Compound 거버넌스 공격의 숨은 세부 사항과 목적 심층 분석: 웨일이 다시 한 번 오래된 DeFi 프로토콜을 장악하다
글쓴이: @Web3Mario
요약: 지난 주말 비트코인 컨퍼런스가 끝난 이후 관련 회의 내용들이 계속해서 공개되고 있으며, 이는 필자가 이전에 예상했던 바와 거의 일치한다. 예를 들어 트럼프가 에너지 정책을 출발점으로 삼아 비트코인 애호가들을 설득하려는 전략이나, 일부 공식적인 태도 변화를 부각시키며所谓 전략적 보유(strategic reserve)라는 표현을 사용해 비트코인이 상품으로서 가지는 가치를 강조하는 점 등이다. 하지만 이번 연설이 또 다시 전형적인 '트럼프식' 선거 유세로 변질된 점은 예상 밖이었다. 그는 논리적 검증 없이 상대방을 공격하기 위해 근거 없는 주장과 정보를 자주 활용하는데, 이러한 점은 그가 제시한 일부 약속들에 대해 사람들의 신뢰를 저하시키고 관망하게 만들고 있다. 어쨌든 이 문제는 어느 정도 마무리된 것으로 보이며, 필자는 다른 사건들에 관심을 돌렸고 흥미로운 정보 하나를 발견했다. 바로 Compound가 거버넌스 공격을 당한 사건이다. 본인은 과거 오랫동안 DeFi 분야에서 활동했기 때문에 이 소식에 매우 관심이 가서 사건의 전말을 깊이 있게 조사하고 그 배후에 숨겨진 실행 세부 사항을 분석하여 여러분과 공유하고자 한다. 요약하자면, Compound가 겪은 거버넌스 공격은 DeFi 웨일(거대 투자자)이 거버넌스 투표를 통해 Compound Treasury 내 유휴 상태의 COMP 토큰에 대한 통제권을 강제로 장악함으로써 Compound 프로토콜 전체를 완전히 지배하려는 시도였다.
Balancer를 장악한 전설적 웨일 Humpy의 또 한 번의 공격
실제로 이 전설적인 웨일이 처음 벌인 일이 아니다. 이전에도 2022년 DeFi Summer 시기에 해당 웨일은 Balancer에 거버넌스 공격을 시도한 바 있다. 당시 그는 막대한 수량의 BAL 거버넌스 토큰을 확보하고 Balancer의 veBAL 메커니즘을 활용해 대부분의 유동성 풀에 대한 BAL 인센티브 배분 권한을 장악함으로써 사실상 Balancer를 통제하게 되었다. 현재까지 Humpy는 공식 팀에 이어 BAL 토큰의 두 번째로 많은 보유자가 되었다.
이 고전적인 사건에 대해서는 Messari가 매우 훌륭한 리포트를 작성했는데, 관심 있는 독자들은 한번 읽어보기를 추천한다. Balancer의 veBAL 메커니즘을 얼마나 많은 사람들이 잘 알고 있을지 모르겠지만, 여기서 간단히 복습해보겠다. 당시는 DeFi Summer였으며, 각 프로젝트들은 성장을 위한 좋은 토큰오믹스(tokenomics) 설계 방향을 놓고 경쟁하고 있었다. 스테이블코인 중심 DEX였던 Curve는 최초로 veCRV 메커니즘을 도입하며 성공을 거두었고, 이후 ve토큰은 DEX 제품의 토큰오믹스 설계에서 유행하는 패러다임이 되었다.
동일한 카테고리의 스타 프로젝트 중 하나인 Balancer 역시 혁신의 병목 현상을 겪고 있었기에, 이에 따라 veBAL 메커니즘을 도입하게 된다. 이 메커니즘의 핵심은 제품 내 경쟁적인 자원을 투표 거버넌스를 통해 배분하도록 하여 광범위한 뇌물 수수(bribery) 시나리오를 창출하고, 거버넌스 참여에 따른 수익을 제공함으로써 커뮤니티의 적극적인 참여를 유도하며, 동시에 거버넌스 토큰에 가치를 부여하는 것이다. 당시 시장에서는 이를 일반적으로 '거버넌스를 통한 가치 추출(governance extracting value)'이라고 불렀다.
