하베스트 파이낸스 플래시론 공격 사태, 3,400만 달러 유출(2020)

2020년 10월 26일 디파이 수익 농사 프로토콜 하베스트 파이낸스가 플래시론을 이용한 가격 조작 공격을 받았다. 공격자는 유니스왑에서 5,000만 달러 상당 USDT를 빌려 커브 Y 풀의 스테이블코인 가격을 흔들고, 하베스트의 fUSDT·fUSDC 풀에서 이를 이용한 입출금 차익을 취했다. Rekt는 이 과정이 약 7분간 32회 정도 반복됐다고 정리했다. 풀에서 빠져나간 자금은 3,380만 달러였고 공격자 수익은 약 2,400만 달러로 추정됐으며 대부분 renBTC로 바뀌어 토네이도 캐시를 거쳐 빠져나갔다. 처음에는 피해가 2,400만 달러로 알려졌다가 이후 약 3,400만 달러로 수정됐다.

공격 직후 하베스트의 거버넌스 토큰 FARM은 약 57~65% 급락했다. 보도에 따르면 가격은 공격 전 200달러대 초반에서 100달러 안팎으로 떨어졌다. 공격 전 10억 달러가 넘던 총예치금(TVL)은 5억 8,800만 달러까지 줄었고, 다른 집계로는 4억 1,500만 달러 수준까지 내려갔다. 이탈한 예치금은 유니스왑 등에서 거래량 급증으로 이어졌다. 한 번의 공격이 프로토콜 신뢰와 자금 기반을 동시에 흔든 셈이다.

하베스트 팀은 공격 직후 엔지니어링 실수였다며 책임을 인정했다. 팀은 공격자에게 자금 반환을 요구하며 10만 달러 현상금을 걸었고, 36시간 안에 반환하면 40만 달러로 올리겠다고 밝혔다. 바이낸스·코인베이스·후오비 등 거래소에 도난 자금 입금 차단도 요청했다. 팀은 커밋-리빌 방식 입금 구조와 차익거래 임계치 상향 등 재발 방지책을 제안했다. 공격자 신원은 공개하지 않았고 업계에서 잘 알려진 인물이라고만 밝혔다.

공격자는 2,478,549달러 상당 USDT·USDC를 하베스트 배포자 주소로 돌려보냈다. 하베스트 팀은 이 반환액을 스냅샷 기준으로 피해 예치자에게 비례해 나눠 주겠다고 밝혔다. 이는 훔친 금액의 일부에 불과해 피해 전부를 보전하지는 못했다. Rekt는 공격자가 마음만 먹었다면 최대 4억 달러까지 빼낼 수 있었을 것이라고 주장했는데, 이는 추정이다. 공격자 정체는 확인되지 않았고 SNS에서 떠도는 소문은 근거가 없는 것으로 다뤄졌다.

Rekt에 따르면 하베스트는 공격 약 3주 전 페크실드, 하에치 랩스, 서틱 세 곳의 보안 감사를 받았다. 그런데도 LP 입출금 가격 계산 방식(tokenIndex)이 가격 조작에 취약해 사고가 났다. 하베스트는 사건을 차익거래를 이용한 경제적 공격이라고 불렀지만 커뮤니티에서는 차익거래, 익스플로잇, 해킹 중 무엇으로 볼지 논쟁이 일었다. 또 커브 쪽에서 이런 행위를 막아야 하는지도 다뤄졌으나 스마트 컨트랙트 구조상 불가능한 것으로 정리됐다. 감사만으로는 경제적 공격을 막기 어렵다는 점이 부각됐다.

사고 다음 날 하베스트는 피해 사용자 보전 방안을 두고 커뮤니티와 논의했다. 디파이언트는 팀이 약 3,400만 달러 피해를 입은 사용자를 온전히 보상하려 애쓰고 있다고 전했다. 팀은 같은 거래 안에서 입금과 출금을 하지 못하게 막고, 커브 토큰 출금을 별도 거래의 스테이블코인으로 바꾸는 방안을 재발 방지책으로 제시했다. 이 사고는 2020년 가을 디파이 플래시론 공격 연쇄의 한 사례로 꼽힌다. 보상은 공격자 반환분과 팀 자금의 범위에서 논의됐다.