BLC가 1달러에서 거의 무가치한 수준까지 폭락하며 또 다른 스테이블코인이 몰락했다

보안 업체인 펙스쉴드(Peckshield)와 슬로우미스트(Slowmist)는 공격 발생 몇 시간 만에 이 취약점 공격을 확인했습니다. 펙스쉴드는 처음에 손실액을 약 915,000달러로 추산했습니다. 이후 슬로우미스트는 이 수치를 약 912,000달러로 정정하고, 공격자가 어떻게 이 공격을 성공시켰는지에 대한 기술적 분석 결과를 발표했습니다.

Balance Coin(BLC)은 공격 전 $0.995에서 $1.00 사이에서 거래되었습니다. 몇 시간 만에 가격은 약 $0.0014까지 떨어졌고, 이후 주요 추적 사이트에서 $0.0008에서 $0.0013 사이로 더 하락했습니다. 코인마켓캡(Coinmarketcap)은 이후 장중 최저가인 0.000795달러에 가까운 가격을 기록했으며, 이는 24시간 동안 99.92% 하락한 수치다.

취약점 공격의 작동 방식

밸런스 프로토콜(Balance Protocol)은 메이커DAO(MakerDAO)를 모델로 한 담보부 부채 시스템을 운영하며, 현재 사용자들은 바이낸스(Binance)에 페그된 비트코인 버전인 BTCB를 볼트에 잠그고 이를 담보로 BLC를 발행합니다. 가격 오라클은 해당 담보의 가치를 추적합니다. 부채와 담보 간의 비율이 너무 낮아지면 프로토콜은 볼트를 청산합니다. 공격자는 스포터(Spotter) 계약의 ‘poke’ 기능을 이용해 인위적으로 낮게 조작된 BTCB 가격을 시스템의 회계 계약에 입력했습니다. 오라클은 시장 가격과 대조해 확인하지 않은 채 해당 수치를 그대로 받아들였습니다. 정상적이던 금고가 갑자기 부도 상태로 보였습니다. 청산을 담당하는 Dog 모듈은 단일 거래를 통해 담보를 압류했고, 공격자는 이를 PancakeSwap에서 매도하여 이익을 얻었습니다.

슬로우미스트(Slowmist)는 이를 메이커(Maker) 스타일 시스템에서 가격 보호 기능의 부재와 청산 지연 시간의 부재를 악용한 단일 거래 콤보라고 설명했습니다. 개인 키가 유출된 적은 없었습니다. 프로토콜은 의심해 보았어야 할 수치를 그대로 신뢰한 것입니다.

블록체인 기록에 따르면, 단일 거래 해시가 주요 공격 경로로 지목되었으며, 공격자 지갑 주소, 피해자 계약, Spotter 계약, 청산에 사용된 Dog 계약도 함께 확인되었습니다. 조사관들은 허위 가격 입력부터 팬케이크스왑(Pancakeswap)에서의 최종 판매에 이르기까지 모든 단계를 추적하여, 겉보기에는 정상적으로 보이는 함수 호출이 어떻게 912,000달러의 수익으로 이어졌는지에 대한 전체적인 경위를 밝혀냈습니다. 보고에 따르면 설계상 다음과 같은 몇 가지 표준 안전 장치가 누락되어 있었습니다:

• 외부 시장과의 가격 편차 점검이 없었습니다.
• 오라클 피드에 대한 최대 손실 한도 제한이 없었습니다.
• 명백히 허위인 수치를 걸러낼 수 있는 최저 가격 기준이 없었습니다.
• 가격 업데이트와 청산 사이에 지연 시간이 없음.

시장에 미친 영향

공격 발생 전, Balance Coin의 유통량은 약 350만 토큰으로, 명목 가치는 350만 달러에 가까웠습니다. 붕괴 이후 시가총액은 약 2,800달러로 떨어졌습니다. 보유자들이 매도하고 차익거래자들이 잔여 물량을 싹쓸이하면서 24시간 거래량은 약 10만 3천 달러로 급증했습니다.

이 토큰의 사상 최고가는 2025년 5월 1.42달러였습니다. 7월 22일의 페그 이탈은 새로운 사상 최저가가 되었습니다. 42DAO는 피해 사용자를 위한 복구 계획이나 보상 방안을 발표하지 않았습니다. 유출된 BTCB는 여전히 공격자의 통제하에 있습니다.

일부 추적 서비스에 따르면, 공격 발생 후 몇 시간 동안 수천 건의 거래가 기록되었으며, 그중 상당수는 매수 거래였습니다. 이는 투기꾼들이 반등이나 빠른 차익 거래를 기대하며 페그가 무너진 토큰을 쫓을 때 흔히 나타나는 패턴입니다. 그러나 이러한 활동에도 불구하고 페그가 회복되지는 않았습니다.

주요 애그리게이터에서 Balance Coin의 순위는 수천 순위권 하위로 급락했으며, 공격 전부터 이미 부족했던 유동성은 대부분 사라졌다. 코인마켓캡 통계에 따르면 BLC의 유통량은 “자체 보고”된 수치이며, 이 코인의 보유자는 18,000명 이상이다.

더 긴 추세의 일부

밸런스 코인은 이제 페그를 유지하지 못한 수많은 스테이블코인 중 하나가 되었다. 테라USD(TerraUSD)는 2022년 5월 붕괴 사태로 달러 가치를 상실했으며, 이 사태로 수백억 달러가 증발하고 자매 토큰인 LUNA의 가치가 거의 0에 가까워졌다. 서클(Circle)의 USDC는 2023년 3월 실리콘밸리은행(Silicon Valley Bank)이 파산한 후 잠시 페그가 무너졌으나, 준비금이 안전하다는 것이 확인되자 회복되었습니다. 아이언 파이낸스(Iron Finance), 빈스탁(Beanstalk), 아칼라(Acala)의 aUSD와 같은 소규모 프로젝트들도 지난 몇 년간 유사한 익스플로잇으로 인한 붕괴를 겪었습니다.

오라클 조작은 반복적으로 발생하는 원인 중 하나입니다. 공격자가 프로토콜에 허위 가격을 입력하면, 프로토콜은 설계된 대로 반응하고, 누구도 막기 전에 자산 가치가 공격자에게로 이동합니다. 밸런스 프로토콜(Balance Protocol)은 메이커DAO(MakerDAO)와 같이 규모가 크고 확립된 시스템의 아키텍처를 모방했으나, 수년간의 아슬아슬한 위기 상황을 겪은 후 해당 시스템들이 추가한 안전 장치는 제외했습니다.

왜 중요한가

밸런스 코인의 시장 규모는 USDT나 USDC 같은 주요 스테이블코인에 비해 작았습니다. 그럼에도 불구하고, 이와 같은 각 해킹 사건은 규제 당국과 사용자들이 면밀히 주시하고 있는 패턴을 더욱 강화시킵니다. 2026년, 미국의 스테이블코인 감독은 GENIUS 법에 따라 운영되며, 이 법은 발행자들에게 준비금을 입증하고 시스템이 스트레스 상황에서도 견딜 수 있음을 증명하도록 압박을 가하고 있습니다.

현재 Balance Coin의 거래 가격은 거의 0에 가깝습니다. 한때 이 코인을 뒷받침했던 BNB 기반의 랩드 비트코인 담보는 42DAO의 통제 범위를 벗어난 지갑에 보관되어 있으며, 해당 프로토콜은 향후 계획에 대해 아직 밝히지 않고 있습니다.