모어마켓, 플로우 EVM에서 930만달러 대출 준비금 털렸다…앤크르 LST와 이모드 악용

디파이(분산형 금융) 대출 프로토콜 모어마켓(More Markets)이 플로우 EVM(Flow EVM)에서 대출 준비금을 털렸다. 블록체인 보안업체 블록에이드(Blockaid)는 8월31일(현지시각) 월요일 이 같은 사실을 공개하며 피해 규모를 약 930만달러(약 128억원)로 추정했다. 공격자는 앤크르 스테이크드 플로우(ankrFLOW)라는 유동성 스테이킹 토큰과 이(E)모드라는 대출 한도 확대 기능을 함께 활용해 mFlowWFLOW 준비금에서 약 1550만개의 랩드플로우(WFLOW)를 빼냈다. 모어마켓은 사건 발생과 이용자 손실 여부를 공개적으로 확인하지 않았다. 이번 사건으로 8월 한 달 크립토 해킹 피해 규모는 1억3970만달러(약 1925억원)까지 늘었다.

블록에이드가 짚은 공격 경로: 앤크르 LST와 E모드

블록에이드가 8월31일(현지시각) 엑스(X)에 공개한 온체인 데이터에 따르면, 공격자는 mFlowWFLOW 준비금에서 약 1550만개의 WFLOW를 빼냈다. 블록에이드는 이 자산 가치를 약 930만달러로 추산했다.

블록에이드는 공격자가 앤크르(Ankr)의 유동성 스테이킹 토큰인 ankrFLOW를 이모드와 함께 사용해 준비금에서 과다 대출을 일으켰다고 설명했다. 이모드는 에이브(Aave) V3에 도입된 기능으로, 유동성 스테이킹 토큰과 그 기초자산처럼 가격이 함께 움직일 것으로 예상되는 자산 조합에 더 높은 대출 한도를 부여한다.

크립토뉴스(crypto.news)에 따르면 모어마켓은 에이브 V3 구조를 기반으로 모어랩스(More Labs)가 개발한 비수탁형(noncustodial) 대출 프로토콜로, 플로우 EVM에 배포됐다. 공개된 저장소에는 9개 대출 시장이 등록돼 있으며, 이용자는 자산을 예치해 이자를 받거나 담보를 맡기고 대출을 받을 수 있고 담보 비율이 기준 아래로 떨어지면 청산된다. 프로토콜 내에서 WFLOW는 담보인정비율(LTV) 81.5%, 청산 기준 83%로 설정돼 있고, ankrFLOW는 LTV 78.5%, 청산 기준 81%로 등록돼 있다.

블록에이드는 공격 거래, 컨트랙트 배포 거래, 탈취 이후 자금 이동에 쓰인 거래 묶음을 공개했다. 다만 930만달러는 블록에이드가 밝힌 “탐지된 영향(detected impact)” 규모로, 최종 피해액은 추가 조사가 이어지는 대로 확정될 예정이라고 설명했다.

모어마켓·앤크르·플로우, 어느 쪽 책임인지는 아직 불투명

블록에이드는 앤크르나 플로우 블록체인 자체가 침해됐다고는 밝히지 않았다. 최초 공개 내용은 공격자가 활용한 요소로 앤크르의 유동성 스테이킹 토큰과 모어마켓의 이모드 메커니즘만 지목했다. 문제가 모어마켓의 구현 방식, 앤크르 자산을 대출 프로토콜 안에서 처리하는 방식, 가격 산정 로직, 혹은 두 요소의 상호작용 중 어디서 시작됐는지는 밝히지 않았다.

앤크르 측 문서에 따르면 ankrFLOW는 이용자가 앤크르 스테이킹 서비스를 통해 FLOW를 스테이킹할 때 발행되는 보상형 유동성 스테이킹 토큰이다. 스테이킹 보상이 쌓일수록 FLOW 대비 가치가 오르는 구조이며, 보유한 ankrFLOW 개수 자체는 변하지 않는다. 앤크르는 플로우 EVM에 ankrFLOW 토큰, 스테이킹 풀, 스테이킹 설정, 비율 피드용 컨트랙트를 각각 별도로 두고 있으며, 플로우의 케이던스(Cadence)와 EVM용 유동성 스테이킹 컨트랙트는 보안업체 할본(Halborn)의 외부 감사를 거쳤다고 밝혔다.

플로우 EVM은 플로우 네트워크 위에서 이더리움 가상머신(EVM) 호환 환경을 제공하는 구조로, 모어마켓의 대출 컨트랙트도 이 환경에서 작동한다. 플로우는 자체 커뮤니티 리워드 프로그램을 통해 모어마켓과 앤크르의 스테이킹 상품을 모두 생태계 이용 대상으로 홍보해온 것으로 전해졌다.

모어마켓은 코인텔레그래프(Cointelegraph) 보도 시점까지 사건을 공개적으로 확인하지 않았고 이용자 손실 여부도 밝히지 않았다. 코인텔레그래프는 블록에이드에 추가 설명을 요청했으나 답변을 받지 못했고, 모어마켓 측과도 연락이 닿지 않았다고 전했다.

8월 크립토 해킹 피해 1925억원…크로노스도 하루 전 셧다운

디파이라마(DefiLlama) 집계에 따르면 8월 한 달간 크립토 해킹 피해 총액은 1억3970만달러(약 1925억원)로, 2026년 들어 월간 기준 세 번째로 큰 규모다. 다만 7월 피해액 2억5400만달러(약 3500억원)보다는 줄어든 수치다.

모어마켓 사건 하루 전인 8월30일(현지시각) 일요일에는 크로노스(Cronos)가 대출 프로토콜 텍토닉(Tectonic)을 겨냥한 공격 이후 블록체인 가동을 멈췄다. 텍토닉 피해 규모는 약 7500만달러(약 1034억원)로 추정됐으나, 프로토콜 측이 정확한 금액을 확인하지는 않았다.

플로우 네트워크 자체는 무관…작년말 발생한 별개 사고와 비교

크립토뉴스는 이번 사고가 플로우 EVM 위에서 돌아가는 애플리케이션을 겨냥한 공격이며, 블록에이드의 초기 공개 내용에는 플로우 블록체인 자체가 침해됐다는 정황이 없다고 짚었다. 이는 지난해(2025년) 12월27일(현지시각) 발생한 별개의 사고와 대비되는 지점이다. 당시 공격자는 플로우의 케이던스 실행 계층 취약점을 악용해 대체가능토큰(fungible token)을 복제해 약 390만달러 상당을 빼냈다.

플로우 재단이 내놓은 사후 보고서에 따르면 당시 공격자는 40개 이상의 악성 스마트컨트랙트를 순차적으로 배포했다. 케이던스 런타임 1.8.8 버전의 결함으로, 복제가 불가능해야 할 보호 자산이 일반 데이터 구조로 위장돼 복제될 수 있었다. 이 과정에서 10억개 이상의 위조 FLOW 토큰이 중앙화 거래소로 전송됐다.

모어마켓 사고는 이 과거 사고와는 별개의 애플리케이션 계층 공격으로 파악된다. 다만 같은 네트워크에서 보안 사고가 반복된 만큼, 모어마켓의 공식 확인과 블록에이드의 후속 조사 결과가 아직 나오지 않았다.