헤데라 DeFi 본조 렌드, 오라클 '제로 서명' 취약점으로 905만 달러 탈취 피해 발생

2026년 7월 11일, 헤데라(Hedera) 네트워크의 최대 대출 프로토콜인 본조 렌드(Bonzo Lend)에서 약 905만 달러 규모의 보안 사고가 발생했다. 이번 사건은 서드파티 오라클 서비스인 수프라(Supra)의 서명 검증 과정에서 발생한 취약점을 악용한 것으로, DeFi 생태계의 오라클 의존성에 대한 경종을 울리고 있다.

공격자는 단 250개의 SAUCE 토큰을 담보로 입금한 뒤, 오라클의 '제로 서명(zeroed signature)' 결함을 이용해 해당 자산의 가치를 12자릿수나 부풀렸다. 이를 통해 프로토콜 내에 예치된 스테이블코인과 래핑된 HBAR을 대거 인출하는 데 성공했다.

본조 파이낸스 랩스(Bonzo Finance Labs)는 사고를 인지한 직후 즉각적으로 프로토콜 운영을 중단하고 모든 대출 시장을 동결했다. 초기 조사 결과, 공격자는 수프라 오라클의 가격 업데이트 메커니즘을 조작하여 실제 가치보다 훨씬 높은 가격을 시스템에 주입한 것으로 드러났다.

이번 사고는 단순한 가격 조작이 아니라, 오라클의 암호화 서명 검증 체계 자체가 무력화되면서 발생한 치명적인 보안 결함이다.

탈취된 자산은 약 905만 달러 규모로, 주로 USDC와 USDT 같은 스테이블코인과 wHBAR로 구성되었다. 본조 렌드 측은 현재 피해 규모를 확정하고 자산 회수를 위한 다각도의 노력을 기울이고 있다.

기술적 심층 분석: 오라클 검증 격차의 위험성

이번 공격의 핵심은 이른바 '검증 격차(verifier gap)'에 있다. 수프라 오라클의 검증기는 유효한 서명이 없는 상태에서도 가격 업데이트 요청을 승인하는 오류를 범했다. 이로 인해 공격자가 임의로 설정한 SAUCE 토큰의 가격이 헤데라 메인넷에 그대로 반영되었다.

• 수프라 오라클의 서명 검증 로직 내 논리적 결함 발생
• 유효하지 않은 '제로 서명' 데이터의 무비판적 수용
• 프로토콜 보안 계층에서의 서드파티 데이터 재검증 부재

공격자는 이 취약점을 통해 250 SAUCE의 가치를 수백만 달러로 둔갑시켰으며, 이를 담보로 프로토콜의 유동성을 고갈시켰다. 이는 오라클 서비스의 사소한 서명 검증 오류가 전체 DeFi 프로토콜의 파산으로 이어질 수 있음을 보여주는 사례다.

한편, 헤데라(HBAR) 토큰의 시장 가격은 이번 사고에도 불구하고 비교적 견조한 모습을 보였다. 사고 당일인 7월 11일 0.0772달러에서 7월 14일 현재 0.0768달러로 소폭 하락하는 데 그치며, 네트워크 자체에 대한 신뢰는 유지되고 있는 것으로 분석된다.

화이트햇 '월렛 B'와의 협상 및 복구 현황

본조 렌드 팀은 현재 '월렛 B'로 알려진 화이트햇 대응자와 자금 반환을 위한 협상을 진행 중이다. 해당 대응자는 공격 과정에서 일부 자금을 선제적으로 확보하여 보호하고 있으며, 본조 측은 이들의 협조가 피해 복구의 핵심이 될 것으로 보고 있다.

본조 파이낸스 랩스는 화이트햇의 선의의 대응에 감사를 표하며, 자금 반환이 완료되는 대로 이를 투명하게 공개하겠다고 밝혔다. 이번 협상이 성공적으로 마무리될 경우, 사용자들의 실질적인 피해액은 초기 추산치보다 줄어들 가능성이 있다.

향후 대응 계획 및 보안 강화 대책

• 화이트햇 보유 자산의 반환 확인 및 사용자 계정 복구
• 오라클 보안 취약점에 대한 전면적인 패치 및 재감사
• 다중 오라클 피드 도입을 통한 데이터 신뢰성 강화
• 사고 원인과 대응 과정을 담은 최종 사후 분석 보고서 발표

본조 렌드는 시스템의 안전성이 완전히 확보될 때까지 대출 시장의 운영 중단을 유지할 방침이다. 사용자들은 공식 채널을 통해 발표되는 보상 계획과 시장 재개 일정을 지속적으로 주시해야 한다.