458억에서 357억으로 수백억의 자금이 에이브(Aave)에서 빠져나갔습니다! DeFi 대출 리더가 곧 무너질까요? rsETH 공격에 대한 심층 분석!

원저자：加密播客

원본 소스：https://www.youtube.com/embed/uXU1EDWDKLE

2026년 4월 18일 이른 아침, KelpDAO의 LayerZero 크로스체인 브리지가 공격을 받았습니다. 공격자는 메시지 계층 구성 결함을 악용하여 약 116,500 rsETH(약 2억 9200만 달러 상당)를 불법적으로 발행하고 이러한 위조 토큰을 Aave V3에 담보로 예치한 후 대량의 WETH를 빌린 후 rsETH의 일부를 직접 판매했습니다. KelpDAO는 공격 후 46분 만에 다중 서명 계약을 긴급 중단하고 관련 유동성 풀과 토큰을 동결하여 추가 손실을 방지했습니다. 그러나 발생한 피해는 되돌릴 수 없었습니다. 공격자는 약 25억 달러 상당의 총 약 106,466 ETH를 획득했습니다. 문제의 핵심은 KelpDAO가 rsETH 계약을 중단한 후 Aave의 담보인 rsETH를 거래하고 가격을 책정할 수 없게 되어 관련 차용 포지션이 효과적으로 청산되지 않고 손실이 본질적으로 Aave의 WETH 준비금으로 이전된다는 것입니다. 시장 추산에 따르면 Aave가 직면한 부실 부채 규모는 해결 방법에 따라 약 1억 7,700만 달러에서 2억 달러에 이릅니다. DefiLlama 창립자 0xngmi는 세 가지 가능한 처분 경로를 제시했습니다. 첫째, 사회화된 손실 공유, 사용자가 손상의 약 18.5%를 부담하고 보험 및 재무 보장 후 약 7,600만 달러의 격차가 여전히 있습니다. 둘째, 2차 계층 네트워크에서 rsETH 보유자의 "Rug Pull" 처리로 인해 미화 3억 4100만 달러에 달하는 악성 부채가 발생할 수 있습니다. 셋째, 공격 전 스냅샷에 따라 자산을 반환하며, 보험 적용 이후에도 여전히 약 9,100만 달러의 손실이 있습니다. Aave의 보안 모듈은 AAVE 토큰으로 약 3억 달러를 보유하고 있으며 이는 최후의 수단으로 사용할 수 있지만 이를 사용하면 토큰이 직접 줄어들어 거버넌스 토큰에 대한 판매 압력과 합의 희석이 발생할 수 있습니다. 패닉은 빠르게 확산되었고 자금은 Aave에서 계속 유출되었습니다. 초기 유출규모는 약 54억~66억 달러였다. 4월 20일까지 누적 유출액은 101억 달러에 이르렀고, 총 예금은 458억 달러에서 357억 달러로 급감했으며, 이 중 스테이블코인 유출액은 45억 달러에 달했다. 4월 19일 하루에만 약 66억 달러가 인출됐다. 이 속도는 DeFi 대출 역사상 극히 드뭅니다. 결과적으로 스테이블코인 유동성 풀은 매우 부족했습니다. 사건 이후 USDT와 USDC의 예금 금리는 13.4%까지 급등해 24시간 이상 유지됐다. 한때 대출 금리는 15%까지 치솟았는데, 이는 심각한 유동성 고갈을 경고하는 프로토콜과 맞먹는 수준이다. 대출 가능한 스테이블코인 자본은 거의 고갈됐고, 초고금리에만 의존해 신규 예금을 유치할 수 있었다. AAVE 토큰은 24시간 만에 18% 이상 하락했으며, 프로토콜 TVL은 약 263억9천600만 달러에서 약 198억 달러로 하락했습니다. 토큰 가격 하락과 악성 부채 압력은 부정적인 순환을 형성합니다. 보안 모듈을 강제로 사용해야 하는 경우 AAVE 토큰 감소로 인해 가격이 더욱 억제되고 보호 기능이 약화됩니다. 이번 위기는 Aave에만 국한되지 않습니다. 