한 번의 "정밀 폭파"의 번개 대출 공격이 스테이블코인 유동성의 구조적 균열을 드러냈다

이벤트 회고

2026년 1월 20일 새벽, 고도로 정밀한 플래시 론 공격이 Curve의 DUSD/USDC 유동성 풀에서 약 420만 달러를 빼내어 2026년 초 가장 기술적으로 목표가 된 스테이블코인 공격 사건 중 하나가 되었습니다. 이번 공격은 DUSD의 핵심 발행 또는 상환 메커니즘에 영향을 미치지 않았으며, 단일 유동성 장소를 집중적으로 타격하여 오라클 의존, 유동성 가정 및 DeFi의 조합성이 서로 겹칠 때 시스템적 위험이 어떻게 국소적으로 신속하게 확대될 수 있는지를 명확히 드러냈습니다.

DUSD는 멀티 체인 DeFi 실행 엔진 Makina Finance에서 발행한 스테이블코인입니다. 사후 공개된 정보에 따르면, 공격자는 약 2.8억 달러의 USDC를 플래시 론으로 빌려 극히 짧은 시간 안에 해당 풀과 관련된 가격 입력을 조작하여 유동성 포지션의 장부 가치를 부풀리고, 시스템이 재조정되기 전에 차익 거래를 완료하여 풀에서 약 1,299개의 ETH에 해당하는 자산을 모두 빼냈습니다.

강조할 점은, 이번 사건이 DUSD의 전체 공급에 영향을 미치지 않았고, 단순히 DUSD, Pendle 또는 Gearbox 포지션을 보유한 사용자에게도 영향을 미치지 않았다는 것입니다. Makina는 사건 발생 직후 이 경계를 명확히 했지만, 공격의 속도와 정밀도는 자본이 고도로 집중되고 오라클 반응에 시간 차이가 있을 경우, 겉보기에는 잘 격리된 유동성 풀조차도 "단일 실패 지점"의 돌파구가 될 수 있음을 여전히 보여줍니다.

공격이 어떻게 이루어졌는가

기술적 경로에서 이 공격은 최근 몇 년간 DeFi 보안 연구자들이 익숙한 패턴을 이어갔지만, 실행 측면에서 더욱 절제되고 집중되었습니다. 공격자는 대규모, 순간적으로 주입된 USDC를 이용해 DUSD/USDC 풀의 가격 구조를 왜곡시켜 해당 가격에 의존하는 관련 논리가 동일 블록 내에서 잘못된 판단을 하도록 만들어 "유동성이 충분하다"는 잘못된 인상을 주어 무위험 차익 거래를 위한 조건을 만들었습니다.

플래시 론은 사전 자본이 필요 없고, 동일 거래 내에서 상환을 완료해야 하므로, 공격자는 방향성 위험을 거의 감수하지 않으며, 핵심 수단은 시간 차원에서의 가격 왜곡입니다. 이러한 취약점 유형은 여러 DeFi 시나리오에서 반복적으로 발생하며, 특히 유동성 풀이 단일 또는 단기 가격 신호에 의존할 때, 시간 가중치 또는 다원 집계 데이터가 아닌 경우, 일시적인 불균형에 의해 더 쉽게 이용될 수 있습니다.

최종 결과는 시스템적 붕괴가 아니라 깔끔하게 자산을 추출하는 것이었습니다. Makina는 이후 약 510만 개의 USDC에 해당하는 자산이 해당 풀에서 유출되었으며, 손실은 전적으로 유동성 제공자가 부담하고, 프로토콜의 나머지 부분은 정상적으로 운영되었습니다.

사후 처리 및 격리

Makina의 대응 속도는 어느 정도 DeFi가 여러 차례의 보안 사건 이후 성숙해졌음을 보여줍니다. 팀은 신속하게 공격 범위가 Curve의 DUSD/USDC 풀로 한정되어 있음을 확인하고, 공격 발생 전 유동성 제공자의 잔액 스냅샷을 완료했으며, "복구 모드"를 시작하여 영향을 받은 LP가 DUSD로 단독 상환할 수 있도록 하여 추가적인 공황성 인출을 방지했습니다.

