테임 랩스의 8.5M 달러의 손실: 감사된 코드, 관리되지 않는 저장소들

8월 23일에 Term Labs의 고정금리 자산이 전부 털어져 나간 이 문제는, Tornado Cash를 통해 2ETH가 도난당하는 것으로 시작되었으며, 결국 0xD5183이라는 주소에 약 2,843ETH와 1.6백만 DAI가 저장된 것으로 밝혀졌습니다. 자금 조달 방식은 체인상에 기록된 정보이므로 확실한 사실입니다. 그 외의 모든 것들—“850만 달러”나 “거버넌스 취약점”, 복구 과정 등은 추정된 내용이거나 아직 조사 중인 상황입니다. 이 두 가지 범주 사이의 차이가 바로 유용한 정보가 존재하는 곳입니다.

숫자부터 시작하는 것이 좋습니다. 왜냐하면 그 숫자가 기사의 가장 중요한 부분이기 때문입니다. 8.5백만 달러라는 수치는 보안 회사의 추정치일 뿐, 공식적인 확인된 수치는 아닙니다. CertiK은 이 사건을 ‘거버넌스 공격’으로 분류했으며, 손실액은 약 8.5백만 달러에 달합니다. PeckShield의 분석에 따르면 손실액은 2,843 ETH입니다.경보가 발령될 때 약 6.87백만 달러에 평가되었습니다.또한 168만 USDC도 있습니다. 현재의 가격을 고려해 계산해보면, 에테르의 가치가 약 2,420달러라면, 2,843ETH는 약 6,900만 달러에 해당합니다. 그리고 스테이블코인의 금액은 나머지 부분을 구성합니다. 따라서 이 수치는 타당합니다. 하지만 이는 타임스탬프가 표시된 영수증일 뿐이며, 타임스탬프는 이미 변경되었습니다. 악용 이후 월렛을 확인했을 때, 월렛에는 USDC가 아니라 DAI가 있었습니다. 초기 보고서에서는 “160만 DAI”라고 했고, 다른 보고서에서는 “168만 USDC”라고 했습니다. 하지만 체인은 결국 금고가 USDC로 비워졌으며, 0xD5183이 DAI로 교환된 것임을 결론 내렸습니다. 이는 타임스탬프의 차이일 뿐, 의심할 만한 사실은 아닙니다. PeckShield는 가격, 수수료, 그리고 그 후의 전송으로 인해 추정치가 변한다고 지적합니다. 즉, 진짜 금액은 누군가가 월렛을 동결하거나 회수했을 때 월렛에 있는 금액입니다.

그 메커니즘이 바로 공식적인 설명과는 차이가 있는 부분입니다. Term Labs는 확인했습니다.터미널 보안을 위협하는 관리 시스템의 취약점그리고 문제가 조사된 후에 더 많은 정보를 공개하겠다고 말했습니다. 그게 전부입니다. 현재까지의 보고서에서는 손실 금액, 영향을 받은 저장소들의 명칭, 공격자가 어떻게 관리 권한을 획득했는지, 또는 예금, 인출, 관리 기능의 중단 여부에 대해서는 아무런 정보도 제공되지 않았습니다. 현재의 보고서는 오직 원인에 대한 정보만을 제공할 뿐입니다. 공격자는 투표권을 장악했다고 합니다.테임의 5개 USDC 전략 금고 중 4개그리고 에테르루마 메타 보스의 약 91%가 0xD5183에게 지급되었습니다. 돈이 이동된 계약들은 감사된 계약들입니다. 해커는 코드를 손상시키지 않고 그 계약들을 통해 돈을 전달할 수 있었습니다.

상자를 서로 떨어뜨려 두세요. 왜냐하면 그 차이가 바로 문제의 핵심이기 때문입니다. 계약상의 결함은 시스템이 할 수 있는 것에 대한 결함입니다. 거버넌스의 부족은 누가 어떤 결정을 내릴 수 있는지에 대한 결함입니다. 이 두 가지 문제는 각각 다른 해결 방법이 필요합니다.Term의 저장소들은 Yearn V3 전략 저장소 프레임워크 위에 존재합니다.그리고 그 프레임워크에 대한 감사도 필요합니다.심각하거나 위험한 문제는 전혀 발견되지 않았습니다.“코드는 문제없다”와 “보안 시스템은 안전하다”는 서로 다른 문장입니다. 이 사건에 대한 보고된 내용들은 토큰오미크스, 유권자들의 무관심, 보안 관리 기능에 대한 충분한 제어 장치의 부족 등과 같은 문제들입니다. 이러한 문제들은 아키텍처적인 문제이며, 깔끔한 감사 절차로는 해결될 수 없습니다. 감사는 코드 자체를 검토하는 것이지, 합의된 수준을 확보하는 것은 아닙니다.

