165억 달러 규모의 해킹 사건 이후, DeFi는 한때 저항했던 규제들을 향해 나아가도록 강요받고 있습니다.

rsETH 사태로 인해 Aave는 계약 내용 중 어느 하나도 잘못되지 않았음에도 불구하고 2억 달러의 부실채권을 떠안게 되었습니다.

4월 18일, Chainalysis가 잠정적으로 Lazarus와 연관시킨 공격자들은 RPC 인프라를 침해하고, DDoS 공격을 통해 오염된 노드로 페일오버를 강제했으며, KelpDAO의 rsETH 브리지에 있는 1:1 DVN 구성에 허위 데이터를 주입했습니다.

위조된 메시지로 약 116,500 rsETH가 유출되었으며, Aave의 사건 보고서에 따르면 이더리움은 논스 308을 수락했지만 유니체인 소스 엔드포인트는 307 이상으로 진행되지 않았습니다.

공격자는 탈취한 rsETH를 아베(AAVE) 에 제공하고 이를 담보로 대출을 받아 부실채권을 발생시켰으며, 이는 현재 DeFi 보안의 현황을 보여주는 사례가 되었습니다.

4월 한 달 동안 28건의 해킹 공격으로 6억 3,500만 달러 이상이 탈취되었으며, 이는 1년 만에 최악의 월간 피해액입니다. 디파이라마(defillama) 따르면 지금까지 발생한 해킹으로 인한 누적 피해액은 165억 달러이며, 그중 77억 달러는 DeFi 관련 해킹 공격입니다.

Drift와 KelpDAO 브리지에서 발생한 대규모 해킹 공격으로 인해 지난달 DeFi 생태계에서 TVL(Total Value Locked) )이 거의 110억 달러 가까이 손실되었습니다.

그러한 축소는 스테이블코인 시스템, 토큰화된 재무부, 규제된 결제 시스템이 동일한 자본 시장에서 기관 투자자들의 관심을 끌면서 발생했습니다.

어떻게 DeFi가 여기까지 오게 된 걸까요?

이뮤니파이(Immunefi)의 CEO인 미첼 아마도르는 크립토슬레이트(CryptoSlate)와의 인터뷰에서 디파이(DeFi)는 역사적으로 보안 성숙도보다는 성장, 통합, 유동성 및 속도를 중시해 왔다고 말했습니다.

새로운 자산, 브리지, 오라클, 어댑터 또는 외부 종속성을 추가하는 프로토콜은 즉각적인 유용성을 얻습니다. 통합이 수반하는 위험은 실제로 공격이 발생하기 전까지는 가시적인 가격 신호를 생성하지 않습니다. 왜냐하면 공격이 발생하지 않는 동안에는 그 존재가 드러나지 않기 때문입니다.

그러한 비대칭성으로 인해 감사 주기와 격리 관행은 수년간 출하 속도에 비해 부차적인 것으로 여겨졌지만, 4월에 그 결과가 한 달에 집중되었습니다.

아마도르는 가장 간과되는 관행으로 다중 신호 위생 및 관리, 공급망 강화, 실시간 모니터링 및 비상 대응 절차를 꼽았습니다.

많은 팀들이 멀티시그를 그 자체로 보안 솔루션으로 여겼지만, 실제 멀티시그의 강점은 서명자 수, 서명자들의 독립성, 운영 환경, 그리고 거래 검토 관련 프로세스에 달려 있습니다.

낮은 문턱값의 멀티시그, 취약한 서명자 보안, 또는 제대로 모니터링되지 않는 브리지나 오라클은 DeFi 프로토콜이 기본적으로 조합 가능하기 때문에 시스템적 취약점으로 이어질 수 있습니다. 이러한 환경에서 위험은 유동성만큼이나 효율적으로 통합을 통해 전파됩니다.

DeFi 내부에서 그러한 문화가 형성되는 동안, 그와는 별개로 다른 모델이 동시에 구축되고 있었습니다.

솔스티스 파이낸스 CEO 벤 나다레스키가 평가한 내용:

"1인당 산출량 격차는 핵심 재무 기능이 아닌 모든 것을 제거했을 때 어떤 결과가 나오는지를 보여줍니다. 이번 경쟁에서 승리하는 팀은 처음부터 규정 준수와 보안을 기반으로 구축되어 은행이 회의를 소집하기도 전에 빠르게 결과물을 내놓을 준비가 되어 있는 팀일 것입니다."

