Tokenpost가 Protos를 인용해 보도한 내용에 따르면, Hedera(HBAR) 네트워크의 대출 프로토콜 Bonzo Lend가 주말 사이 공격을 받아 약 900만 달러의 손실을 입었습니다. 보도에 따르면 공격자는 오라클 시세 결함을 악용해 담보 자산을 비정상적으로 고평가하고, 이를 통해 실제 가치를 훨씬 웃도는 자금을 대출받았습니다. 보도는 이어서 문제의 원인이 인프라 서비스 제공업체인 Supra Network가 제공하는 오라클에 있다고 지적했습니다. Supra는 최근 여러 체인의 오라클을 패치했지만, Hedera 상의 컨트랙트는 이번 패치에서 누락되었으며 결국 공격 대상이 되었다고 보도되었습니다.
한 가지 짚어둘 점이 있습니다. 위 금액과 “여러 체인 패치 과정에서 Hedera가 누락되었다”는 인과관계는 현재 언론의 2차 보도에 기반한 것이며, 저희는 Bonzo Lend나 Supra 측의 공식 사후 성명이나 감사 보고서를 아직 확인하지 못했습니다. 독자 여러분은 구체적인 수치를 인용할 때 “언론 보도에 따르면”이라는 단서를 함께 표기하시기 바랍니다.
편집 해설: 이번 뉴스는 여러분의 U카드와 큰 관련이 없지만 살펴볼 가치는 있습니다
오해를 피하기 위해 먼저 결론부터 말씀드립니다. 이번에 공격받은 것은 온체인 대출 프로토콜이며, 발급기관도 스테이블코인 자체도 아닙니다. 여러분의 USDT가 거래소나 커스터디형 U카드 계정, 예를 들어 Bybit Card, MPCard, OKX Card에 보관되어 있다면 이번 사건은 여러분의 잔액에 직접적인 영향을 주지 않습니다. 여러분의 자금은 Bonzo Lend에 예치된 적이 없으며, Hedera 상에서 문제가 발생한 그 오라클을 거치지도 않았습니다.
정말로 재점검이 필요한 사람은 다른 부류입니다. 카드 충전에 쓸 자금을 이자 수익을 위해 일시적으로 DeFi 대출 프로토콜에 예치해 두었다가, 필요할 때 인출해서 카드에 충전하는 사용자들입니다. 이런 방식은 강세장에서 흔히 볼 수 있습니다. USDT를 어떤 프로토콜에 예치해 연 5~10% 수익을 받고, 카드 충전 전에 다시 인출하는 방식이지요. 이번 사건이 상기시키는 것은 바로 이 흐름 속의 숨은 리스크입니다. 이자를 벌고 있다고 생각하지만 실제로는 프로토콜의 스마트 컨트랙트 리스크와 오라클 리스크를 함께 짊어지고 있는 것이며, 이 두 리스크가 한번 터지면 손실은 대개 원금 규모에 달하고, 그동안 얻은 이자 수익을 훨씬 초과합니다.
- 7일 이내: 카드 충전용 자금을 소규모 또는 신규 출시 대출 프로토콜에 넣어 두었다면, 해당 프로토콜이 어떤 오라클을 사용하는지, 감사를 완료했는지 확인하고 필요하다면 먼저 인출하는 것을 권장합니다.
- 30일 이내: Supra Network가 이번 사건에 대해 공식 성명이나 보상 방안을 발표하는지 지켜보세요. 현재 Supra 공식 사이트에는 제품 소개만 있을 뿐, 이번 사건에 대한 공지는 아직 없습니다.
- 90일 이내: 이런 사건은 대개 오라클 서비스 제공업체가 전체 체인에 대한 재점검을 하도록 이끕니다. 단기적으로 Hedera 생태계의 DeFi 활동이 위축될 수 있지만, 중앙화된 카드 발급 채널로 전이되지는 않습니다.
과거 사례 비교: 오라클 조작은 새로운 각본이 아닙니다
오라클이 조작되어 대출 프로토콜이 과다 대출을 실행하는 것은 DeFi에서 반복적으로 나타나는 공격 패턴이며, 이번이 처음은 아닙니다.
가장 널리 알려진 공개 사례는 2022년 10월 Mango Markets 사건입니다. 공격자는 MNGO 토큰의 오라클 시세를 조작해 담보 가치를 끌어올린 뒤 프로토콜의 자금 풀을 대출로 비워냈고, 손실 규모는 널리 약 1억 달러 수준으로 보도되었습니다(구체적인 수치는 매체마다 차이가 있으며, 여기서는 공개 보도 기준을 따른 것으로 본 사이트가 독자적으로 산정한 수치가 아닙니다).
