헤데라 기반 디파이 '본조 렌드' 오라클 조작 900만달러 해킹 사건

헤데라 메인넷 기반 대출 프로토콜 본조 렌드가 2026년 7월 11일 제3자 오라클 서비스 '수프라(Supra)'의 계약 검증 결함을 노린 공격을 받았다. 공격자는 250개의 SAUCE 토큰을 담보로 예치한 뒤, 서명값이 0으로 처리된 조작된 가격 업데이트를 제출해 검증을 통과시켰다. 이 조작된 가격은 SAUCE의 실제 가치를 무려 12자릿수(1조 배) 넘게 부풀린 수치였다. 온체인 분석 결과 수프라의 오라클 검증기가 핵심 보안 검사를 제대로 수행하지 않아 위조된 제출값을 그대로 수용한 것이 근본 원인으로 지목됐다. 이는 디파이 프로토콜이 자체 코드가 아닌 외부 오라클의 결함만으로도 치명적 피해를 입을 수 있음을 보여준 사례였다.

공격자는 조작된 담보 가치를 근거로 실제 예치한 금액을 훨씬 초과하는 663만 달러 상당의 USDC와 3450만 개의 랩드HBAR(wHBAR)를 대출 형태로 인출했다. 이는 담보 가치 검증이라는 대출 프로토콜의 핵심 안전장치가 완전히 무력화됐음을 의미했다. 코인데스크는 이번 공격으로 본조 렌드의 예치자산(TVL)이 77% 급감했다고 보도했다. 헤데라 네트워크 전체의 예치자산 역시 24시간 만에 40% 가까이 줄어드는 등 사건의 여파는 본조 렌드를 넘어 헤데라 생태계 전반으로 번졌다. 피해 규모는 이후 국내 매체 집계 기준 약 136억원(905만 달러)으로 확정됐다.

본조 렌드는 피해 확산을 막기 위해 대출·예치 기능을 포함한 서비스를 일시 중단했다. 국내 매체 블록미디어는 이번 해킹으로 약 136억원 규모의 피해가 발생했다고 전하며, 헤데라 기반 디파이 프로토콜이 국내 투자자들에게도 익숙한 생태계인 만큼 파장이 크다고 짚었다. 본조 렌드 측은 이번 사고의 원인이 자사 스마트컨트랙트나 헤데라 네트워크 자체의 결함이 아니라 외부 오라클 서비스인 수프라의 검증 로직 문제였다고 해명했다. 그러나 이용자들은 프로토콜이 어떤 오라클을 채택하느냐에 따라 자산이 위험에 노출될 수 있다는 점에서 근본적 우려를 제기했다. 사건은 디파이 생태계 전반의 오라클 신뢰성 논쟁으로 번졌다.

오라클 서비스 제공업체 수프라는 이번 사고의 원인이 자사 헤데라 메인넷용 검증기 컨트랙트의 결함에 있었음을 공식 인정했다. 수프라는 문제가 된 검증 로직에 긴급 패치를 배포해 동일한 방식의 추가 공격을 차단했다고 밝혔다. 보안 전문가들은 이번 사고를 계기로 오라클 제공업체들이 가격 업데이트 서명 검증 절차를 한층 강화해야 한다고 지적했다. 헤데라 재단 역시 자체 네트워크에는 결함이 없었다는 점을 강조하면서도, 생태계 내 서드파티 서비스에 대한 감사 체계를 재점검하겠다고 밝혔다. 이번 조치로 추가 피해 확산은 일단 진정되는 양상을 보였다.

탈취된 자산은 공격 직후 여러 지갑으로 분산 이체되며 추적에 어려움을 겪은 것으로 알려졌다. 본조 렌드의 예치자산은 사고 이전 수준을 좀처럼 회복하지 못했고, 일부 이용자는 남은 예치금 인출에 나서며 프로토콜에 대한 신뢰가 크게 흔들렸다. 헤데라 생태계 관계자들은 이번 사고가 상대적으로 안전하다고 여겨졌던 헤데라 기반 디파이 서비스에 대한 인식을 바꿔놓았다고 평가했다. 업계에서는 오라클 다변화와 다중 검증 체계 도입이 재발 방지의 핵심 과제로 떠올랐다는 진단이 나왔다. 이번 사건은 2026년 상반기 북한발 해킹이 대형 사고를 주도한 것과 달리, 오라클 설계 결함만으로도 대규모 피해가 가능하다는 점을 각인시킨 사례로 남았다.