$5천만 DeFi 손실 사태가 폭로한 인프라 위험과 기관 진출 장벽

5,040만 달러가 3만 6천 달러로: DeFi 역사상 최악의 단일 거래 손실

2026년 3월 12일, 이더리움 블록 24643151에서 한 건의 거래가 탈중앙화 금융(DeFi) 업계 전체를 뒤흔들었습니다. 한 투자자가 Aave 인터페이스를 통해 약 5,040만 달러 상당의 aEthUSDT를 aEthAAVE로 스왑하려 했으나, 최종적으로 돌려받은 것은 고작 327.2개의 aEthAAVE 토큰, 시가 약 3만 6천 달러에 불과했습니다. 99.9%에 달하는 슬리피지로 인해 사실상 전 재산이 한 블록 안에서 증발한 것입니다.

이 사건은 단순한 개인의 실수를 넘어, DeFi 인프라의 구조적 취약점을 적나라하게 드러냈습니다. 기관 투자자들이 DeFi 시장 진출을 본격적으로 검토하고 있는 2026년 현재, 이번 사태는 대규모 자본이 탈중앙화 프로토콜에서 안전하게 거래될 수 있는지에 대한 근본적 질문을 제기하고 있습니다.

사건의 배경: Aave와 CoW Protocol의 통합

Aave는 세계 최대 탈중앙화 대출 프로토콜로, 사용자들이 암호화폐를 예치하고 이자를 받거나 대출을 받을 수 있는 플랫폼입니다. aEthUSDT와 aEthAAVE는 각각 Aave에 예치된 USDT와 AAVE의 이자 수익형 토큰입니다. 해당 투자자는 Aave 인터페이스 내에서 담보 자산을 전환하는 '담보 스왑(collateral swap)' 기능을 사용했습니다.

이 거래의 실행을 담당한 것은 CoW Protocol이었습니다. CoW Protocol은 배치 옥션(batch auction) 메커니즘을 통해 MEV(최대 추출 가능 가치) 공격으로부터 사용자를 보호하는 것을 핵심 가치로 내세우는 탈중앙화 거래 프로토콜입니다. 일반적으로 CoW Protocol의 솔버(solver)들은 사용자의 주문을 공개 멤풀에 노출시키지 않고, 배치 단위로 묶어 최적의 실행 경로를 찾습니다. 그러나 이번 사건에서는 이 보호 메커니즘이 대규모 주문의 경제적 합리성을 검증하는 데 실패했습니다.

Aave와 CoW Protocol의 통합은 2025년부터 MEV 보호 스왑과 인텐트 기반 플래시론을 제공하기 위해 진행되어 왔으며, The Block에 따르면 이 통합은 업계에서 긍정적으로 평가받아 왔습니다. 그러나 이번 사건은 통합 과정에서 간과된 치명적 결함을 노출시켰습니다.

거래의 해부: 어떻게 5천만 달러가 사라졌나

Odaily의 상세 분석에 따르면, 이 거래는 네 단계로 진행되었습니다. 첫째, 5,040만 aEthUSDT가 Aave 풀에서 인출되어 5,040만 USDT로 전환되었습니다. 둘째, Uniswap V3를 통해 USDT가 17,957.8 WETH로 교환되었으며, 이 단계에서의 환율은 시장가인 약 2,808 USDT/WETH와 거의 일치하여 정상적이었습니다.

문제는 세 번째 단계에서 발생했습니다. 17,957.8 WETH가 SushiSwap V2의 AAVE/WETH 풀로 투입되었는데, 이 풀의 총 유동성은 겨우 331.6 AAVE와 17.65 WETH에 불과했습니다. 약 7만 3천 달러 규모의 유동성 풀에 5천만 달러 상당의 주문이 들어간 것입니다. 투입된 WETH는 풀 보유량의 1,017배에 달했으며, 이로 인해 풀의 AAVE 재고 99.9%가 소진되었습니다. 실질 매수 가격은 AAVE당 약 15만 4,114달러로, 당시 시장가 약 149.50달러의 거의 1,000배에 달했습니다.

네 번째 단계에서 획득한 331.3 AAVE는 Aave 공급 함수를 통해 327.2 aEthAAVE로 전환되었습니다. 최종 결과: 5,040만 달러 투입, 3만 6천 달러 회수.

MEV 봇의 개입과 가치 추출

CoinDesk에 따르면, 손실된 가치의 대부분은 MEV 차익거래자들에 의해 포착되었습니다. Arkham Intelligence의 온체인 데이터 분석 결과, 블록 빌더인 Titan Builder가 샌드위치 공격을 통해 약 3,400만 달러 상당의 이더리움을 추출했습니다. Titan Builder는 대규모 주문 직전에 AAVE를 매수하고, 사용자의 거래가 인플레이션된 가격에서 실행된 후 매도하는 방식으로 이익을 취했습니다. 별도의 MEV 봇이 유사한 방식으로 약 1,000만 달러를 추가로 추출했습니다.