DEX 분야에서 이 경쟁적 자원은 곧 프로토콜이 운영 중인 유동성 풀에 할당하는 거버넌스 토큰 유동성 인센티브를 의미한다. 각 유동성 풀에 할당되는 보상 비율은 투표 거버넌스를 통해 결정되며, 투표권을 얻기 위해서는 거버넌스 토큰을 긴 기간 동안 락업해야 하므로 시장 내 유통량이 줄어들게 되고, 이는 시가총액 증가에 긍정적인 영향을 미친다. 어떤 유동성 풀이 더 많은 투표를 받을수록 더 많은 BAL 인센티브를 배분받게 되고, 따라서 제3자 프로젝트들은 자신의 토큰 유동성을 늘리기 위해 veBAL 투표권을 가진 사용자들에게 보상(bribe)을 제공하려는 유인을 갖게 된다. 물론 이 과정은 대개 전문 DApp을 통해 이루어진다. 그러나 Balancer의 veBAL 설계에는 Humpy가 발견하고 이용한 치명적인 결함이 존재했다.
우리는 DEX의 핵심 비즈니스 모델이 거래 수수료임을 알고 있다. 사용자를 유치하기 위해 DEX는 가능한 많은 유동성을 확보하려 하고, 낮은 슬리피지를 제공함으로써 사용자 경험을 개선한다. 따라서 veBAL 설계는 반드시 이 핵심 목표, 즉 수수료 수익 증대를 중심으로 해야 한다. 그러나 초기 설계에서는 유동성 풀의 유형에 제한을 두지 않고 단순히 총 득표 수만을 기준으로 삼았다. 이는 문제가 되는데, 특정 풀이 어떤 방법으로든 충분한 veBAL 투표를 확보하면, 거래량이 전혀 없더라도 큰 비중의 BAL 유동성 인센티브를 받을 수 있기 때문이다. 이는 웨일에게 큰 기회를 제공했고, 그래서 Humpy가 등장하게 된 것이다.
Humpy의 핵심 공격 전략은 두 부분으로 나뉜다. 첫째, 특정 유동성 풀에 대한 유동성의 절대적 통제권을 확보해 유동성 마이닝 과정에서 대부분의 보상을 획득하는 것이고, 둘째, 자신이 통제하는 풀에 엄청난 수의 투표를 몰아주어 대부분의 BAL 인센티브 배분 권한을 장악하는 것이다. 이렇게 함으로써 프로토콜에 대한 통제력을 실현할 수 있다. 따라서 그는 먼저 거래가 활발하지 않지만 시가가 과대평가된 프로젝트의 토큰을 매입해 잠재적 경쟁자를 줄였고, 둘째로 수수료를 매우 높게 설정한 유동성 풀(1%)을 만들었다. 이는 사용자의 거래 의욕을 떨어뜨리고, 수수료를 목적으로 하는 LP들의 참여를 억제할 수 있다. 이러한 방법을 통해 그는 특정 유동성 풀에 대한 절대적 통제를 완성했다. 이후 그는 2차 시장에서 막대한 양의 BAL 토큰을 매입해 veBAL로 스테이킹하고, 자신의 유동성 풀에 투표함으로써 대부분의 BAL 배분을 차지하게 되었다. 그러나 이러한 인센티브 배분은 Balancer 자체를 더 나아지게 하지는 못했고, 오히려 Humpy 개인에게만 이득을 주었다. 이처럼 웨일의 이익과 프로젝트의 장기적 발전 방향이 배치되면서 모순이 발생하게 된 것이다.
실제 실행 과정에서 Balancer 공식 팀은 이를 가만히 보고만 있지 않았다. 새로운 제안(Proposal)을 통해 Humpy의 흡혈귀 공격을 반격했다. 예를 들어, 유동성 인센티브를 받을 수 있는 풀의 범위를 제한하거나, 이 범위를 확대하려면 공식 팀의 승인이 필요하도록 하고, 단일 풀에 할당될 수 있는 보상 비율에 상한선을 두는 등의 조치를 취했다. 그러나 결국 여러 차례의 대응 끝에 Balancer는 Humpy와 화해하게 되었고, 결과적으로 Humpy가 이러한 수단을 통해 점차 Balancer를 장악하는 것을 막지 못했다. 현재 그가 두 번째로 많은 보유자라는 사실이 바로 가장 직접적인 증거다. 이는 최근 그가 Compound에 대해 공격을 감행한 배경이 되기도 했다.
