수이(Sui) 디파이 프로토콜 풀세일(Full Sail), 스위치보드 오라클 해킹으로 운영 종료

수이(Sui) 블록체인 기반 탈중앙화 거래소(DEX) 겸 유동성 프로토콜인 풀세일(Full Sail)이 오라클 제공업체 스위치보드(Switchboard)의 가격 피드 서명 권한이 침해되는 사고로 공격을 받았다. 공격자는 스위치보드의 무브(Move) 기반 운영 코드에 존재한 취약점을 악용해 가격 피드 서명 권한을 탈취한 것으로 파악됐다. 이로 인해 스위치보드의 가격 정보를 사용하는 여러 체인의 프로토콜에 왜곡된 가격 데이터가 유입될 위험이 발생했다. 풀세일에서는 공격자가 3개의 자동화 금고(vault)에서 약 9만1000달러 상당의 자산을 탈취했다. 이는 풀세일 자체 시스템의 결함이 아니라 외부 오라클 인프라의 침해에서 비롯된 사고였다.

스위치보드는 자사의 무브 기반 구현체에 대한 잠재적 침해 가능성을 인지하고 추가 피해를 막기 위해 수이, 앱토스(Aptos), IOTA, 무브먼트(Movement) 등 4개 체인에 걸친 오라클 네트워크 운영을 즉각 전면 중단했다. 이는 하나의 오라클 인프라 침해가 다수의 서로 다른 블록체인 생태계에 동시다발적 파급 효과를 낼 수 있음을 보여준 사례로 평가됐다. 오라클 중단으로 해당 체인에서 스위치보드 가격 피드에 의존하던 다른 디파이 프로토콜들의 정상 운영도 함께 영향을 받았다. IOTA 기반 스테이블코인 대출 프로토콜 버추(Virtue)에서도 별도로 약 45만5000달러의 손실과 VUSD 스테이블코인 담보 훼손이 보고됐다. 스위치보드는 원인 조사를 위해 네트워크 운영을 잠정 중단한다고 공식 발표했다.

풀세일 팀은 8월 31일(토) 사고 사실을 공식 공지하며 신규 예치와 유동성 공급자(LP) 보상 청구를 즉시 전면 중단한다고 발표했다. 일반 유동성 풀은 추가 보안 점검을 거친 뒤 출금 전용 모드로 전환하겠다고 밝혔다. 이는 남은 이용자 자산을 보호하고 추가 손실을 차단하기 위한 선제적 조치였다. 풀세일은 사고 원인이 자체 스마트컨트랙트가 아니라 외부 오라클 침해에 있다는 점을 재차 명확히 했다. 팀은 보상 방안 마련을 위한 내부 검토에 즉시 착수했다고 전했다.

풀세일은 9월 2일(화) 프로토콜을 완전히 정리하는 운영 종료(wind-down) 절차에 들어간다고 공식 발표했다. 이로써 풀세일은 2026년 들어 해킹 피해 이후 문을 닫는 여러 프로토콜 중 하나로 이름을 올리게 됐다. 회사는 남아 있는 프로토콜 소유 유동성(protocol-owned liquidity)을 전액 이용자들에게 반환하고, 손실 부족분은 팀이 직접 부담해 메우겠다고 약속했다. 보상 원칙은 커뮤니티 예치자들을 최우선으로 상환한다는 방침이었으며, 수일 내로 구체적인 출금 절차 안내를 게시하겠다고 밝혔다. 이번 사례는 인프라 차원의 단일 실패 지점(오라클)이 프로토콜 전체의 존속을 좌우할 수 있음을 보여준 사건으로 업계에 기록됐다.

풀세일 사태는 2026년 8월 기준 온체인 보험 프로토콜 9개 중 5개가 사업을 중단하거나 방향을 전환한 흐름과 맞물려 업계의 구조적 취약성을 다시 부각시켰다. 보안 감사를 통과한 프로토콜조차 외부 오라클 등 제3자 인프라 침해로 피해를 입을 수 있다는 사실이 재확인되면서, '감사 통과'가 안전을 보장하지 않는다는 지적이 이어졌다. 2025년 1월부터 2026년 7월까지 가상자산 플랫폼들이 해킹 등 보안 사고로 입은 손실은 누적 36억 3000만 달러에 달하는 것으로 집계됐다. 풀세일 사건은 오라클 의존형 디파이 구조 전반에 대한 재평가 필요성을 제기한 대표 사례로 거론됐다. 스위치보드는 사고 이후 서명 권한 체계에 대한 보안 강화 작업에 들어갔다고 밝혔다.