썸머 파이낸스, 6,540만 달러 규모의 플래시 론 공격으로 600만 달러 손실 발생 후 금고 서비스 일시 중단

보안 업체들, 침해 사실 지적

블록체인 보안 업체들은 7월 6일 월요일, 탈중앙화 금융(DeFi) 수익 최적화 프로토콜인 서머 파이낸스(Summer Finance)를 겨냥한 대규모 보안 침해 사고를 보고했습니다. 보안 모니터링 기관이 지적한 실시간 온체인 분석에 따르면, 이 프로토콜은 정교한 플래시 대출 및 가격 조작 공격으로 인해 약 6백만 달러의 손실을 입은 것으로 추정됩니다.

이러한 경고에 따라 서머 파이낸스 팀은 침해 사실을 확인하며 다음과 같이 밝혔습니다: “오늘 조금 전 보고된 악용 사례를 인지하고 있으며, 근본 원인을 조사 중입니다. 프로토콜 가디언들은 현재 레이지 서머 프로토콜 전반에 걸쳐 모든 볼트를 일시 중단하고 있습니다. 추가 소식이 있는 대로 업데이트해 드리겠습니다.”

이번 공격은 프로토콜의 회계 논리를 여러 단계에 걸쳐 조작하는 방식으로 이루어졌습니다. 블록체인 보안 업체 Certik의 분석에 따르면, 공격자는 Summer.fi에서 관리하는 Lazy Summer Protocol 볼트의 자산 평가 체계를 왜곡하기 위해 6,540만 달러 규모의 플래시 론을 실행한 것으로 드러났습니다.

공격자는 Fleet Commander 계약의 자산 회계 논리 내 취약점을 악용해 시스템이 토큰 가치를 계산하는 방식을 인위적으로 왜곡했습니다. 조작된 생태계에 약 6,480만 달러를 예치한 후, 공격자는 차익 거래 전략을 실행해 7,090만 달러 상당의 자산을 환매했습니다.

Cyvers에 따르면, 공격자는 이로 인해 발생한 6백만 달러의 이익을 신속히 DAI 스테이블코인으로 전환한 뒤, 도난 자금을 공격자가 통제하는 지갑으로 옮겨 자금 흐름을 은폐했다.

Summer Finance 개발진이 근본적인 취약점을 조사하여 포괄적인 사후 분석 보고서를 발표하는 동안, 이번 사건은 인프라 수준에서 이루어지는 복잡한 차익 거래 조작이 증가하는 추세를 여실히 드러내고 있습니다. 한편, 보안 전문가들은 참여자들에게 권한을 철회하거나, 영향을 받은 Lazy Summer Protocol 금고와 연결된 활성 스마트 계약 승인을 취소하는 등 즉각적인 방어 조치를 취할 것을 촉구했습니다.

또한 전문가들은 피싱 공격을 방지하기 위해 모든 소통을 반드시 공식 프로젝트 채널을 통해서만 진행할 것을 권고했으며, 핵심 개발팀이 근본적인 프로토콜에 대한 패치를 적용할 때까지 디지털 자산을 온라인 ‘핫’ 지갑에서 오프라인 콜드 스토리지로 옮기는 것을 고려할 것을 조언했다.