USPD 스테이블코인 프로토콜 해킹으로 현재까지 1백만 달러 손실

탈중앙화 금융 프로토콜인 US Permissionless Dollar는 보안 침해로 인해 승인되지 않은 스테이블코인 발행과 100만 달러 이상의 유동성 유출을 겪었다. 

USPD 팀의 공식 X 계정에서 발표한 사건 보고서에 따르면, 공격자는 약 3,122 ETH를 담보로 예치하고 단일 거래에서 약 9,800만 개의 USPD 토큰을 발행할 수 있는 버그를 악용했다. 

이 과정은 초기 예치금 대비 10배의 토큰을 생성했으며, 해커가 추가로 237 stETH 담보를 유출할 수 있게 했다. 훔친 스테이블코인은 이후 탈중앙화 거래소 Curve를 통해 약 30만 달러 상당의 USDC로 전환되었다.

USPD 프로토콜 개발자와 PeckShield Alert와 같은 여러 사이버보안 계정은 침해 사실을 확인하는 즉시 사용자에게 경고를发出了. 말합니다.: 

“USPD 프로토콜의 치명적인 취약점이 확인되어 무단 코인 발행 및 유동성 유출이 발생했습니다. USPD를 절대 구매하지 마십시오. 즉시 모든 승인을 취소하십시오.”

USPD 해커는 프로토콜을 속여 코인을 발행하도록 하기 위해 프록시를 이용했다. 

The DeFi 프로토콜의 보고서에 따르면, 이 침해는 ‘CPIMP’(Clandestine Proxy In the Middle of Proxy의 약자)라는 복잡한 공격 벡터를 악용했다. USPD는 공격자가 9월 16일 배포 중 프록시 초기화를 프론트런닝하기 위해 Multicall3 트랜잭션을 사용했다고 설명했다. 

2/ 이는 우리 스마트 계약 로직의 결함이 아니었습니다.

USPD 프로토콜은 @NethermindEth와 Resonance 등 최상위 보안 감사 기관들의 엄격한 보안 감사를 거쳤습니다. 당사 코드는 단위 테스트를 완전히 통과했으며 엄격한 업계 표준을 준수합니다. 로직 자체는 여전히 안전합니다.

— UPD.IO | Universal Private Dollar (@UPD_io) 2025년 12월 4일

해커는 CPIMP를 사용하여 프로토콜 스크립트가 완전히 실행되기 전에 관리 권한을 조용히 탈취했고, 수개월 동안 기다린 후 무단으로 코인을 발행하기 시작했습니다. 그들은 USPD의 감사된 코드로 호출을 전달하는 ‘섀도’ 계약을 구현한 후, Etherscan이 원래 감사된 계약을 표시하도록 속이기 위해 이벤트 페이로드 조작 및 스토리지 슬롯 스푸핑을 미묘하게 구현했습니다. 

“이 위장술로 공격자는 수개월 동안 평범한 시야 속에 숨어 검증 도구와 수동 검사를 우회했습니다. 오늘 그들은 숨겨진 접근 권한을 사용하여 프록시를 업그레이드하고 약 9800만 개의 USPD를 발행하며 약 232개의 stETH를 유출했습니다.”라고 USPD는 밝혔다.

블록체인 분석가인 Emmet Gallic은 DeFi 프로토콜의 분석을 재확인하며, 공격이 배포 중 프록시 초기화로 인해 발생했다고 덧붙였다. 

“공격자는 관리 권한을 주장하고 Etherscan이 감사된 계약을 표시하도록 속이는 섀도 구현을 설치했습니다. 프로토콜은 수개월 동안 해킹당했습니다.”라고 그는 결론지었다.

USPD, 조사 계속 및 해커에게 보너스 약속

공격에 대응하여 USPD는 법 집행 기관과 화이트햇 보안 그룹과 긴밀히 협력하여 도난 자금의 추적을 동결하고 있다고 밝혔다. “우리는 자금 흐름을 동결하기 위해 모든 주요 CEX 및 DEX에 공격자의 주소를 보고했습니다.”라고 팀은 밝혔다.

프로토콜은 또한 자금이 반환될 경우 표준 10% 버그 보너스를 공제한 금액으로 공격자와 상황을 해결할 의사가 있다고 밝혔다. 프로토콜은 제안을 수락할 경우 모든 법 집행 조치를 중단하겠다고 약속했으며, 공격자가 직접 연락하거나 도난 자산의 90%를 반환하여 사건을 해결할 것을 권고했다.

“엄격한 감사와 모범 사례 준수를에도 불구하고 우리는 이 새로 등장하고 매우 복잡한 공격 벡터의 희생자가 되어 매우 슬픕니다. 자산을 회수하기 위해 우리가 할 수 있는 모든 노력을 다하고 있습니다.”라고 USPD는 커뮤니티에 전했다.

CoinMarketCap에 따르면, 스테이블코인의 달러 페그는 아직 영향을 받지 않았지만, 지난 24시간 동안 거래량은 약 256만 달러로 20% 감소했다.

DeFi 스테이블코인 프로토콜의 침해 사례는 과거 USPD가 겪은 것보다 훨씬 컸으며, 2023년 Euler Finance 해킹 사건은 대출 풀에서 스테이블코인이 유출되면서 1억 9700만 달러 이상의 손실을 초래했다. 

11월 공격 이후 두 개의 DeFi 프로토콜이 복구 모드에 돌입

지난 월요일, Yearn Finance는 유동성 스테이킹 인덱스 토큰인 yETH에서 최신 프로토콜 침해 사고를 겪었다. 가해자는 사실상 무제한의 토큰을 발행하고 약 300만 달러의 ETH를 훔쳤다. 

Yearn Finance는 11월 30일 yETH 스테이블스왑 풀에서 900만 달러의 침해 사고를 겪었으나, Cryptopolitan에 따르면 6월 DFS가 기존 안전 장치를 유지하면서 GENIUS ACT와 일치하는 새로운 스테이블코인 규제를 제안했다고 보도했습니다. 여기에는 완전한 준비금 backing과 독립적인 감사 포함됩니다. 수요일 현재 이미 도난 자금의 회수를 시작했다. 지금까지 팀은 영향받는 예금자들에게 반환될 239만 달러를 성공적으로 회수했다.

v2 침해로 1억 2800만 달러를 잃은 또 다른 DeFi 프로토콜인 Balancer는 지난주 유동성 제공자에게 약 800만 달러를 보상할 계획을 발표했다.