 달러 상당의 이더리움 2,843개와 168만 USDC를 탈취했으며, 탈취한 USDC는 약 168만 다이(DAI)로 전환했다고 밝혔습니다. 또 다른 보안 업체 서틱(CertiK) 역시 총 손실액을 약 850만 달러로 추정했습니다.

디파이 데이터 분석 사이트 디파이라마(Defillama)의 자료에 따르면, 이번 공격으로 인한 손실액은 공격 이전 텀파이낸스 볼트 상품에 총 1,245만 달러가 예치되어 있던 자산의 약 68%에 해당합니다. 특히, 약 880만 달러에 달했던 이더리움 예치금은 거의 전부가 유출된 것으로 나타났습니다.

텀파이낸스를 운영하는 텀랩스(Term Labs)는 공식 성명을 통해 모든 텀 메타 볼트 서비스를 영구적으로 중단하고 DAO 거버넌스 권한을 철회했다고 밝혔습니다. 이를 통해 추가적인 예치를 원천적으로 차단하고, 기존 이용자들의 출금은 계속 지원할 방침입니다. 텀랩스는 현재까지의 조사 결과, 텀파이낸스의 근간이 되는 프로토콜 자체와 직접적인 대출 및 예치 시장은 이번 공격의 영향을 받지 않았다고 설명했으나, 정확한 피해 범위를 계속 검증 중이라고 덧붙였습니다.

코인데스크는 텀랩스 측에 대한 코멘트를 얻기 위해 접촉을 시도했으나, 회사 측은 공개적인 언론 연락처를 제공하지 않았으며 X(구 트위터) 계정의 다이렉트 메시지 기능도 차단된 상태였습니다.

**거버넌스 토큰 탈취를 통한 공격 방식 추정**

온체인 모니터링 서비스 디파이몬(Defimon)은 이번 공격자가 적은 비용으로 희소하게 발행된 거버넌스 토큰의 대다수를 매입한 뒤, 이를 이용해 텀파이낸스 볼트의 통제권을 장악하는 제안을 통과시켰다고 분석했습니다. 텀파이낸스 측은 공격자가 어떻게 투표권을 확보했는지, 그리고 어떤 거버넌스 기능을 악용했는지에 대한 구체적인 내용은 아직 공식적으로 확인해주지 않았습니다.

이번에 공격받은 볼트 계약은 야른 파이낸스(Yearn Finance)의 V3 인프라를 사용한 것으로 알려졌습니다. 하지만 야른 파이낸스 측은 이번 공격이 표준 야른 볼트 설정에는 적용되지 않는 커스텀 거버넌스 래퍼(wrapper)와 관련된 것이며, 공격 벡터가 야른의 일반적인 볼트 설정과는 무관하다고 선을 그었습니다.

텀파이낸스는 현재 외부 보안팀과 협력하여 자산 회수 및 피해 복구 작업을 진행 중이라고 밝혔습니다. 또한, 발생한 손실분에 대한 해결 방안을 모색할 것이라고 덧붙였습니다.

이번 사건은 지난 2025년 4월, 오라클 오류로 인해 약 918 이더리움이 의도치 않게 청산되는 사고 이후 발생한 두 번째 주요 사건입니다. 당시 텀파이낸스는 약 556 이더리움을 회수하고 최종 손실을 362 이더리움으로 줄였으며, 피해 이용자들에게 상환 조치를 완료한 바 있습니다. 당시 사고 이후 텀파이낸스는 중요한 업데이트에 대한 제3자 검증과 거버넌스 투명성 강화를 약속한 바 있습니다.

한편, 유럽연합(EU)의 암호화폐 규제안인 MiCA가 스테이블 코인 USDT 발행사에 대한 규제를 강화하려는 움직임을 보이고 있지만, 다른 지역에서는 이러한 움직임이 크게 주목받지 못하고 있다는 분석도 제기되고 있습니다. 이는 텀파이낸스와 같은 디파이 프로토콜의 보안 취약성과 규제 환경의 복잡성이 암호화폐 시장의 불안정성을 더욱 가중시킬 수 있음을 시사합니다.

이번 텀파이낸스 해킹 사건은 디파이 생태계의 지속적인 보안 문제와 거버넌스 메커니즘의 취약점을 다시 한번 드러낸 사례로 평가됩니다. 이용자들은 투자에 앞서 프로토콜의 보안 감사 이력, 거버넌스 구조, 과거 보안 사고 등을 면밀히 검토하는 신중한 접근이 요구됩니다.