스텝 파이낸스 2700만 달러 해킹·서비스 영구 종료 사건

2021년 설립돼 솔라나 생태계의 이자농사·유동성공급 토큰을 한데 모아 보여주는 대표적 디파이 포트폴리오 트래커로 자리잡았던 스텝 파이낸스는 1월 말 공격자들에게 핵심 임원들의 개인 기기를 침해당했다. 공격자들은 스마트컨트랙트 코드 자체의 취약점이 아니라, 탈취한 관리자 권한을 이용해 플랫폼의 핵심 기능을 조작해 이용자 자금을 공격자 지갑으로 우회시키는 방식을 택했다. 공격은 단 몇 시간 만에 완료됐으며, 이용자들은 평소와 다름없이 플랫폼을 이용하는 과정에서 자신도 모르게 자산을 범죄자 주소로 전송하게 됐다. 최종적으로 약 26만 1854 SOL, 당시 시세로 약 2700만 달러(일부 매체는 4000만 달러로 보도) 상당이 유출된 것으로 집계됐다. 스마트컨트랙트 감사만으로는 막을 수 없는 운영 보안(OpSec) 취약점이 노출된 사례로 꼽혔다.

해킹 사실이 알려지자 스텝 파이낸스의 자체 토큰 STEP의 가격은 거의 96%까지 폭락했다. 플랫폼에 자금을 예치해뒀던 이용자들은 추가 피해를 막기 위해 남은 자산을 서둘러 인출하려 몰려들었고, 이 과정에서 일부는 이미 관리자 권한이 손상된 상태였던 탓에 추가 손실을 입기도 했다. 디파이 서비스 이용자들은 전통 금융기관과 달리 예금보험이나 사기 방지 장치가 전혀 없는 상태에서 은퇴자금·사업자금·개인투자금 등 실질적인 재산 피해를 고스란히 떠안아야 했다. 시장 전반의 신뢰도 급격히 흔들리며 유사한 솔라나 기반 디파이 프로젝트들의 토큰 가격도 동반 하락했다. 이 사건은 디파이 생태계의 구조적 취약성을 다시 한번 드러낸 계기로 지목됐다.

스텝 파이낸스 운영진은 해킹 발생 이후 사고 대응 전문업체 및 법 집행기관과 공동으로 자금 추적 조사에 착수했다고 밝혔다. 그러나 블록체인 거래의 특성상 한번 다른 지갑으로 전송된 자금은 원상복구가 사실상 불가능하다는 한계가 있었다. 회사는 재정적 회생을 위해 외부 투자 유치나 매각을 포함한 "모든 가능한 방안"을 모색했다고 밝혔지만, 신뢰도가 이미 크게 훼손된 상태에서 인수자를 찾는 데 난항을 겪었다. 이 기간 동안 이용자들 사이에서는 팀의 늑장 대응과 불투명한 소통에 대한 불만도 함께 제기됐다. 결국 회생 노력은 3주 넘게 이어졌으나 성과를 내지 못했다.

스텝 파이낸스는 2월 24일 공식 발표를 통해 재정적 회생을 위한 모든 시도가 실패로 돌아갔다며 플랫폼 운영을 영구 종료한다고 밝혔다. 2021년 설립 이후 솔라나 생태계의 대표적인 디파이 포트폴리오 트래커로 자리잡았던 서비스는 5년 만에 역사 속으로 사라지게 됐다. 회사는 STEP 토큰 보유자들을 위해 사고 발생 이전 시점의 보유량과 가치를 기준으로 한 바이백(buyback) 프로그램을 마련하겠다고 밝혔지만, 완전한 손실 보전과는 거리가 멀었다. 발표 직후 STEP 토큰 가격은 추가로 36% 더 하락했다. 이는 2026년 상반기 크립토 업계를 강타한 60여 개 기업·프로젝트 연쇄 파산·폐쇄 흐름의 초기 사례 중 하나로 기록됐다.

스텝 파이낸스와 함께 운영되던 미디어 매체 '솔라나플로어'와 토큰화 플랫폼 '레모라마켓츠' 역시 같은 날 동반 폐쇄가 발표됐다. 세 서비스 모두 사실상 동일한 팀이 운영해온 솔라나 생태계 인프라였던 만큼, 한 서비스의 보안 실패가 계열 사업 전체의 붕괴로 이어지는 연쇄효과를 보여줬다. 이는 디파이 프로젝트들이 흔히 취하는 다각화 전략이 오히려 단일 실패 지점에 대한 리스크를 분산시키지 못한다는 점을 드러낸 사례로 평가됐다. 업계에서는 임원 개인기기 보안, 즉 엔드포인트 보안이 스마트컨트랙트 감사만큼 중요하다는 교훈이 재확인됐다는 평가가 나왔다. 이 사건 이후 다수의 디파이 프로젝트들이 임원용 하드웨어 보안키 의무화 등 내부 보안 정책을 강화했다.