DeFi는 월가가 차세대 금융 시스템의 실제 인프라 계층으로 인식하기 훨씬 전인 5년 이상 동안 구성 가능한 레일을 구축해 왔습니다.

초기 시장 지위 확보의 대가는 운영 규율보다 속도를 우선시하는 보안 문화였다.

오일러 파이낸스의 CTO인 카스퍼 파블로프스키는 사고 후 분석에서 해당 실패의 원인으로 거버넌스 측면을 지적했습니다.

그는 이렇게 말했다:

"DeFi는 위험 평가를 일회성 온보딩 결정으로 취급하지만, 실제로는 위험은 역동적입니다."

KelpDAO 취약점을 악용한 1:1 DVN 구성은 수년간 실제 운영 환경에서 사용되었습니다. Kelp 측은 해당 구성이 LayerZero가 여러 차례의 통합 회의를 통해 검토하고 제공한 기본 구성이라고 주장하는 반면, LayerZero 측은 Kelp가 해당 구성으로 다운그레이드했다고 반박합니다.

어느 설명이 정확하든, 해당 설정은 모든 하위 프로토콜과의 통합 과정에서 아무런 문제 표시 없이 유지되었습니다. 레이어제로(LayerZero)는 이후 프로토콜 전체에 걸쳐 해당 설정을 금지했으며, 자사의 DVN이 고액 거래의 유일한 검증자 역할을 하도록 허용한 것이 실수였음을 인정했습니다.

더욱 중요한 점은 핵심적인 교량 보안 매개변수가 2억 9200만 달러 규모의 취약점 공격이 드러나기 전까지 전체 종속성 체인에 걸쳐 표준화되어 있었다는 것입니다.

파울로프스키는 다음과 같이 주장했다:

“디파이가 구축한 운영 체계, 즉 분산형 자율 조직(DAO) 거버넌스, 외부 위험 관리 서비스 제공업체, 월별 검토 주기 등은 근본적인 위험 요소의 변화 속도를 따라가지 못합니다. 많은 경우, 검토를 담당하는 사람들이 검토 대상 자산과 구조적으로 독립적이지 않습니다.”

그러한 구조적 갈등이 파울로스키가 분석한 구체적인 거버넌스 실패를 초래했습니다. Aave의 25,000 이더리움(ETH) 규모의 트레져리 회수 제안은 아베(AAVE) 유료 서비스 제공업체인 TokenLogic이 작성했는데, TokenLogic은 Kelp를 고객으로 공개적으로 명시하고 아베(AAVE) 위임 플랫폼을 운영합니다.

참고로, 토큰로직(TokenLogic)은 자사 제안에 대한 투표권을 행사하는 회사입니다. 아베(AAVE) eMode에서 rsETH의 담보대출비율(LTV) )을 93%까지 확대한 바로 그날, 스파크렌드(SparkLend)는 해당 자산을 완전히 폐지하고, 활용도가 낮은 포지션을 정리하는 일상적인 조치와 함께 이를 단행했습니다.

3개월 후, 그 일상적인 가지치기 작업만이 스파크의 예금자들과 현재 아베(AAVE) 가 떠안고 있는 부실 채권을 구분하는 유일한 장벽이 되었습니다.

한 프로토콜의 독립적인 위험 판단 능력이 다른 프로토콜의 종합적인 위험 자문 시스템보다 우수한 성과를 보였습니다. DeFi의 검토 체계는 포트폴리오 관리를 담당하는 단일 자산 운용사보다 더 나쁜 결과를 초래했습니다.

“여기”는 무엇을 의미하는가

이번 해킹 사건 이전, 아베(AAVE) TVL(Total Value Locked) 260억 달러를 넘는 최대 규모의 DeFi 프로토콜이었습니다.

파울로프스키는 다음과 같이 언급했습니다.

"아베(AAVE) 표준이었습니다. 만약 아베(AAVE) 다른 프로토콜의 브릿지 취약점 공격으로 발생한 2억 달러 이상의 부실 채권을 감당할 수 있다면, 시장은 DeFi 대출에서 '안전함'이 실제로 무엇을 의미하는지 재평가해야 할 것입니다."

공동 대출 모델은 가장 취약한 담보만큼만 강력하며, 그 담보가 무너지면 전체 공동 대출 풀이 손실을 고스란히 떠안게 됩니다. 이러한 위험은 담보를 보유한 금고를 넘어 광범위한 시장의 모든 예금자에게까지 영향을 미칩니다.

