비너스(Venus) 거버넌스 토큰 XVS가 해킹으로 인한 익스플로잇의 여파로 하루 만에 9% 이상 급락했다. BNB 체인 기반의 머니마켓인 비너스는 총 예치 자산(TVL)이 14억 달러(약 2조 986억 원)를 넘어서는 대형 디파이(DeFi) 프로토콜임에도 불구하고, 이번 사고로 약 215만 달러(약 32억 원)의 부실채권이 발생했다.

이번 급락은 시장 전체의 위험자산 매도세와 맞물려 나타났으며, 같은 기간 코인데스크20(CD20) 지수도 4.6% 하락하며 하락세를 보였다. 그럼에도 불구하고 비너스(XVS)는 개별적인 악재로 인해 더 큰 낙폭을 기록한 것으로 분석된다.

사고는 3월 16일 비너스의 '테나(Thena) 마켓'에서 발생했으며, 초기에는 XVS 가격에 급격한 영향을 미치지 않았으나, 저스틴 선(Justin Sun)과 연관된 지갑을 포함한 주요 보유자들이 대량으로 물량을 거래소로 이동한 정황이 확인되면서 매도 압력이 커졌다.

비너스 측의 설명에 따르면, 공격자는 약 9개월 이상 테나의 THE 토큰을 대량으로 수집하여 포지션을 구축한 후, 보안업체 펙실드(PeckShield)가 분석한 바에 따르면, 이 자금은 토네이도캐시(Tornado Cash)에서 인출된 7,400ETH로 조달되었다. 공격의 핵심은 vTHE 계약에 THE 토큰 3,600만 개 이상을 '기부' 형태로 삽입하여 통상적으로 작동해야 할 한도(cap) 점검을 우회한 것이다. 이로 인해 해당 마켓의 환율이 급등하였고, 공격자는 부풀려진 장부상 가치를 바탕으로 THE를 담보로 다른 자산을 빌린 후, 유동성이 낮은 시장에서 THE를 추가 매수하여 가격을 끌어올리는 방식을 사용했다.

결과적으로 THE의 가격은 약 0.26달러(약 390원)에서 0.56달러(약 839원)로 급등했다. 비너스는 이번 사건이 플래시론 공격이 아니며 가격 오라클은 정상적으로 작동하고 있다는 점을 강조했다. 현재 문제를 일으킨 코드의 '틈'은 차단하기 위한 작업이 진행 중에 있다.

사고 이후 공격자가 THE를 매도하자 가격은 하루도 안 되어 17% 이상 급락하며 연쇄적인 청산이 발생했다. 청산이 본격화되기 전에 빠져나간 규모는 약 370만 달러에서 580만 달러(약 55억 원에서 87억 원)로 추정되며, 이 과정에서 비트코인, BNB, 스테이블코인 등 다양한 자산이 유출된 것으로 보인다.

비너스 측은 피해가 주로 THE 토큰에 집중되었으며, 팬케익스왑(CAKE)도 일부 한정적인 영향을 받았다고 설명했다. 그리고 영향 받은 풀 외에는 사용자의 자금 손실은 없다고 강조했다. 프로토콜은 사고 대응으로 THE에 대한 대출과 인출을 중단하고 THE의 담보 가치를 0으로 낮췄다. 더불어 비트코인캐시(BCH), 라이트코인(LTC), 에이브(AAVE) 등 '위험 가능성이 있다'고 판단된 다른 시장에 대해서도 규칙을 강화하였다.

이번 공격 주소는 사고 이전부터 커뮤니티에서 위험 신호로 지적된 것으로 알려졌다. 그러나 비너스는 당시 규칙이 깨진 것이 없고 익스플로잇도 발생하지 않았다고 판단하여 별도 조치를 취하지 않았다고 설명했다. 비너스는 소셜 미디어를 통해 "비너스는 탈중앙화 프로토콜이며, '퍼미션리스' 특성으로 인해 의심만으로 주소를 동결하거나 블랙리스트에 올릴 수 없다"며, 이러한 상황이 디파이에 내재된 긴장 관계임을 인정하였다.

이번 사건의 손실 부담 방식은 거버넌스를 통해 결정될 것으로 보이며, 시장에서는 비너스의 리스크 펀드가 어느 정도까지 부실채권을 흡수할지, 이번 사건이 BNB 체인 기반 디파이의 위험 관리 강화로 이어질지를 주목하고 있다.

결국 이 사태는 누구나 접근 가능한 디파이 구조가 보안 및 리스크 통제에 있어 어떤 한계를 드러내는지 확인시켰다. 비너스(XVS)는 부실채권 처리 방법과 재발 방지 방안을 얼마나 투명하게 제시할 것인지에 따라 단기 변동성뿐 아니라 중장기적인 신뢰 회복 속도에도 큰 영향을 미칠 것으로 예상된다.