비너스 프로토콜(Venus Protocol) 피싱 해킹·자금 전액 회수 사건

BNB체인 기반 대출 프로토콜 비너스(Venus)의 한 고액 이용자가 악성 줌(Zoom) 클라이언트를 통해 자신의 PC를 공격자에게 침해당했다고 이후 프로토콜 측에 알렸다. 공격자는 이렇게 확보한 접근 권한을 이용해 피해자가 특정 트랜잭션에 서명하도록 유도하는 정교한 피싱 수법을 구사했다. 피해자는 자신도 모르는 사이 공격자를 자신의 계정에 대한 유효한 위임자(delegate)로 승인하는 서명을 하게 됐다. 이 위임 권한을 통해 공격자는 피해자 명의로 자산을 빌리고 상환하는 행위를 대신 수행할 수 있게 됐다. 피해 규모는 약 2700만 달러 상당으로 추산됐다.

공격자는 확보한 위임 권한을 이용해 피해자의 담보 자산을 기반으로 대출을 실행하고 이를 인출하려 시도했다. 이 과정에서 약 1350만 달러 상당의 자산이 즉각적인 탈취 위험에 노출됐다. 보안 모니터링 업체 헥사게이트(Hexagate)가 이상 거래를 신속히 포착해 비너스 팀에 경보를 전달하며 사고 확산을 조기에 저지할 수 있었다. 프로토콜 다른 이용자들의 자산은 시스템적 취약점이 아닌 특정 개인 대상 표적 공격이었기 때문에 직접적인 위험에 놓이지는 않았다. 그러나 대응이 늦었다면 피해가 더 확산될 수 있는 급박한 상황이었다.

비너스 프로토콜은 공격자가 추가로 자금을 이동하거나 포지션을 정리하지 못하도록 프로토콜 전체 기능을 긴급히 일시중단(pause)했다. 이 조치로 정상 이용자들의 거래도 일시적으로 막혔지만, 공격자의 추가 행동을 원천 차단하고 상황을 수습할 시간을 확보하는 효과를 거뒀다. 팀은 커뮤니티에 상황을 신속히 공지하며 투명한 대응 방침을 밝혔다. 보안업계는 이러한 신속한 일시중단 결정이 피해 확산을 막은 핵심 요인이었다고 평가했다. 프로토콜 자체 스마트컨트랙트 코드에는 결함이 없다는 점도 함께 확인됐다.

비너스 커뮤니티는 공격자의 담보 포지션을 강제로 청산(liquidation)하는 긴급 거버넌스 제안을 신속히 발의하고 표결에 부쳤다. 제안은 짧은 시간 안에 압도적 찬성으로 통과됐으며, 이를 통해 공격자가 확보하려던 자산을 프로토콜이 선제적으로 회수할 수 있는 법적·기술적 근거가 마련됐다. 보안업체 헥사게이트와 커뮤니티의 신속한 공조가 이 과정에서 결정적 역할을 했다는 평가가 나왔다. 이는 탈중앙화 거버넌스가 실시간 보안 위협에도 신속히 대응할 수 있음을 보여준 사례로 주목받았다. 강제청산 조치는 곧바로 실행에 옮겨졌다.

비너스 프로토콜은 9월 3일 공격 발생 약 13시간 만에 위험에 노출됐던 자산 1350만 달러를 전액 회수하고 프로토콜 정상 운영을 재개했다고 발표했다. 강제청산과 거버넌스 조치가 성공적으로 작동하며 이용자들의 자산 피해가 실질적으로 발생하지 않은 채 사고가 마무리됐다. 팀은 재발 방지를 위해 위임 권한 관련 보안 정책을 재검토하겠다고 밝혔다. 이번 사례는 디파이 업계에서 신속한 거버넌스 대응이 실제 피해를 막아낸 성공 사례로 폭넓게 보도됐다. 프로토콜의 락드 자산(TVL)도 사고 이후 빠르게 안정을 되찾았다.

비너스 거버넌스는 추가로 공격자가 여전히 보유하고 있던 약 300만 달러 상당의 자산을 동결하는 조치를 의결했다. 이로써 공격자는 애초 노렸던 이익을 전혀 챙기지 못했을 뿐 아니라 자신이 담보로 걸어뒀던 자산까지 잃는 결과를 맞았다. 커뮤니티에서는 이번 대응을 두고 '공격자가 수익은커녕 손해를 본 보기 드문 사례'라는 평가가 이어졌다. 이 소식은 디파이 보안 커뮤니티에서 성공적인 대응 모범 사례로 널리 공유됐다. 다만 개인 이용자 대상 피싱 위협 자체는 근본적으로 해결되지 않았다는 우려도 함께 제기됐다.

비너스 프로토콜 팀은 9월 5일 이번 사고의 전체 경위를 담은 '피싱 사고 사후분석(Post-Incident Analysis)' 보고서를 공식 발표했다. 보고서는 공격이 프로토콜 코드 결함이 아니라 개인 이용자를 노린 표적형 소셜엔지니어링에서 비롯됐다는 점을 명확히 했다. 팀은 향후 위임 권한 승인 과정에 추가 보안 경고와 확인 절차를 도입하겠다고 밝혔다. 보안업체들은 이번 사고를 계기로 디파이 이용자들에게 알 수 없는 소프트웨어 설치와 서명 요청에 대한 경각심을 당부했다. 이번 보고서 발표로 사건은 공식적으로 마무리됐다.