파블로스키는 구조적 현실이 "수년간 '실전에서 검증된' '우량 기업' 마케팅에 의해 희석되었다"고 지적했습니다.

아마도르는 KelpDAO의 작동 방식에 국한되지 않고 공격 범위를 넓혔습니다. 이제 DeFi의 공격 표면은 거버넌스, 서명자, 특권 역할, 통합, 브리지, 오라클, 수탁 계약, 그리고 프로토콜이 의존하는 모든 외부 시스템을 포괄합니다.

팀이 가질 수 있는 가장 위험한 운영상의 가정은 감사를 거친 스마트 계약이 곧 안전한 프로토콜을 의미한다는 것입니다. Immunefi의 자체 연구에 따르면 DeFi 손실은 지난 몇 년 동안 최대 80%까지 감소했는데, 이는 업계가 코드 보안을 강화하고 공격자들이 그에 맞춰 대응했기 때문입니다.

아마도르는 이제 전체 위험 사슬에서 가장 취약한 지점을 연구하고 있으며, 이러한 취약한 지점은 오프체인, 거버넌스 관련 영역 또는 단일 감사로는 포괄할 수 없는 복잡한 의존성 스택에 숨겨져 있다고 덧붙였습니다.

기관들에게 있어 4월은 특정한 재설정을 강요하는 달이었습니다. 아마도르는 이제 관리자 키 관리 방법, 마켓 일시 중지 권한 보유자, 상호 의존성, 사고 대응 프로세스, 그리고 위협 차단 속도 등 체크리스트를 제시했습니다.

파울로스키는 자본 측면에서도 같은 주장을 펼치며, 토큰화된 시장, 투명한 결제, 프로그래밍 가능한 금융 인프라에 대한 수요가 실제로 존재하기 때문에 기관 투자자들이 온체인 신용 시장에 계속 투자할 것이라고 말했습니다.

하지만 기관 투자자들은 격리된 시장, 허가받거나 선별된 금고, 더욱 엄격한 자산 등록 절차, 더 나은 보험, 지속적인 모니터링, 그리고 공식화된 비상 통제 시스템으로 나아갈 것입니다.

토큰화된 증권 및 위험가중자산(RWA)을 위한 허가형 마켓플레이스인 아베(AAVE) Horizon은 2025년 8월에 출시되어 예치금이 4억 4천만 달러를 넘어섰습니다.

Morpho의 볼트 생태계는 FINMA의 허가를 받은 최초의 대규모 볼트 관리 회사인 ARCHITECT를 추가했으며, Flowdesk는 토큰화된 주식을 담보로 사용하여 2026년 3월에 기관용 AUSD 볼트를 출시했습니다.

EY-Parthenon과 Coinbase가 공동으로 실시한 2026년 설문조사에 따르면, 기관 투자자 응답자의 73%가 올해 디지털 자산 비중을 늘릴 계획이지만, 81%는 등록된 투자 수단을 선호하는 것으로 나타났습니다. 자본 선별되고, 관리되며, 규정을 준수하는 구조를 통해 온체인으로 이동하고 있습니다.

규제된 대안은 그러한 선호의 반대편에서 가속화되고 있습니다.

GENIUS 법안은 미국 ​​스테이블코인을 위한 최초의 연방 프레임워크를 만들었으며, 100% 준비금 의무화, 재담보 금지, 그리고 나다레스키가 "규정 준수 부서에서 승인할 수 있을 만한 수준의 보관 기준"이라고 평가한 기준을 포함하고 있습니다.

골드만삭스 설문조사에 따르면 기관 투자자의 35%가 규제 불확실성을 가장 큰 걸림돌로 꼽았으며, 71%는 규제가 명확해지면 투자 비중을 늘릴 것이라고 답했습니다.

나다레스키는 "기본적인 자금은 확보됐고, 자본 은 기다리고 있다"고 말했다. 토큰화된 증권을 포함한 디지털 자산에 대한 관할권 및 수탁인 기준을 정의하는 CLARITY 법안은 5월 14일 현재 상원 은행위원회의 심의를 기다리고 있다.

나다레스키는 그 과정이 완료되면 "대부분의 기관 체크리스트에서 마지막 항목이 완료되는 것"이라며 "기다림이 끝난다"고 주장했습니다. 디파이는 거의 완벽한 규제 체계를 바탕으로 기관 자본 위해 경쟁하고 있습니다.