Compound Treasury 내 유휴 COMP의 거버넌스 권한을 강제로 장악해 Compound 장악하기
위의 사건은 2022년에 발생했으며, 2년간 잠잠했던 Humpy는 최근 또 다른 오랜 DeFi 프로젝트의 장악을 시작했다. 이것이 바로 최근 발생한 사건이다. 이번에는 veBAL과 관련이 없으며, Compound Treasury 내 유휴 상태의 막대한 수량의 COMP 토큰이 가지는 거버넌스 권한을 노린 것이다.
이번에는 그가 직접 나서지 않고 'Golden Boys'라는 이름의 프로젝트(혹은 조직)를 포장해 조작을 진행했다. 이 프로젝트는 본질적으로 금융적 특성을 지닌 밈(Meme)이다. 구체적으로 말하면 핵심 제품은 $GOLD라는 ERC-20 토큰이지만, 공식 홈페이지와 블로그 소개에서는 단순한 문화적 속성을 넘어서는 기대감을 부여하고 있다. 특히 강조하는 점은 $GOLD의 가치가 Humpy라는 웨일이 오랜 경험과 막대한 자금 및 자원 우위를 바탕으로 유지되고 있다는 점이다. 즉, $GOLD를 보유하는 것은 곧 웨일의 등에 올라타는 것과 같다는 의미다. 하지만 실제로는 구조화된 금융 상품이나 수익 집합(product design) 같은 것은 존재하지 않으며, $GOLD와 일부 주류 토큰에 대한 유동성 인센티브만을 배분하고 있다. 이 인센티브 중 일부는 새로 발행된 $GOLD이고, 일부는 BAL 보상이다. 이것은 자연스럽게 Humpy가 Balancer에 미치는 영향력 덕분인데, 그가 보유한 막대한 veBAL을 통해 유동성 마이닝에서 비교적 높은 배분을 받고 있기 때문이다. (여기까지 연구하면서 장악당한 프로토콜의 무력함에 탄식하지 않을 수 없다.)
이 모든 준비를 마친 후, 그는 새로운 Vault 제품인 goldCOMP Vault를 만들었다. 간단히 설명하면 사용자가 자신의 COMP를 이 Vault에 스테이킹하여 거버넌스 권한을 Golden Boys에게 양도하고, 그 대가로 goldCOMP라는 스테이킹 증서를 받는다. 이 증서는 유통 가능한 형태이며, 사용자는 이 증서를 Balancer 내 99goldCOMP-1WETH 유동성 풀에 유동성 제공자(LP)로 참여시킬 수 있다. 여기서 99와 1은 각각의 비중을 의미하며, 거의 슬리피지가 없고 기본적으로 impermanent loss(무상손실)도 거의 없다는 것을 나타낸다.
유동성을 제공하면 $GOLD 유동성 인센티브를 받을 수 있는데, 주목할 점은 여기서 보상으로 주어지는 것이 BAL이 아니라 GOLD라는 점이다. 이것은 당연히 Golden Boys 입장에서 풀의 수익률을 통제하기 더 유리하기 때문이다. 어차피 모두 자기들이 통제하고 있으니까. 현재 수익률은 180%이며, TVL은 아직 낮은 수준이다. 다만 필자가 궁금한 점은, Balancer가 언제부터 제3자 토큰을 직접 스테이킹 인센티브로 공식 웹사이트에 표시할 수 있게 되었는가 하는 것이다. 최근 프로젝트 진척 상황을 잘 파악하지 못해서인지, 만약 공식적으로 공개 설정 가능한 기능이 아니라면, 다시 한번 장악당한 무력감에 탄식하지 않을 수 없다!
