서머파이 '레이지 서머' 볼트 해킹·서비스 영구종료 사건

사후 조사 결과 공격자는 실제 공격을 감행하기 약 3개월 전인 2026년 4월 6일부터 여러 지갑에 자금을 사전 조성하며 치밀하게 범행을 준비한 것으로 드러났다. 공격자는 이 기간 동안 조작에 사용할 자산을 조율된 방식으로 축적하며 공격 인프라를 갖춰나갔다. 이 같은 장기간의 사전 준비는 이번 공격이 우발적 취약점 발견이 아니라 정교하게 계획된 범행이었음을 보여준다. 서머파이 측은 이후 공개한 사후분석 보고서에서 이 사전 준비 정황을 상세히 공개하며 유사 공격에 대한 업계의 경각심을 촉구했다. 이 사전조성 지갑들은 실제 공격 당일 플래시론과 결합돼 사용됐다.

2026년 7월 6일 오전 5시 17분(UTC) 공격자는 약 6540만달러 규모의 플래시론을 동원해 '레이지 서머' 프로토콜의 USDC 볼트 두 곳에서 자산가치(NAV) 계산 로직을 조작했다. 공격자는 과대평가된 실로(Silo) 'Varlamore USDC Growth' 토큰을 볼트에 기부하는 방식으로 볼트의 자산가치를 실제보다 약 9.5% 부풀린 뒤, 조작된 가격으로 지분을 상환받아 차익을 챙겼다. 이 단일 공격으로 LazyVault_LowerRisk_USDC에서 약 564만 USDC, LazyVault_HigherRisk_USDC에서 약 40만 USDC 등 합계 약 604만달러가 탈취됐다. 실질적인 자금 투입 없이 플래시론만으로 대규모 차익을 실현한 전형적인 디파이 취약점 공격이었다. 이 공격은 서머파이가 9개월 만에 2억달러 규모로 키운 예치자산(TVL) 기반을 한순간에 뒤흔들었다.

보안 모니터링 업체 블록에이드는 공격 발생 약 19분 만인 2026년 7월 6일 오전 5시 36분(UTC) 실시간 이상 거래를 포착해 경보를 발령했다. 이를 받은 서머파이 팀은 오전 6시 42분 영향을 받은 볼트의 예치 한도를 0으로 설정했고, 오전 7시 52분에는 가디언 멀티시그에 경보가 전달돼 대응 트랜잭션이 대기열에 올랐다. 오전 10시 25분에는 이더리움과 베이스 네트워크의 볼트에 대한 일시정지 조치가 실제로 집행됐고, 오후 4시 39분에는 재단이 침해된 볼트에서 공격에 사용된 기부 지분을 회수하는 조치를 취했다. 신속한 대응에도 불구하고 이미 탈취된 자금을 되돌리지는 못했다. 이용자들은 공격 소식이 알려지자 남은 자산을 인출하려 몰려들었고 신규 예치는 급격히 줄어들었다.

서머파이는 2026년 7월 15일 '레이지 서머' 프로토콜 서비스를 영구 종료한다고 공식 발표했다. 회사는 이번 해킹이 이용자, 프로토콜 생태계, 그리고 팀 자체의 자본 기반을 동시에 강타하면서 사업을 재건할 여력(런웨이)이 남지 않았다고 밝혔다. 특히 2025년 10월 스트림파이낸스 사태 이후 이미 약화돼 있던 디파이 시장 여건이 이번 해킹의 충격을 더욱 키웠다는 설명도 덧붙였다. 이 발표로 9개월 만에 2억달러 규모까지 성장했던 서머파이의 성장 스토리는 단 한 번의 공격으로 막을 내리게 됐다. 팀은 남은 자산을 최대한 이용자에게 돌려주는 데 집중하겠다고 밝혔다.

2026년 7월 30일 크립토노미스트 등 주요 암호화폐 매체들은 서머파이의 영구 셧다운이 공식화됐다고 재차 비중 있게 보도했다. 보도에 따르면 604만달러 규모의 볼트 취약점 공격이 서머파이의 준비금을 고갈시켜 회사가 사업을 접을 수밖에 없는 상황으로 내몰렸다. 업계에서는 이번 사건이 정교한 자산가치 계산 로직을 가진 디파이 프로토콜에서도 여전히 치명적인 조작 공격이 가능하다는 점을 보여준 사례로 평가했다. 특히 AI 기반 자동화 볼트 운용 전략이 스마트컨트랙트 리스크보다 오히려 더 큰 위험 요인이 될 수 있다는 지적도 나왔다. 이 사건은 2026년 상반기 디파이 업계 최악의 해킹 사례 중 하나로 꼽혔다.

서머파이는 셧다운 발표 이후에도 이용자 편의를 위해 애플리케이션 서비스를 2026년 8월 31일까지는 유지하겠다고 밝혔다. 이 기간 동안 이용자들은 영향을 받지 않은 볼트에서 정상적으로 자산을 인출할 수 있으며, 피해를 입은 두 USDC 볼트의 남은 자산은 merkl.xyz 컨트랙트를 통해 청구할 수 있도록 조치됐다. 프로토콜 자체는 회사와 별개로 운영되는 '레이지 서머 DAO'가 계속 관리하며, 볼트 스마트컨트랙트는 온체인에 그대로 남아 지분 상환이 가능한 상태로 유지된다. 서머파이 측은 회사가 문을 닫더라도 탈중앙화된 거버넌스 구조 덕분에 이용자 자산 접근성은 보장된다고 강조했다. 그러나 정확한 최종 피해 복구율은 아직 확정되지 않아 사태는 여전히 진행 중이다.