업계의 모든 주요 대출 프로토콜은 순 자금 유출을 경험했습니다. Morpho는 미화 7억 1,600만 달러, Sky는 미화 2억 7,200만 달러, JupLend는 미화 7,600만 달러를 유출했으며 전체 DeFi TVL은 거의 미화 100억 달러 증발했습니다. 중요한 노드의 장애는 전체 시스템의 견고성에 대한 신뢰의 위기를 촉발시켰습니다. 동시에 자금이 다른 프로토콜로 이전되기 시작했습니다. 스파크는 ETH 예금 금리가 130%까지 치솟았고 사건 발생 48시간 후에도 여전히 18% 정도를 유지하면서 가장 큰 승자가 되었습니다. Spark는 1월 초에 담보 목록에서 RSETH를 제거하고 높은 최대 차입 금리를 유지했습니다. 이러한 미래지향적인 위험 관리로 인해 이번 위기 상황에서 "안티프래질"이 발생했습니다. 유명 투자자인 저스틴 선(Justin Sun)도 급히 Aave에서 65,584 ETH(약 1억 5400만 달러)를 인출해 대부분을 스파크에 예치해 경쟁사 혜택을 더욱 증폭시켰다. 더 깊이 살펴보면, 이 사건은 DeFi의 두 가지 구조적 취약점, 즉 크로스체인 브리지의 보안과 LRT(Liquidity Re-pledge Tokens)의 위험 전달 메커니즘을 드러냈습니다. 크로스체인 브리지는 여러 차례 공격의 표적이 되었으며 이번에는 LayerZero 메시지 계층 구성 결함으로 인해 이러한 위험 노출이 다시 한번 확인되었습니다. LRT는 복잡한 다층 파생상품이기 때문에 기본 재약정 전략의 허점이나 오라클 가격 책정 실패는 대출 계약을 통해 시스템적 위기로 증폭됩니다. Aave가 채택한 통합 유동성 모델은 자본 효율성을 향상시키지만 위험 집중 효과도 가져옵니다. 위험 신호가 발생하면 모든 합리적인 사용자를 위한 최선의 선택은 즉시 종료하는 것이며 이는 정확하게 유동성 위기의 발생을 가속화합니다. 또한 취약점을 악용하는 능력이 약 1.3개월마다 두 배로 증가하고 있다는 연구 결과를 통해 AI 기반 공격이 가속화되고 있으며, AI 보안 에이전트는 스마트 계약 취약점을 발견하는 데 이미 표준 코드 에이전트보다 뛰어납니다. 이는 방어 기술이 가능한 한 빨리 따라잡아야 함을 의미합니다. 투자자의 경우 단기적으로 부실채권 처리 계획 선택, Umbrella 보안 모듈 사용 방법, Aave의 시장 활용 지표 및 AAVE 토큰의 가격 추세에 주의를 기울여야 합니다. 중기적으로 DeFi 대출 프로토콜의 위험 프리미엄은 가격 조정에 직면하고 담보 검토 표준이 강화되며 크로스체인 브리지 및 재담보 프로젝트에 대한 감사 요구 사항이 증가하고 격리 대출 및 모듈식 아키텍처에 대한 사용자 수요가 증가할 수 있으며 프로토콜 보험 및 위험 준비금 설계도 새로운 경쟁 차원이 될 것입니다. 프로토콜 종속성 그래프, 담보 품질 평가, 비상 탈출 계획, 다중 프로토콜 분산 구성을 포함한 체계적인 위험 관리 프레임워크를 구축하는 것은 DeFi 참가자에게 필수 과정이 될 것입니다. 이번 사건은 DeFi 하위 계층에 대한 극심한 스트레스 테스트였습니다. Aave의 핵심 스마트 계약이 직접적으로 위반되지는 않았으며, 보안 모듈에 대한 실제 전투 테스트가 진행 중이지만 신뢰 회복에는 시간이 걸릴 것입니다. DefiLlama의 창립자는 "이런 종류의 사건에서는 누구도 승리할 수 없습니다. 전체 산업의 '케이크'를 축소시킬 뿐이며 모두가 고통을 받게 될 것입니다."라고 말했습니다. 미래의 DeFi 생태계는 보안과 효율성 사이에서 새로운 균형을 찾을 것입니다.