이 모든 준비를 마친 후, GoldenBoys는 Compound에 대한 거버넌스 공격을 개시했다. 우선 올해 5월 첫 번째 제안을 발의했는데, 그 내용은 Compound Treasury가 관리하는 COMP의 5%, 즉 92,000개의 COMP를 Golden Boys의 멀티시그 지갑으로 이체하고, 이를 goldCOMP Vault에 스테이킹해 유동성 마이닝 수익을 얻으며 1년간 락업한다는 것이었다. 물론 이 과정에서 Golden Boys는 이 토큰들이 지닌 거버넌스 권한을 노리고 있는 것이다. 당연히 이 제안은 통과되지 않았다. 왜냐하면 상호 운용 대상이 너무 초라했고 실제 사업적 지원이 없었으며, 토큰 배분 후의 모든 조작이 멀티시그 지갑을 기반으로 이루어져 악의적 조작 가능성이 크다고 판단되었기 때문이다. 따라서 커뮤니티 내에서도 널리 반대 의견이 제기되었다.
하지만 Humpy는 좌절하지 않고 커뮤니티 구성원들과 직접 논쟁을 벌였다. 그는 모든 조작 과정이 Compound timelock 계약을 통해 멀티시그 지갑의 토큰 사용을 승인받도록 하면 이러한 문제를 해결할 수 있다고 주장했다. 따라서 7월 20일 두 번째 제안을 발의했는데, 요청 금액은 동일했지만 추가로 Trust Setup 계약을 설정해 위의 효과를 달성하고 멀티시그 지갑을 감독하겠다는 내용을 보완했다. 그러나 필자가 실제로 해당 계약 코드를 확인해본 결과, 단순히 세 가지 상태를 설정한 것뿐이었고, Compound timelock이 이 계약의 상태를 '투자 허용'으로 변경하면 멀티시그 지갑은 자유롭게 해당 토큰을 사용할 수 있게 되는 구조였다. 물론 이 제안도 거부되었지만, 찬성표 수가 명확히 증가한 것을 알 수 있었다. 이는 Golden Boys가 제안을 지속적으로 최적화하고 점점 더 많은 동의를 얻고 있다는 착각을 주었고, 결국 오늘 세 번째 제안이 통과되면서 모두를 충격에 빠뜨렸다.
여러분이 주목해야 할 점은, 오늘 통과된 제안에는 핵심적인 차이가 있다는 것이다. 이번에 요청된 COMP 자금량은 더 이상 92,000개가 아니라 무려 499,000개로 과도하게 증가했다. 그런데도 커뮤니티는 원래 Humpy의 '음모'를 쉽게 물리칠 수 있을 것이라 자신감을 갖고 있었지만, 결과는 뜻밖에도 찬성표가 근소한 차이로 앞서며 제안이 통과된 것이다. 지지표는 단 10일 만에 무려 6배나 폭증했는데, 이는 커뮤니티가 전혀 예측하지 못한 상황이었다. 이는 분명 Humpy가 정교하게 계획한 작전이었다. 예외 없이 이번 제안이 통과됨에 따라 Humpy는 실제로 Compound의 소유자가 되어 모든 제안을 주도하게 될 것이다. 현재 그의 자본 규모가 이미 상대방을 능가하며, 새로 확보한 499,000개의 COMP에 해당하는 투표권까지 더해지면, Compound는 의심의 여지 없이 장악당하게 될 것이다.
이 사건이 초래한 영향은 전례 없이 크다. 이제 모든 DeFi 프로젝트는 유사한 문제가 발생하지 않도록 자신의 거버넌스 모델을 재검토하고 감시해야 한다. 필자도 이후 동향을 계속 주시할 것이다. 필자는 Compound 커뮤니티 역시 분연히 일어날 것이라 믿는다. 결국 이 모순이 어떻게 전개될지는, Balancer의 전례를 생각하면 예측하기 어렵다.
TechFlow 공식 커뮤니티에 오신 것을 환영합니다
Telegram 구독 그룹:https://t.me/TechFlowDaily
트위터 공식 계정:https://x.com/TechFlowPost
트위터 영어 계정:https://x.com/BlockFlow_News
@web3_mario