- 공통점: 핵심 공격 로직은 동일합니다. 담보가 인위적으로 고평가되고, 공격자는 실제 가치를 훨씬 초과하는 자금을 대출받습니다.
- 차이점: Mango 사건은 저유동성 토큰의 현물 가격을 조작한 것이었지만, 이번 사건은 보도에 따르면 오라클 서비스 제공업체의 컨트랙트 레벨 취약점(한 체인의 패치 누락)으로, 시장 조작이라기보다 인프라 결함에 가까운 성격입니다.
U카드 사용자에게 두 사건이 전하는 메시지는 동일합니다. 수익형 DeFi 프로토콜의 자금 안전성과, 여러분이 카드 충전에 일상적으로 사용하는 커스터디 계정은 완전히 다른 신뢰 모델입니다. 둘 다 “USDT”라는 이름이 붙었다고 해서 리스크를 동일시해서는 안 됩니다.
규제 관점: 스테이블코인이나 발급기관의 문제가 아닙니다
흔한 오해 하나를 정리할 필요가 있습니다. 오라클 취약점은 스마트 컨트랙트 차원의 기술적 결함이며, USDT 자체의 합법성이나 발급기관의 라이선스 보유 상태와는 무관합니다. 이번 사건이 스테이블코인 카드를 겨냥한 규제 조치로 이어지지는 않습니다.
아시아·태평양 지역의 규제 환경에 관심이 있는 독자라면 저희의 홍콩 컴플라이언스 가이드와 싱가포르 컴플라이언스 가이드를 참고하시기 바랍니다. 두 지역 모두 스테이블코인과 가상자산 서비스 제공업체에 대해 비교적 명확한 라이선스 체계를 갖추고 있으며, 커스터디형 U카드는 이러한 체계 안에서 운영됩니다. 익명의 온체인 대출 프로토콜과는 완전히 다른 규제 경로에 있습니다.
현재 경계는 대략 다음과 같습니다.
| 시나리오 | 규제 상태 |
|---|---|
| 라이선스 보유 기관이 발행하는 커스터디형 U카드 | 대부분의 아시아·태평양 관할권에서 명확한 체계 존재 |
| 중앙화 거래소 카드(Bybit, OKX 등) | 관할권에 따라 회색지대부터 명확한 허가까지 다양 |
| 감사받지 않은 온체인 대출 프로토콜 | 규제 안전망 없음, 리스크는 이용자 부담 |
앞으로 지켜볼 지점
- Bonzo Lend / Supra의 공식 성명: 완전한 사후 분석(post-mortem)과 취약점의 기술적 세부사항이 공개될지 여부. 발행 시점 기준 아직 없습니다.
- 보상 또는 재단 자금 보전 방안 여부: DeFi 프로토콜이 탈취 사건 이후 사용자에게 보상을 하는지 여부는 대개 그 프로토콜의 존속 여부를 결정합니다.
- Supra의 나머지 연동 체인에 대한 재점검 결과: 이번 보도에서 언급된 “Hedera 누락”이 고립된 사건인지 여부는 Supra 측의 공식 확인이 필요합니다.
- Hedera 생태계 TVL 변화: 이번 사건의 파급 정도를 가늠할 수 있는 관찰 지표가 될 수 있습니다.
편집부 제안
- 커스터디형 U카드(Bybit, MPCard, OKX 등) 보유자: 별도 조치 불필요. 여러분의 잔액은 이번 사건과 무관합니다.
- 카드 충전용 자금을 DeFi 프로토콜에 예치해 이자를 받는 사용자: 해당 프로토콜이 사용하는 오라클과 감사 여부를 확인하고, 신규 출시이거나 TVL이 작은 프로토콜에는 경계심을 유지하세요. 카드 충전용 자금은 커스터디 계정에 우선적으로 보관하거나 필요할 때만 인출하고, 몇 퍼센트 포인트의 연이율을 위해 원금 규모의 리스크를 감수하지 마세요.
- 아시아·태평양 지역에서 장기적으로 U카드를 사용하려는 사용자: 라이선스와 커스터디 경로를 우선 확인하시고, Bybit Card 리뷰와 MPCard 리뷰를 참고해 “결제가 되는지”와 “자금을 어디에 두는 것이 더 안전한지”를 별개로 평가하시기 바랍니다.
- 하지 말아야 할 것: 이번 뉴스로 인해 USDT나 HBAR를 공황 매도하지 마세요. 이번 사건의 영향은 단일 대출 프로토콜에 국한되며, 스테이블코인의 지급 능력이나 카드 발급 채널과는 직접적인 연관이 없습니다.
(본 기사에서 다루는 모든 금액 및 인과관계 관련 서술은 언론의 2차 보도에 기반한 것이며, 공식 성명이 나오는 대로 본 페이지를 업데이트하겠습니다.)