1월 21일 발표된 공식 성명에서 Makina는 공격자의 체인 상 신원에 대한 단서를 확보했으며, 그들과 연락을 시도하고 있다고 밝혔습니다. 또한 보안 조정이 완료된 후 상환 기능을 재활성화하고 대체 출구 방안을 제공할 것이라고 약속했습니다. 이러한 처리 방식은 초기 DeFi 사건에서 정보 지연과 영향 범위 불명확으로 인해 발생한 연쇄 반응과 뚜렷한 대조를 이루며, 오늘날 프로토콜 간의 차이가 절대적인 "제로 취약점" 약속이 아닌 사후 관리 능력에 점점 더 많이 반영되고 있음을 보여줍니다.

시장 신호 및 유동성 기억

DUSD 사건의 교훈 중 하나는 이전의 유동성 서사와 강한 대조를 이룬다는 점입니다. 불과 몇 달 전인 2025년 9월, DUSD/USDT 거래 쌍은 PancakeSwap의 TVL 순위에서 1위를 차지하며, 잠금량이 1.29억 달러에 달하고, 24시간 거래량이 8,211만 달러, 7일 거래량 누적이 4.39억 달러에 달하여 일부 거래 생태계에서 높은 활성도와 강한 유동성의 대표로 여겨졌습니다.

이러한 역사적 배경은 특히 중요합니다. 왜냐하면 이는 반복적으로 나타나는 DeFi의 규칙을 드러내기 때문입니다: 유동성 깊이는 안전성과 동일하지 않습니다. 자본이 고도로 집중되고 스테이블코인 고정 관계가 당연하게 여겨질 때, 이러한 풀은 오히려 "지향적 폭파"의 이상적인 목표가 되기 쉽습니다. 특히 인센티브 메커니즘과 가격 가정이 지속적인 압력 테스트를 받지 않을 경우 더욱 그렇습니다.

이 관점에서 이번 공격은 DUSD의 스테이블코인으로서의 가능성을 직접적으로 부정하지는 않았지만, 가장 "안정적인" 장소가 종종 상대방이 충분한 도구를 갖추었을 때 가장 비용 효율적인 공격 목표가 된다는 오랜 사실을 다시 한 번 검증했습니다.

더 넓은 스테이블코인 교훈

단일 사건을 넘어, DUSD의 플래시 론 공격은 체인 상 스테이블코인이 크로스 체인, 크로스 프로토콜 확장 과정에서 직면하는 구조적 도전을 반영합니다. 조합 가능성은 자본 효율성을 크게 향상시켰지만, 복잡한 의존 네트워크를 구축하여 국소적 실패가 특정 사용자 집단에 불균형적인 영향을 미칠 수 있습니다.

규제 기관, 기관 자본 및 인프라 제공자가 점차 스테이블코인을 단순한 거래 도구가 아닌 지불 및 결제 층으로 간주함에 따라, 유사한 사건은 시장이 프로토콜 수준의 견고성과 특정 유동성 장소의 위험을 더 명확하게 구분하도록 강요하고 있습니다. LP 수익을 추구하는 사용자에게 이러한 구분은 특히 중요하지만, 종종 간과되기도 합니다.

이번 사건에서 DUSD 보유자는 본래 영향을 받지 않았으며, 이는 아마도 Makina가 전체 신뢰를 유지하는 데 도움이 될 것입니다. 그러나 더 장기적인 관점에서 보면, DeFi 안정성의 다음 단계는 TVL 숫자나 표면 유동성에 의해 결정되지 않을 것이며, 프로토콜이 가장 취약한环节을 어떻게 설계하고 격리하며 강화하는지에 달려 있을 것입니다. 특히 플래시 유동성과 가격 발견이 정면 충돌하는 곳에서 더욱 그러합니다.

원문 읽기