작성자: 캘빈
- 2026년 3월 22일, 리졸브(Resolv) 프로토콜의 SERVICE_ROLE 키가 탈취되어 약 8,000만 USR이 무담보로 발행되었다. 공격자는 약 30만 USDC 만으로 이를 수행, 약 2,380만 달러 상당의 ETH를 확보한 뒤 이탈했다.
- 해킹 자체보다 더 주목할 점은, 해킹 이후에도 몰포(Morpho)의 퍼블릭 얼로케이터(Public Allocator)가 자동으로 피해 마켓에 USDC를 공급하며 공격자에게 추가 출구 유동성을 제공했다는 것이다. 하드코딩된 오라클이 USR을 여전히 1달러로 평가한 탓에, 디페깅된 USR을 담보로 한 차입이 계속 이루어졌고, 결과적으로 큐레이터 볼트에서 약 620만 달러의 USDC가 추가 유출되었다.
- 리졸브의 리스크 매니저로 선임된 스테이크하우스(Steakhouse)는 해킹 수일 전 "제도적 엄격함"을 갖추고 있다는 긍정적 평가를 발표했다. 이 평가가 다른 큐레이터들의 리졸브 관련 시장 노출 확대에 영향을 미쳤을 가능성이 있으며, 정작 스테이크하우스 자신은 해당 프로토콜에 직접 노출이 없었던 반면, 평가를 참고한 다른 볼트에서 실질적 손실이 발생했다.
- 리졸브가 해킹 인지 후 프로토콜을 일시 중지하는 데 약 3시간이 소요되었다는 사실은, 사후 대응 중심의 보안 체계가 갖는 한계를 명확히 드러낸다. 일회성 스마트 컨트랙트 감사만으로는 키 탈취와 같은 운영 보안 위협을 방어할 수 없으며, 실시간 모니터링 서비스와 추가적인 보안 체계를 통해 이상 징후 감지 시 자동으로 프로토콜을 일시 중지하는 연속적 보안 체계의 도입이 필수적이다.
📱 X 포스트
FP Website | Telegram (EN / KR) | X (EN / KR)