입금자에게는, 이는 어떠한 서류 작업도 필요하지 않은 법적 신분의 변경입니다.

바로 그곳에서 회복 문제에 대한 별도의 설명이 필요합니다. 터미 파이낸스의 2025년 4월 말에 발생한 사건은 큰 손실을 초래했습니다.약 150만 달러에 달하며, 이는 오류가 있는 오라클 업데이트로 인한 것입니다.갑자기 담보가 잘못 평가된 것입니다. 이는 팀의 운영상 실수였으며, 결국 자금도 돌려받았습니다. 그 이유는 협상 가능한 사람들에게 문제를 넘길 수 있었기 때문입니다. 이번에는 Tornado Cash를 통해 자금이 전달되었는데, Tornado Cash는 장애물이 아니라 방어용 장치로 설계된 것입니다. 공격자와 협상할 수 있는 사람들 사이의 연락망이 없다는 점이 문제입니다. 같은 프로토콜이지만, 16개월의 차이가 있었습니다. 2025년의 경우는 구축 과정에서 발생한 오류로서 복구가 가능했지만, 이번 경우는 외부적인 관리 문제로 인해 복구 방법이 명시되지 않았습니다.

비례적인 반론을 명확하게 표현하는 것이 필요합니다. 850만 달러는 켈프DAO와 관련된 인프라가 4월에 발생한 약 2억 9천만 달러의 규모와 비교하면 아주 작은 금액에 불과합니다. 당시에는 2026년 최대 규모의 해킹 사건으로 여겨졌으며, 또한 Summer.fi의 7월 해킹도 그해의 주요 문제였습니다.USDC 금고 두 곳에서 약 600만 달러를 인출했습니다.단일 원자적 거래로 이루어집니다. 그 규모에서, 850만 달러의 손실을 입는 시드 단계의 고정금리 대출업체는 특정 제품에 대한 위험으로 간주될 수 있습니다. 하지만 그러한 평가가 완전히 받아들여지지 않는 이유는, 이것이 테임의 16개월 만에 두 번째 실패라는 점입니다. 2026년은 보안 공격이 금고 인프라로 옮겨가는 시기가 되었습니다. 즉, 예금과 반환 사이에 있는 전략 애드온, 제한 조치, 오라클, 비상 통제 장치 등이 그렇습니다. 테임의 경우는 회계가 아니라 권한과 투표 방식이지만, 결국은 같은 구조를 다른 방식으로 활용하는 것입니다. 그리고 시간도 분명합니다. 8월 4일, 손실이 발생하기 전 불과 3주 전이었습니다.Term Labs이 Term V2를 발표했습니다.이는 고정금리 DeFi의 다음 계층입니다. 이 계층은 아직 공개되기 전에 거버넌스 프로세스를 통해 등장했습니다.

검토할 수 있는 조건은 다음과 같습니다. 이 조건을 깨는 경우가 있다면, 그건 바로 “투표가 예상된 기준을 초과했음”을 나타내는 정보입니다. 실제 문제는 실행 과정에서 발생한 결함이었습니다. 이로 인해 거버넌스에 관한 이야기가 코드에 관한 이야기로 변질됩니다. 또는, 투표가 정상적으로 진행되지 않아 동결과 회복이 일어나는 경우도 있습니다. 이런 경우는 협상에 관한 이야기가 됩니다. 해당 보관소의 목록과 투표 매개변수가 명확해질 때까지는, 기록은 그대로 유지됩니다. 즉, 코드는 유지되었고, 거버넌스는 그렇지 않았으며, 8.5백만 달러는 여전히 사용 가능한 지갑의 영수증일 뿐입니다.