탈중앙화 금융(DeFi)은 어떻게 다시 부상하는가?

파울로스키는 DeFi 복구 도구의 전체 목록을 다음과 같이 제시했습니다. 적절한 시장 격리와 결합된 거버넌스, 자동화 및 AI 지원 위험 모니터링, 필요한 매개변수에 대한 선택적 타임락, 서킷 브레이커, 규제에 따라 요구되는 고객 확인 절차(KYC) , 애플리케이션별 시퀀싱, 그리고 정책을 인식하는 블록 빌더.

그는 덧붙였다.

"부족했던 것은 이러한 도구들을 사용하려는 의지였습니다. 왜냐하면 각각의 도구는 업계가 내세워 온 극단적인 탈중앙화 이상과 상충되는 부분이 있기 때문입니다."

그러한 마케팅 입장을 ​​버리는 것이 출발점이지만, 쉬운 일은 아닙니다.

파블로스키는 "암호화폐 업계는 수년간 완전한 탈중앙화, 검열 저항성, 기관급 안전성, 소매 접근성 등 모든 것을 타협 없이 가질 수 있는 척해왔다"고 지적했습니다.

"바로 그 환상이 이러한 악용을 가능하게 하는 조건을 만들어냈습니다." 온체인에서 규제되는 기관 신용 시설은 비허가형(Permissionless) 소매 대출 시장과는 다른 상품이며, 둘 다 동일한 정통 원칙에 따라 관리되면서 공격적인 rsETH 상장이 거버넌스를 통과하는 동안 구조적 브릿지 보안 매개변수가 수년간 문제없이 방치되는 상황이 발생했습니다.

파울로스키는 구조적 해결책은 "거래 양측과 상업적 관계를 맺고 있는 서비스 제공업체들이 낮은 투표율의 지배구조 투표를 통해 공격적인 상장을 통과시키도록 허용하는 갈등을 종식시키는 것"이라고 믿습니다.

SparkLend의 독립적인 부채 정리와 Aave의 eMode 확장이 같은 날에 이루어진 것은 서로 다른 위험 관리 철학이 서로 다른 결과를 낳는다는 것을 보여주는 증거입니다.

DeFi는 이러한 구분을 제도화하고, 이를 중심으로 거버넌스 구조를 구축하며, 프로토콜을 평가하는 모든 사용자 및 기관에게 장단점을 명확히 제시해야 합니다.

아마도르의 운영 방안은 실행 계층에서 동일한 문제를 해결합니다.

DeFi는 지속적인 감사, 실제 버그 바운티 프로그램, 적절한 경우 형식 검증 , 독립적인 보안 위원회, 강화된 멀티시그 임계값, 하드웨어 기반 키 관리, 실시간 모니터링, 공개된 사고 대응 플레이북, 그리고 모든 주요 통합에 대한 의무적인 위험 검토를 통해 유동성 인센티브를 전문화한 것처럼 보안도 전문화해야 합니다.

회로 차단기 및 격리 메커니즘은 자산, 어댑터 또는 종속성 손상으로 인한 손실이 영향을 받는 시장 내에만 국한되도록 구축되어야 합니다.

프로토콜 평가 기준은 수익률 및 TVL(Total Value Locked) 뿐만 아니라 보안 상태까지 포함하도록 확장되어야 합니다. 즉, 누가 감사를 수행했는지, 현재 진행 중인 현상금 규모는 얼마인지, 관리자 키는 어떻게 관리되는지, 어떤 종속성이 존재하는지, 비상 절차는 무엇을 다루는지, 그리고 위협을 얼마나 신속하게 차단할 수 있는지 등을 고려해야 합니다.

사용자와 기관은 APR을 비교하는 방식과 마찬가지로 이러한 기준들을 바탕으로 프로토콜을 비교할 수 있어야 합니다.

KelpDAO가 rsETH를 체인링크(Chainlink) CCIP로 이전하기 시작했고, LayerZero가 프로토콜 전체에서 1:1 검증자 구성을 금지했으며, 아베(AAVE) 제안 477이 공격자 포지션의 청산 승인하고 복구된 자산을 Recovery Guardian 멀티시그로 라우팅하는 등 개혁이 이미 진행 중입니다.

