디파이 대출 프로토콜 텀 파이낸스 해킹…850만달러 피해

이더리움(ETH) 기반 고정금리 대출 프로토콜 텀 파이낸스(Term Finance)가 거버넌스 시스템을 노린 공격으로 약 850만달러 규모의 가상자산을 탈취당했다.

23일(현지시간) 더블록에 따르면 블록체인 보안업체 펙실드와 서틱은 전날 공격자가 텀 파이낸스의 거버넌스 시스템을 악용해 볼트에 보관된 이더리움(ETH)과 스테이블코인을 빼냈다고 밝혔다. 텀 랩스는 "텀 볼트에 영향을 미친 거버넌스 공격을 인지하고 있다"며 조사 후 구체적인 내용을 공개하겠다고 밝혔다.

펙실드는 공격자가 약 2843ETH(약 690만달러)와 168만USDC를 인출한 것으로 추산했다. 탈취된 USDC는 약 168만DAI로 교환됐다. 공격에 사용된 주소는 앞서 가상자산 믹싱 프로토콜 토네이도캐시에서 2ETH를 받은 것으로 파악됐다. 서틱은 전체 피해 규모를 약 850만달러로 추산했다.

이번 공격은 텀 파이낸스 볼트의 기반 기술인 이어 파이낸스(Yearn Finance) 자체에서 발생한 취약점은 아닌 것으로 나타났다. 텀의 전략 볼트는 이어 V3 인프라를 기반으로 구축됐지만, 이어 측은 "공격은 볼트에 추가된 텀의 자체 거버넌스 래퍼를 통해 발생했다"며 "일반적인 이어 볼트에는 해당 공격 방식이 적용되지 않으며 예치 자금도 안전하다"고 설명했다.

특히 텀 파이낸스가 거버넌스 거래에 7일간의 타임락과 유동성공급자(LP)의 거부권을 두고 있었음에도 공격을 막지 못한 것으로 전해졌다. 텀은 아직 공격자가 어떤 권한을 악용했는지, 기존 거버넌스 안전장치가 정상적으로 작동하지 않은 이유는 공개하지 않았다.

디파이라마에 따르면 공격 직전 텀 파이낸스 볼트의 총예치자산(TVL)은 약 1245만달러로, 이번 피해액은 전체 볼트 TVL의 약 68%에 해당한다. 이더리움 네트워크에 예치된 볼트 자산은 약 880만달러였던 만큼 사실상 대부분이 유출된 셈이다.