카르다노 스플래시 풀 해킹, 240만 ADA 증발… 보유자는 발 동동
CryptoSlate2026년 9월 18일 00:457
카르다노(Cardano) 블록체인 상에서 운영되던 탈중앙 금융(DeFi) 서비스 '스플래시(Splash)'의 ADA/OADA 스테이블스왑(StableSwap) 풀이 해킹 공격을 받아 약 240만 ADA(Cardano의 네이티브 토큰)가 사라지는 사건이 발생했습니다. 이로 인해 OADA 토큰 보유자들은 자신들의 자산을 현금화할 수 있는 주요 경로를 잃고 곤경에 처했습니다. 코드 수정만으로는 해결되지 않는 심각한 유동성 부족 문제가 대두되고 있습니다.
**사건 개요 및 피해 규모**
지난 9월 13일, 스플래시 풀은 단 두 번의 거래를 통해 총 2,434,648 ADA와 1,988,222 OADA를 탈취당했습니다. 공격자는 자신의 9,870 ADA 예치금을 제외하고도 약 2,424,778 ADA를 유출했습니다. 이는 현재 시세로 상당한 규모의 자산 손실이며, 특히 OADA 토큰 보유자들에게는 심각한 타격을 안겨주고 있습니다. 당시 해킹으로 인해 풀에는 단 10 ADA만이 남아 사실상 OADA 토큰의 의미 있는 출구 유동성(exit liquidity)이 완전히 사라진 상태입니다.
**코드 수정만으로는 해결되지 않는 이유**
스플래시 측은 이번 사건 발생 후 해킹 경로를 차단하기 위한 유효성 검사기(validator) 패치를 공개했습니다. 이 패치는 알려진 ADA/OADA 익스플로잇 경로를 효과적으로 차단할 수 있는 것으로 알려졌습니다. 그러나 문제의 핵심은 코드 수정이 해킹으로 인해 사라진 자산을 되돌리거나 유동성 부족 문제를 해결하지 못한다는 점입니다.
사건 보고서에 따르면, 스플래시 풀의 유효성 검사기는 실제 잔액에서 프로토콜 수수료를 차감한 '거래 가능한(tradable)' 준비금을 계산했습니다. 그러나 이 검사기는 준비금이 음수가 되는 것을 방지하는 기능이 부족했으며, 스왑 방향에 대한 제약을 엄격하게 적용하지 않았습니다. 이러한 허점으로 인해 유효성 검사기는 거래 가능한 ADA 준비금이 음수로 전환된 이후에도 거래를 승인하는 치명적인 오류를 범했습니다. 스플래시 측은 준비금 도메인 검사(reserve-domain check) 또는 양방향 수수료 바인딩(two-sided fee bound)과 같은 추가적인 안전 장치가 있었다면 이번 공격을 막을 수 있었을 것이라고 밝혔습니다.
이러한 코드 수정은 알려진 해킹 경로를 차단할 수는 있지만, 이미 풀에서 빠져나간 ADA를 되돌리는 기능을 하지는 못합니다. 해킹 직후, 풀의 ADA 보유량은 10개로 급감했고 OADA 잔액은 약 144만 개로 줄었습니다. 반면, 거래 가능한 ADA 준비금은 음수로 전환되었으며 LP(유동성 공급) 토큰 잔액은 변동이 없었습니다. 이는 OADA 토큰 보유자들이 자산을 쉽게 현금화할 수 있는 주요 경로가 사실상 봉쇄되었음을 의미합니다.
**OADA 유동성 부족 문제의 심각성**
이번 사건의 재정적 피해가 심각한 이유는 스플래시의 9월 13일 스냅샷 기준으로 OADA는 프로토콜 레벨의 상환(redemption) 기능이 없었기 때문입니다. 보고서에 따르면, 당시 OADA를 거래할 수 있는 다른 경로들도 거의 비어 있었으며, 등록된 풀에는 단자리수 또는 두자리수 ADA만이 남아 있었습니다. 즉, 스플래시 풀이 OADA 보유자들의 주요 출구였던 셈입니다.
공격자가 탈취한 OADA를 판매한 것 역시 상황을 더욱 복잡하게 만들었습니다. 9월 13일 오후 2시 53분(UTC 기준), 민스왑 V2(Minswap V2)의 OADA/FLDT 풀은 1,763,923 OADA에 대해 45,751 FLDT를 보유하고 있었습니다. 이는 OADA의 가격이 상당히 희석되었을 가능성을 시사합니다. 스플래시 측은 새롭게 ADA/OADA 유동성이 공급될 경우, 이 희석된 OADA 재고와 경쟁하게 되어 재개장된 풀에 새로 예치된 ADA를 두고 가격이 하락할 수 있다고 경고했습니다.
**향후 전망 및 해결 과제**
코드 패치는 알려진 익스플로잇 경로를 막을 수 있지만, OADA의 출구 기능을 복원하기 위해서는 ADA 유동성의 재공급 또는 상환 메커니즘의 도입이 필수적입니다. 또한, 얇은(thin) 시장에 존재하는 OADA 재고를 관리하는 방안도 마련되어야 합니다. 즉, 단순한 코드 수정 이상의 복잡한 해결 과제가 남아있습니다.
옵팀 파이낸스(Optim Finance)는 9월 13일 프로토콜을 일시 중단하고 유동성을 제거했으며, OADA-ADA 스왑을 중단한다고 밝혔습니다. 9월 15일 업데이트에서는 체인을 인덱싱하고 영향을 받은 주소 및 자산에 대한 완전한 회계 처리를 진행하며 해결책 마련을 위해 노력 중이라고 밝혔으나, 유동성 복원, 상환 또는 운영 재개에 대한 구체적인 발표는 없었습니다.
현재 카르다노는 지난 24시간 동안 5.25% 상승하며 시가총액 기준 15위를 기록하고 있습니다. 그러나 이번 스플래시 풀 해킹 사건은 카르다노 생태계 내 DeFi 프로토콜의 보안 취약성과 유동성 관리의 중요성을 다시 한번 일깨워주는 계기가 되었습니다. 투자자들은 이러한 사건들을 주의 깊게 모니터링하며 신중한 투자 결정을 내려야 할 것입니다.
이번 사건은 DeFi 프로토콜이 직면한 근본적인 문제, 즉 코드 취약성뿐만 아니라 시장 유동성, 자산 상환 메커니즘, 그리고 토큰 재고 관리 등 다층적인 측면에서의 견고함이 얼마나 중요한지를 보여줍니다. 스플래시 풀의 복구 과정은 카르다노 DeFi 생태계의 신뢰 회복에 중요한 시험대가 될 것으로 보입니다. 해킹으로 인해 묶인 240만 ADA의 행방과 OADA 보유자들의 피해 구제 방안 마련에 대한 지속적인 관심이 요구됩니다.