Kava Lend 약 380만 달러 해킹 피해, KAVA 토큰 40% 가까이 급락

Kava 블록체인에 내장된 대출 앱 Kava Lend가 금요일 밤 공격자에게 약 5,520만 개의 KAVA 토큰을 빼앗겼다고 The Block이 검토한 온체인 데이터가 보여 준다. 공격 전 가격인 개당 약 0.068달러 기준으로 약 376만 달러어치다.

공격자는 이후 코인 대부분을 다른 네트워크로 옮겨 팔았고, 이 때문에 KAVA 가격이 급락했다. PlainBTC가 크라켄 공개 가격 데이터를 확인한 결과, KAVA는 크라켄에서 약 0.068달러에서 토요일 아침 0.0344달러 저점까지 떨어져 최악의 순간 50% 가까이 하락했고, 토요일 저녁에는 약 0.043달러에 거래됐다.

공격은 어떻게 이뤄졌나

Kava Lend는 암호화폐용 간단한 온라인 은행처럼 작동한다. 일부 이용자가 토큰을 맡겨 이자를 받고, 다른 이용자는 그 예치금을 바탕으로 돈을 빌린다. 약점은 BUSD 시장이었다. BUSD는 발행사 팍소스(Paxos)가 2023년에 신규 발행을 중단한 스테이블코인이다. 이 시장은 공격 전 거의 비어 있었다.

The Block이 Kava의 공개 코드를 살펴본 바에 따르면, 이 앱은 대출자가 내는 이자를 시장 전체 공급량으로 나눠 예치자의 이자를 계산한다. 코드는 공급량이 정확히 0일 때만 이 단계를 건너뛰었고, 0보다 아주 조금 큰 극소량에 대한 방어 장치는 없었다.

미국 중부시간 금요일 오후 10시쯤, 공격자는 소액 대출을 이용해 BUSD 시장의 공급량을 1달러의 1억분의 2 수준까지 줄였다. 3분 안에 프로토콜은 모든 BUSD 예치금의 가치를 약 24만 3,000배로 불렸다. 공격자 자신의 BUSD 예치금은 갑자기 약 12억 5,000만 BUSD어치 담보로 계산됐다.

공격자는 이 가짜 담보로 KAVA를 127번 빌렸고, 대출 한도를 피하려고 두 번째 계정을 썼다. Kava Lend 풀은 1시간 반 남짓 만에 약 5,533만 KAVA에서 0.19 KAVA로 줄었다. The Block은 공격자가 적어도 일주일 전부터 준비한 것으로 보이며, 11월 8일부터 BUSD 시장에서 시험 예치와 대출을 반복했다고 전했다.

BNB 체인에서 매도

공격자는 중부시간 토요일 오전 4시 직전부터 Kava의 LayerZero 브리지를 통해 KAVA 약 4,920만 개를 BNB 체인으로 보냈다. 대부분은 1시간 안에 약 3,006.5 BNB와 23만 1,557 USDT로 팔렸고, 합계 약 209만 달러어치다. 나머지 약 458만 KAVA는 Kava 위의 주소 5곳으로 보내졌다.

암호화폐 해킹을 추적하는 DeFiLlama는 이번 사고를 산술 오류로 분류하고 손실을 약 370만 달러로 추산했다. 또 탈취 자금 중 약 61만 2,416 USDT가 Relay 브리지에서 차단됐다고 밝혔다.

Kava의 입장

Kava는 중부시간 토요일 오전 5시 28분쯤 X에서 "생태계 내 dApp에서 비롯된 예상치 못한 동작"을 추적하고 있다고 처음 밝혔다. 공격이 시작된 지 7시간이 넘은 뒤였다. 이어진 게시물에서는 "이것은 무한 발행이 아니다. 이번 사건은 Kava Lend 안에 격리되어 통제되고 있다"고 했다. 또 협력 거래소들이 "표준 예방 조치로" KAVA 입출금을 중단했다고 덧붙였고, 이후 Axelar 브리지도 일시 중단했다. CryptoWatchDesk에 따르면 한국 거래소 업비트, 빗썸, 코인원도 KAVA 전송을 중단했다.

Kava는 공식 손실 규모를 밝히지 않았고, Kava Lend 이용자에게 보상할지 여부도 말하지 않았으며, 전체 사고 보고서도 아직 내놓지 않았다. 보고서는 "준비되는 대로" 공개하겠다고 했다.

초보자에게 주는 의미

이런 해킹은 대개 코드가 자금을 관리하고 뒤에 회사의 보험이 없는 소규모 탈중앙화 금융(DeFi) 앱에서 일어난다. 초보자라면 암호화폐 대부분을 Coinbase 같은 대형 규제 거래소나 직접 관리하는 지갑에 두고, 추가 수익을 약속하는 대출 앱은 조심하자. 해킹 뒤 돌아다니는 "환불"이나 "복구" 링크는 무시해야 한다. 사기꾼들은 큰 사고를 노리는 경우가 많다. 이 글은 투자 조언이 아니다.

앞으로 지켜볼 점

• Kava의 전체 사고 보고서와 피해 이용자 보상 여부.
• 거래소와 Axelar 브리지가 언제 KAVA 전송을 재개할지.
• 탈취 자금 일부가 동결되거나 반환될지.

코인을 어디에 보관해야 할지 고민이라면 암호화폐 지갑이란: 수탁형과 자기 보관형을 읽어 보세요.