$775K 규모의 Ajna 악용은 DeFi 가격 오라클을 넘어선 위험을 드러냄

가격 오라클 없이 운영되는 대출 플랫폼인 Ajna Protocol은 약 775,000달러 상당의 ETH를 잃은 것으로 보고되었습니다. 공격자들은 제3자 가격 피드 대신 플랫폼의 내부 청산 회계를 악용했습니다.

이 공격은 syrupUSDC, wstETH, rETH, cbETH, WBTC, WETH/USDC, sDAI 등 여러 유동성 풀에 영향을 미쳤습니다. 그러나 이는 Ajna의 철학 중 중요한 측면인 오라클과 거버넌스의 부재, 그리고 자체 가격 결정 시장에 대한 의문을 제기합니다.

공격자는 이 가정을 통해 이익을 얻었습니다.

Ajna가 의도적으로 배제한 오라클

대부분의 대출 프로토콜은 담보의 가격을 설정하기 위해 Chainlink와 같은 외부 서비스를 사용합니다. 그러나 Ajna는 의도적으로 이를 수행하지 않습니다. 사실, 그 백서는 프로토콜을 다음과 같이 설명합니다:

"Ajna 프로토콜은 거버넌스나 외부 가격 피드 없이도 작동할 수 있는 비 custodial, P2P, 무허가 대출, 차입 및 거래 시스템입니다."

대신 대출자들은 고정된 금액의 '버킷'에 자금을 투입하여 대출 이율을 결정하며, 프로토콜의 계약이 언제 대출을 청산할지 결정합니다. 청산 프로세스를 시작하려면 청산 시작자가 청산 보드를 지불해야 하며, 이는 부당한 청산 시 금전적 페널티를 부과합니다.

MixBytes 보안 회사는 오라클 제거에 대한 배경을 설명했습니다.

"DeFi 프로토콜에 대한 공격의 상당 부분은 오라클 가격 조작, 구성 오류 및 접근 제어 문제로 인해 발생합니다."

Ajna의 해결책은 공격 표면을 제거하고 풀의 운영을 신뢰하는 것이었습니다. Defimon의 경고는 공격자가 이 내부 메커니즘을 노렸으며, 외부 가격 오라클을 침해하는 대신 청산 회계 조작을 통해 절도했다고 시사합니다.

답이 없었던 1시간의 경고

Defimon 주장에 따르면, 첫 번째 악용 거래가 발생하기 한 시간 이상 전에 ‘준비된 공격’을 감지할 수 있었으며, 이를 프로젝트의 디스코드 채팅을 통해 Ajna에 알렸습니다. 공격이 시작되었을 때 프로토콜은 아직 보안이 완전히 구축되지 않은 상태였습니다.

그 후 해커는 수많은 풀을 가로질렀습니다. 보고서에 따르면 syrupUSDC 풀은 총 손실 약 775,000달러 중 약 173,700달러의 손실을 입었습니다.

이 손실은 Ajna에게 매우 큽니다. 당시 DeFiLlama 보고서에 따르면 Ajna V2의 총 잠금 가치(TVL)는 약 206,000달러였습니다. 활성 대출은 약 418,000달러로 평가되었으며, 30일 TVL 변동률은 -54.2%를 기록했습니다. 당시 보고된 공격으로 인한 손실은 Ajna의 TVL을 초과했습니다. DeFiLlama의 실시간 데이터는 이후 변경되었습니다.

코드를 깨거나, 시스템이 불가능한 것을 믿게 하라

더 큰 질문은 공격자가 Ajna의 코드를 해킹했는지, 아니면 시스템이 잘못된 데이터를 유효한 것으로 받아들이도록 속였는지입니다.

증거는 후자의 경우가 맞음을 시사합니다. Ajna가 게시한 감사 이력에는 청산 과정 중 '인수' 계산 관련 과거 발견 사항과 버킷 상태에 대한 회계가 잘못 수행된 사례 등이 포함되어 있습니다. 이러한 문제들은 이미 수정된 것으로 간주되지만, 청산 및 회계 논리와 관련된 문제의 증거를 제공합니다.

이 패턴은 흔한 사례입니다. Cryptopolitan은 이전에 Moonwell 사례를 보도한 바 있는데, 공격자는 약 700만 달러를 사용하여 비유동성 MAMO 토큰의 가격을 8배로 올린 후 거의 1,000만 달러의 실제 자산을 빌려내고 최종적으로 약 600만 달러를 가져갔습니다.

Nethermind에 따르면 이러한 공격 방식은 다음과 같이 작동합니다.

"계약이 왜곡된 가격을 계산하도록 강요하고 트랜잭션이 종료되기 전에 이를 악용합니다."

Ajna는 오라클을 제거했지만, 여전히 계약이 자신의 계산을 신뢰해야 합니다.

V2의 아키텍처가 진정한 이야기

Ajna V2는 현재 활성 대출 30,200달러 대비 약 450,000달러의 TVL을 보유하고 있으며, 30일 동안 TVL은 17.1% 감소했습니다.

활성 대출이 보고된 TVL의 약 6.7%에 불과하다는 점은 유용한 분석 통계입니다. 이는 핵심 조사 질문을 특히 흥미롭게 만듭니다: 의심되는 악용이 미결제 부채 회계, 예치 유동성, 아니면 둘 모두에 영향을 미쳤습니까? 따라서 질문은 "V2가 도입한 공격자가 돈으로 바꿀 수 있는 가정은 무엇이었는가?"가 됩니다.

악용 기록적인 해의 작은 풀

775,000달러의 손실은 2026년 최대 암호화폐 해킹에 비하면 작지만, 더 넓은 패턴에 부합합니다.

TRM Labs는 올해 상반기에 207건의 해킹을 기록했으며, 이는 6개월 기간 중 가장 많은 수치입니다. 평균 사건당 피해액은 약 219,000달러였으며, 이 중 100건 이상은 소규모 스마트 계약 악용 사례였습니다.

인프라 및 운영 침해는 사건의 약 15%를 차지했지만 총 손실의 약 76%를 차지했습니다.

따라서 Ajna는 보안 문제의 다른 측면을 보여줍니다: 손실은 spektakulär한 거래소 침입이나 침해된 개인 키에서 발생해야만 하는 것은 아닙니다. 이는 DeFi의 점점 더 복잡해지는 대출 논리 안에 숨겨진 가정에서 발생할 수 있습니다.