리엔 파이낸스, 허가 없는 채권 등록 악용돼 54만 달러 USDC 탈취

이더리움 기반 구조화 상품 프로토콜 리엔 파이낸스(Lien Finance)가 7월 24일(현지시각) 해킹당해 약 54만2144달러 상당의 USDC(스테이블코인)를 잃었다. 공격자는 프로토콜의 채권-ERC20 교환 풀인 제너럴라이즈드닷씨(GeneralizedDotc)에서 가격을 조작해 실제 담보 가치가 없는 채권 토큰을 만들어낸 뒤 이를 USDC로 바꿔 빼갔다. 사건은 온체인 모니터링 계정 디파이몬얼러츠(DefiAlerts)가 처음 포착했고, 보안 연구자 엑스불섹(exvulsec)이 이를 확산시켰다. 블록체인 보안업체 슬로우미스트(SlowMist)도 별도 분석을 내놓으며 공격자 지갑과 피해 규모를 특정했다. 리엔 파이낸스 토큰은 비트바보(Bitvavo)·바이비트(Bybit) 등 거래소에서 거래되고 있다.

허가 없이 등록된 가짜 채권, 어떻게 자금을 빼갔나

온체인 추적에 따르면 공격자는 리엔의 ‘허가 없는(permissionless)’ 채권 등록 절차를 악용했다. 먼저 0xe74…8062e 주소에 오케스트레이션(중개) 컨트랙트를 배포한 뒤, 본드메이커콜래터럴라이즈드이스(BondMakerCollateralizedEth) 컨트랙트에 악의적으로 설계된 페이오프(수익 지급) 함수를 넣어 새 채권 그룹을 등록했다. 이 등록 절차는 거버넌스(운영 주체) 승인 없이 누구나 접근할 수 있게 열려 있었다. 그 결과 공격자는 실제 담보 가치를 전혀 반영하지 않는 채권 그룹을 시스템에 밀어넣을 수 있었다.

엑스불섹은 자사 계정을 통해 “공격자는 조작된 채권 그룹을 등록한 뒤 새로 발행한 채권 토큰을 풀 유동성과 교환하는 방식으로 가격을 조작한 것으로 보인다”고 밝혔다. 새로 발행된 채권 토큰은 곧바로 제너럴라이즈드닷씨 OTC(장외거래) 풀로 흘러들어갔다. 문제는 내부 가격 계산 함수인 _calcRateBondToErc20에서 발생했다. 이 함수가 조작된 채권을 실제 담보 가치보다 훨씬 높게 평가해, 거의 가치가 없는 토큰을 정상적인 구조화 상품처럼 취급하며 전액에 가까운 USDC를 내준 것이다. 이 교환으로 유동성 공급자 0xA961…14d80가 부여한 승인(allowance)을 기반으로 형성된 풀 유동성에서 약 54만2144달러가 빠져나갔다. 주요 피해 풀은 0x656e..9ef18 주소의 제너럴라이즈드닷씨 컨트랙트였고, 탈취한 자금 전액은 공격자 지갑 0x0D7d…1808a로 흘러들어갔다.

슬로우미스트가 짚은 근본 원인…예외 처리 로직 허점

슬로우미스트는 이번 사건의 근본 원인을 BondMakerCollateralizedEth 컨트랙트의 exchangeEquivalentBonds 함수에서 찾았다. 이 함수는 채권 그룹을 교환할 때 각 채권 아이디(bondID)가 그룹별로 정확한 횟수만큼 등장하는지 검증해야 하는데, 실제로는 예외 항목의 총 개수만 세는 데 그쳤다는 것이다. 공격자는 이 허점을 이용해 출력 그룹에 같은 예외 채권 아이디를 반복 입력, 예외 카운트를 두 번 소진시켜 입력값에서 누락된 다른 필수 채권을 가렸다.

슬로우미스트는 “공격자는 대응하는 담보를 소각하지 않고도 유효한 것처럼 보이는 새 본드토큰(BondToken)을 발행할 수 있었다”고 설명했다. 새로 만들어진 토큰은 사전 승인된 세 개의 엔드포인트를 거쳐 USDC로 교환됐고, 피해 주소 0xa961684a3a654fb2cca8f8991226c0cefc514d80에서 약 54만2144.63달러가 빠져나갔다. 슬로우미스트는 취약점이 있는 컨트랙트로 0xda6fc5625e617bb92f5359921d43321cebc6bef0, 0x843225cf6e663e4454732d6b551a737ac7b47de0 두 곳을 지목했고, 공격자 지갑을 0x0d7d9023531ad1a88414e216ee2715f63561808a로 특정했다.

7월 한 달간 디파이 손실 6억 달러 넘어…가격 조작이 핵심 취약점

크립토타임스(CryptoTimes) 보도에 따르면 7월 한 달간 디파이(DeFi, 탈중앙화 금융) 분야에서 발생한 손실 규모는 이미 6억3000만 달러를 넘어섰다. 오라클(가격 정보 제공 시스템)과 가격 조작이 이 시기 가장 두드러진 공격 경로로 지목됐다. 리엔 파이낸스 사건 역시 프로토콜 내부 가격 계산과 채권 검증 로직의 허점을 파고든 사례로, 이런 흐름과 맥락을 같이한다.

크립토뉴스(crypto.news)는 이번 사건을 두고 “이달 잇따른 디파이 해킹 사례에 하나를 더한 것”이라며 보안 연구자들이 프로토콜의 가격 산정과 검증 로직의 약점을 계속 들여다보고 있다고 전했다. 허가 없이 누구나 새로운 자산이나 가격 데이터를 등록할 수 있게 설계된 구조 자체가, 악의적인 경제적 데이터를 주입할 통로로 악용될 수 있다는 우려도 나온다.

남은 과제…허가 없는 등록 구조의 딜레마

리엔 파이낸스처럼 누구나 새로운 채권이나 자산을 등록할 수 있게 설계된 ‘허가 없는(permissionless)’ 구조는 탈중앙화 금융의 핵심 특징이지만, 동시에 검증 로직에 허점이 하나만 있어도 전체 풀 유동성이 노출되는 위험 요인이 되고 있다. 이번 사건은 등록 단계의 승인 부재와 교환 단계의 검증 부실이 겹치며 발생했다는 점에서, 단일 함수 수정만으로 해결되기 어려운 구조적 문제로 지적된다.

현재까지 리엔 파이낸스 측의 공식 대응이나 자금 동결·복구 계획은 소스에서 확인되지 않는다. 다만 온체인 모니터링 업체와 슬로우미스트 등 보안 업계가 공격 경로와 취약 컨트랙트 주소를 신속히 공개한 만큼, 다른 디파이 프로토콜들도 유사한 채권 발행·교환 로직을 점검할 필요성이 커졌다는 평가가 나온다.