3월 15일, 공격자들이 BNB 체인 대출 플랫폼인 비너스 프로토콜을 플래시 론(Flash Loan) 공격으로 의심되는 방식으로 노렸습니다. 이로 인해 약 370만 달러 상당의 디지털 자산이 탈취되었습니다.
이번 유출 사건은 1년이 채 지나지 않아 두 번째로 발생한 주요 보안 실패입니다. 한때 탈중앙화 금융(DeFi)의 정점에 있었던 플랫폼의 평판에 또다시 큰 타격을 주었습니다.
비너스, 플랫폼 ‘이상 활동’ 확인
온체인 데이터를 분석한 보안 연구원들은 0x1a35…6231로 시작되는 특정 공격자 주소를 확인했습니다. 이 공격자는 세나(Thena) 거래소의 네이티브 토큰인 THE로 대규모 포지션을 활용해 순차적으로 프로토콜의 유동성을 빼냈습니다.
공격자는 THE를 담보로 활용해 약 20 비트코인(BTCB), 150만 개의 CAKE, 그리고 200 BNB를 성공적으로 인출했습니다.
실제 디파이(DeFi) 사용자들은 플래시 론을 통해 선제 담보 없이 수백만 달러를 대출받곤 합니다. 이 논란이 많지만 대중적인 도구는 단일 트랜잭션 블록 내에 전체 부채를 상환해야 한다는 규칙이 있습니다.
개발자들은 이러한 플래시 론을 유동성 효율성을 높이기 위해 설계했습니다. 하지만 해커들은 이 수단을 자주 무기로 사용하여 얇은 유동성 풀이나 오라클 가격을 조작합니다.
이번 사례에서, 공격자는 THE의 시세를 악용하여 프로토콜이 회수하기 어려운 더 가치 높은 자산을 빌린 것으로 보입니다.
비너스는 X(구 트위터)에서 “이상 활동”을 확인한다고 밝혔습니다. 현재 조사가 THE와 CAKE 마켓에 집중되고 있다고 밝혔습니다.
“조사 진행에 따라 지속적으로 소식을 전하겠습니다. 여러분의 인내와 응원에 감사드립니다.”라고 덧붙였습니다.
이번 사건은 권한이 없는 대출에서 나타나는 “담보 전이(cross-collateral contagion)” 위험을 여실히 보여줍니다. 2020년에 출시된 비너스는 아비트럼과 이더리움 등 네트워크로 확장되었지만 총예치량(TVL)이 최고치였던 70억 달러에서 약 14억 7천만 달러로 급감했습니다.
이러한 감소는 연이은 시장 침체와 지난해 1,300만 달러 피싱 공격에 따른 영향입니다.
이미 해커들이 2026년에 암호화폐 프로토콜에서 4억 달러 이상의 자금을 유출하고 있어, 이번 비너스 공격은 핵심 인프라 보안이라는 더 넓은 생태계의 구조적 문제임을 드러냅니다.