FinanceFeeds의 보도에 따르면, 동일 블록 내에서 즉각적인 백런(backrun) 차익거래가 실행되어 약 17,929 ETH 상당의 이익이 추출되었습니다. 이는 DeFi 생태계에서 MEV 추출이 얼마나 체계적이고 자동화되어 있는지를 보여주는 단적인 사례입니다.

프로토콜의 대응과 책임 소재 논쟁

Aave 창립자 스타니 쿨레초프(Stani Kulechov)는 사건 직후 공개 성명을 발표했습니다. 그는 "인터페이스가 비정상적 슬리피지에 대해 사용자에게 경고했으며, 체크박스를 통한 확인을 요구했다"고 밝혔습니다. 또한 "사용자가 모바일 기기에서 경고를 확인하고 스왑을 진행했다"고 설명하며, 프로토콜은 설계대로 작동했다는 입장을 취했습니다. 다만 Aave 측은 해당 거래에서 수집된 약 60만 달러의 수수료를 환불할 계획임을 밝혔습니다.

CoW Protocol 역시 거래가 "서명된 주문의 매개변수에 따라 실행되었다"며 책임을 부인했습니다. 그러나 Odaily의 근본 원인 분석에 따르면, CoW Protocol의 라우팅/호가 시스템은 "양의 가스비와 0이 아닌 출력 금액"만 확인하면 호가를 '합리적'으로 판단했으며, 가격 이탈 안전장치나 유동성 위험 평가 기능이 전무했습니다. Aave의 프론트엔드 역시 어댑터별 메타데이터를 비활성화하여 호가와 실행 금액 간 불일치를 초래했습니다.

기관 투자자 진출에 대한 시사점

Chainflip의 분석 보고서는 이번 사건의 핵심 문제가 "아키텍처적"이라고 진단했습니다. 현재 AMM(자동화된 시장 조성자) 기반 시스템은 기관급 규모의 주문을 치명적 가격 영향 없이 처리할 수 있는 충분한 유동성 깊이를 갖추지 못하고 있습니다. Chainflip은 "모바일 화면의 체크박스 확인은 치명적 결과를 방지하는 시스템의 대체재가 될 수 없다"고 지적했습니다.

CoinCodex에 따르면, 기관 투자자들의 DeFi 채택을 가로막는 주요 장벽으로 규제 불확실성, 자본 비효율성, 그리고 바로 이번 사건이 드러낸 운영 리스크가 꼽히고 있습니다. 규제 기관들이 은행의 디지털 자산 참여에 대해 유연한 태도를 보이기 시작하고 GENIUS Act와 MiCA 시행이 가시화되고 있지만, 인프라 자체의 안전성이 보장되지 않는 한 기관 자본의 대규모 유입은 요원합니다.

Sygnum Bank의 2025년 분석 보고서에서 이미 "인프라와 자본 배분 간의 괴리"를 지적한 바 있으며, 이번 사건은 그 괴리가 현실화된 대표적 사례라 할 수 있습니다.

개선 방향: DeFi 인프라의 진화 과제

업계 전문가들은 몇 가지 핵심 개선 방안을 제시하고 있습니다. 첫째, JIT(Just-In-Time) 유동성 시스템의 도입입니다. Chainflip이 제안한 이 방식은 시장 조성자가 들어오는 주문을 관찰하고 해당 거래에 특화된 경쟁적 유동성을 제공하는 모델로, 정적 풀에 의존하는 현행 방식의 한계를 극복할 수 있습니다.

둘째, 사전적 슬리피지 한도 설정입니다. 사용자가 스왑 제출 전에 최대 슬리피지 허용치를 설정하되, 비정상적으로 높은 가격 영향이 감지되면 거래 자체를 차단하는 하드 블록(hard block) 메커니즘이 필요합니다. 현재의 체크박스 경고는 명백히 불충분합니다.

셋째, RFQ(Request for Quote) 시스템이나 오프체인 오더북을 활용한 기관급 거래 인프라의 구축입니다. 대규모 주문은 온체인 AMM 풀을 통해 실행하기보다 전문 유동성 제공자 네트워크를 통해 처리되어야 합니다.

결론: 투자자들이 주목해야 할 핵심 사항

이번 5천만 달러 손실 사태는 DeFi가 기관급 자본을 수용하기 위해 넘어야 할 인프라 장벽이 여전히 높다는 것을 극명하게 보여주었습니다. 프로토콜들이 "설계대로 작동했다"고 주장하는 상황에서 5천만 달러가 증발했다는 사실 자체가 문제입니다. 투자자들은 대규모 DeFi 거래 시 반드시 풀 유동성 깊이를 확인하고, 주문을 여러 블록에 걸쳐 분할 실행하며, 절대 달러 기준 가격 영향을 확인해야 합니다. DeFi 프로토콜과 인프라 프로젝트들이 이번 사건을 계기로 실질적인 안전장치를 구축하는지 여부가, 향후 기관 자본 유입의 방향을 결정짓는 핵심 변수가 될 것입니다.