에코 프로토콜 익스플로잇들 무단으로 7,670만 달러 상당의 eBTC를 발행

탈중앙화 금융 프로토콜 에코 프로토콜은 공격자가 관리자의 개인 키를 탈취해 Monad 블록체인에서 약 1,000 eBTC 토큰을 발행하는 심각한 보안 사고를 겪었습니다. 블록체인 분석 회사 PeckShield와 온체인 모니터링 서비스 Lookonchain은 모두 5월 19일 이 익스플로잇을 확인했고, 발행된 합성 비트코인 토큰의 명목 가치는 약 7,670만 달러에 달하는 것으로 평가되었습니다.

조사 세부 내용에 따라 익스플로잇은 스마트 컨트랙트 코드 취약점이 아닌 운영 구성의 오작동으로 발생했습니다. 단일 서명 관리자 역할, 다중 서명 거버넌스 모듈의 부재, 공급 상한의 부재로 인해 공격자는 내부 공급 건전성 점검을 촉발하지 않고 발행(mint) 함수를 호출할 수 있었습니다. 프로토콜의 타임록과 속도 제한 메커니즘은 적용되지 않아 무단 토큰 생성이 즉시 이뤄졌습니다.

발행 후 공격자는 수익의 일부를 세탁하려고 Curvance 대출 및 유동성 관리 프로토콜에 45 eBTC를 예치했습니다. 공격자는 예치금을 담보로 11.3 wBTC를 빌렸고, 이를 이더리움으로 브리징한 뒤 토큰을 384 ETH로 교환했습니다. Tornado Cash는 믹싱 서비스로 사용되었으며, 이 경로를 통해 82만 2천 달러 상당의 ETH가 흐름을 거쳤습니다. 블록체인 포렌식 데이터에 따르면 955 eBTC가 약 7,300만 달러의 가치로 공격자의 주소에 남아 있었고, 에코 프로토콜이 침해된 관리 키를 다시 확보할 때까지 남아 있었습니다. 이후 프로토콜 관리자는 955 eBTC를 소각하여 대부분의 무단 공급을 상쇄했습니다.

프로토콜 팀의 성명에 따르면 거버넌스 및 운영 통제에 대한 전면 감사가 진행 중인 동안 교차 체인 트랜잭션은 일시 중단된 상태로 남아 있습니다. Monad 네트워크 공동 창립자인 Keone Hon은 기저 레이어-1 블록체인이 영향을 받지 않았고 정상 작동이 계속되고 있음을 확인했습니다. Curvance는 위험을 억제하고 2차 익스플로잇을 방지하기 위해 영향을 받은 eBTC 시장을 일시 중지했습니다.

이번 사건은 2026년 동안 DeFi 프로토콜 익스플로잇이 업계 전반으로 급증했고, 운영 거버넌스 실패가 공격자들의 주된 초점이 되었음을 시사합니다. 주목할 만한 사례로는 5월 15일 THORChain의 1,000만 달러 익스플로잇과 Verus Protocol의 크로스-체인 브리지 해킹으로 1,160만 달러가 유출된 사례가 있습니다. 5월의 프로토콜 해킹으로 인한 누적 손실은 1억 달러를 넘어 스마트 컨트랙트 배포에서 표준화된 운영 감사와 다중 서명 거버넌스 모델 도입 요구를 촉발하고 있습니다.

보안 전문가는 단일 실패 지점을 줄이기 위해 타임록 계약, 공급 상한, 다중 서명 역할, 분산 자율 조직(DAO) 프레임워크의 도입을 권고합니다. 업계 관계자들은 에코 프로토콜의 포스트모템 보고서를 기다리며, 영향받은 유동성 공급자와 토큰 보유자에 대한 장기적인 거버넌스 개선 및 구제 계획을 평가할 예정입니다.