Yam Finance에서 얻는 교훈: 거버넌스 공격이 탈중앙화 거버넌스의 추가적인 발전을 촉진할 수 있을까?
글: 모티, TechFlow
어제, Yam Finance는 자신의 자금 풀을 겨냥한 거버넌스 공격을 성공적으로 저지했다. 이번 공격에서 공격자는 내부 거래를 통해 눈에 띄지 않게 거버넌스 제안을 제출하였으며, 이 악성 제안에는 검증되지 않은 스마트 계약이 포함되어 있었고 궁극적으로 Yam 프로토콜의 자금을 공격자의 지갑으로 옮기는 것이 목적였다. 만약 공격이 성공했다면 Yam Finance는 310만 달러를 잃었을 것이다.
공격자가 사용한 수법은 매우 흔한 방식인 거버넌스 공격이다. 탈중앙화 거버넌스가 DeFi 프로토콜 전반에 걸쳐 널리 사용되고 있기 때문에, 해커들은 블록체인 상에서 이득을 얻기 위해 거버넌스 공격을 주요 수단 중 하나로 삼고 있다.
블록체인의 철학은 "코드는 법(Code is Law)"이다. 그래서 체인 상 거버넌스에 강하게 의존하게 된다. 가장 단순하고 직접적인 방법은 토큰을 통해 보유자에게 거버넌스 권한을 부여하는 것으로, 일반적으로 토큰을 많이 가질수록 더 큰 거버넌스 영향력을 갖는다. 이렇게 토큰 보유자는 프로토콜의 제안 및 거버넌스에 참여할 수 있으며, 제안 내용은 복잡하거나 단순할 수 있고, 통과되면 전체 프로토콜의 운영과 발전에 영향을 미친다.
직관적으로 보면, 이는 토큰 보유자의 이익에 부합한다. 왜냐하면 토큰을 많이 보유할수록 자신에게 해가 되는 제안이나 투표를 할 가능성이 낮아지기 때문이다. 그러나 높은 TVL(Total Value Locked)을 가진 일부 DeFi 프로토콜의 경우, 공격 비용이 수익보다 낮다면 누군가는 시도할 만한 가치가 있다고 판단할 수 있다. LUNA/UST 붕괴 당시 Terra는 LUNA 대량 발행 과정에서 발생할 수 있는 저비용 거버넌스 공격 가능성을 막기 위해 블록체인의 블록 생성을 일시 정지하기도 했다.
Yam Finance의 공격 시도가 실패한 사례 외에도 성공한 공격 사례 역시 적지 않다. 예를 들어 올해 2월 15일, Build Finance는 거버넌스 공격을 당했고 공격자는 토큰 추가 발행을 통해 이득을 취했다. 공격 성공 후 공격자는 거버넌스 컨트랙트와 민팅 키, 트레저리를 완전히 장악하게 되었다. 이번 공격 이후 Build Finance의 토큰은 모든 가치를 잃고 사실상 제로가 되었다.
다량의 토큰을 확보하여 공격하는 것 외에도, 해커들은 특정 시점에 제안 수를 늘리거나 정상적인 거버넌스 제안처럼 위장함으로써 제안 통과 가능성을 높이기도 한다.
작년 크리스마스에는 Terra 체인 상의 합성 자산 프로토콜 Mirror도 매우 심각한 도전에 직면했다. 공격자는 다음과 같은 네 가지 전략을 통해 제안 통과 가능성을 높였으며, 목표 수익은 3800만 달러 상당의 MIR 토큰이었다:
-
공격자는 백만 달러 상당의 MIR 토큰을 준비했다;
-
공격 시점은 크리스마스로, 대부분의 토큰 보유자들이 실생활 문제에 더 관심을 기울이는 시기였다;
-
제안을 「솔라나(Solana)와의 깊은 협력」인 것처럼 위장했다;
-
여러 개의 제안을 동시에 제출하여 혼란 속에서 기회를 노렸다.
이와 관련해 MakerDAO 창립자 룬 크리스텐센(Rune Christensen)은 다음과 같이 말했다. "현재 DAO의 '기본 게임 이론적 문제'는 바로 거버넌스 공격과 같은 문제다. 간단히 말해, 누군가 실제로 투표 가능한 다수의 지분을 장악한다면, DeFi 환경에서 그들은 프로토콜의 모든 자산을 직접 훔칠 수 있다."
이는 한 가지 우려이며, 또 다른 널리 퍼진 우려는 투자자들이 거버넌스 토큰 자체의 가치에 대해 회의를 품고 있다는 점이다. 대부분의 DeFi 프로토콜은 토큰 보유 수량에 따라 거버넌스 권한을 결정하는 것을 편리한 방법으로 삼고 있으며, 많은 프로토콜이 거버넌스 측면에서의 혁신이 거의 없고 대부분 선배들의 구조를 그대로 포크(fork)하고 있을 뿐이다. 물론 거버넌스 분야에서 혁신을 주도하는 사례들도 존재한다. 예를 들어 Curve는 veToken 기반의 거버넌스 모델을 도입했고, AC는 veToken을 기반으로 veNFT를 출시했으며, Layer2 프로젝트 Optimism도 원생 토큰 OP를 활용해 거버넌스를 계층화하고 있다.
가장 우려되는 점은 약세장 사이클 진입 후 토큰 가치 하락으로 인해 공격 비용이 더욱 낮아지고, 이에 따라 거버넌스 공격 건수가 배로 증가할 가능성이 있다는 것이다. 리스크가 급격히 커지는 상황에서, 개발자와 프로젝트 팀들이 거버넌스 설계에 대해 더 깊이 고민하게 될 것이며, 토큰의 거버넌스 활용 가능성을 발굴해 더 흥미로운 거버넌스 사례들이 등장할 가능성이 높다.
TechFlow 공식 커뮤니티에 오신 것을 환영합니다
Telegram 구독 그룹:https://t.me/TechFlowDaily
트위터 공식 계정:https://x.com/TechFlowPost
트위터 영어 계정:https://x.com/BlockFlow_News