해당 제안의 2단계는 아비트럼(Arbitrum) 에서 초과 rsETH를 소각하고, 브리지 지원을 복원하고, 출금을 재개하고, 영향을 받는 사용자에게 보상하는 내용을 포함합니다.

아비트럼의 보안위원회는 공격자의 하위 자금과 관련된 30,766 달러 이더리움(ETH) 별도로 동결했습니다.
그러한 복구에는 비상 위원회, 분산형 자율 조직(DAO) 투표, 다중 서명 및 법원 소송이 필요했는데, 이는 기관 금융의 위기 관리 전략에서 가져온 일련의 조치였으며, 스스로를 비허가형(Permissionless) 시스템이라고 설명하는 시스템 내에서 실행되었습니다.

DeFi는 손실 규모가 충분히 커지면 이러한 도구를 활용하며, 프로토콜은 이러한 도구를 사전에 내장하거나 위기가 전개되는 동안 재구축할 수 있습니다.

DeFi의 구성 가능성에 대한 주장

나다레스키는 기관들이 탈중앙화 금융(DeFi)과 규제 대상 대안 중에서 선택할 때 예치(stake) 구체적인 이점을 파악했습니다.

규정 준수 담당자들은 기존 지침서와 일치하는 회로 차단기, 시간 잠금 장치 및 보관 기준을 원하며, 월스트리트는 수년 동안 그러한 틀을 구축해 왔습니다.

나다레스키는 이렇게 말했다:

"가장 빠르게 움직이는 은행은 모든 것을 자체적으로 구축하려는 시도를 멈추는 은행일 것입니다. 기존 팀을 활용하여 온체인 결제 시스템을 구축하는 것은 모든 것이 순조롭게 진행된다 하더라도 2028년이 걸릴 것입니다. 올해 핵심 전략은 이미 구축된 인프라를 갖춘 팀과 기존의 유통망 및 고객 관계를 결합하는 것입니다."

DeFi가 구축한 기반을 유지해야 하는 가장 강력한 이유는 바로 구성 가능성입니다. 거래를 실행하고, 담보를 관리하고, 유동성을 분배하고, 자동으로 거래를 정산하는 단일 프로토콜은 기존 금융 시스템에서는 처음부터 다시 구축해야만 구현할 수 있는 기능을 제공합니다.

구성 가능성은 장애가 지역적으로만 발생할 경우에만 제도적 논리로 작용합니다. 하지만 브리지 검증자, 거버넌스 투표 또는 손상된 오라클이 공유 유동성 풀 전반에 걸쳐 손실을 대규모로 전파할 수 있게 되면, 구성 가능성은 전염 인프라로 작용하게 됩니다.

아마도르는 다음과 같이 언급했습니다.

"프로토콜이 브리지, 멀티시그, 거버넌스 프로세스 또는 외부 자산에 의존하는 경우, 코드에 대한 신뢰만으로는 충분하지 않습니다. 새로운 표준은 모든 계층이 실패할 수 있다고 가정하고, 하나의 실패가 전체 시장에 연쇄적으로 영향을 미치지 않도록 시스템을 설계하는 것입니다."

파블로스키는 필요한 변화를 "성장"이라고 표현하며, 해당 분야가 명확한 절충안을 수용하고 공개해야 하고, 진정으로 독립적인 거버넌스 구조를 구축해야 하며, 보안을 사용자와 기관이 평가하고 비교할 수 있는 제품 기능으로 만들어야 한다고 설명했습니다.

탈중앙화 금융(DeFi)은 토큰화된 시장이 현재 채택하고 있는 구성 가능한 인프라를 구축했습니다. 비허가형(Permissionless) DeFi에서 시작된 스테이블코인 시스템, 대출 기본 요소 및 유동성 메커니즘은 규제 준수 하에 월가에서 판매되는 상품으로 패키징되고 있습니다.

만약 DeFi가 기술적 아키텍처에 걸맞은 운영적 성숙도를 구축한다면, 구성 가능성은 규제 대상 래퍼로는 따라잡을 수 없는 유일한 기능으로 남을 것입니다. 하지만 DeFi가 그러한 성숙도를 구축하지 못한다면, 월가는 스테이블코인과 토큰화 레이어를 장악하게 될 것이고, 그와 함께 개방형 구성 가능 금융이 진지한 자본 필요한 운영 규율을 갖추지 못했다는 주장을 내세우게 될 것입니다.