오라클 서명자 키 하나로 1800만 달러 증발…Arbitrum RWA 선물 DEX 오스티움(Ostium) 해킹 전말

1800만 달러는 어떻게 빠져나갔나

블록체인 보안 업체 Blockaid가 온체인에서 이번 공격을 가장 먼저 포착했다. Blockaid는 공격자가 탈취한 USDC를 Kyber를 통해 ETH로 스왑하기 시작했다고 전했다 . 공격은 다음 세 단계로 진행됐다.

1. 키 탈취: 공격자는 오라클 서명자로 등록된 주체의 프라이빗 키를 획득했다. 이 키는 프로토콜에 가격 데이터를 제출할 수 있는 권한을 가진 핵심 자격 증명이다 .
2. 가격 조작: 탈취한 키를 이용해, 공격자는 Gelato 네트워크에 등록된 PriceUpkeep 포워더 계약을 통해 미래 날짜의 유리한 가격 보고서를 제출했다 .
3. 수익 인출: 공격자는 조작된 가격을 바탕으로 약 20회의 위임 거래를 반복하며 포지션을 열고 닫아 가상의 트레이딩 수익을 창출했다 . 프로토콜 볼트는 이 허구적 수익을 실제 USDC로 지급했고, 총 약 1800만 달러가 인출됐다 .

CertiK는 손실 규모를 약 2200만 달러로 추정하며 Blockaid와 다른 의견을 제시했지만, 두 업체 모두 공격 원인이 오스티움의 오라클 시스템 손상에 있다는 점에 동의했다 .

TVL 대비 손실 비율은?

사용된 기준선에 따라 수치가 다르며, 소식통들은 다음과 같은 다양한 데이터를 제시한다:

• 프로토콜 재무부/볼트(약 3400만 달러)의 약 35%
• OLP 유동성 볼트(약 3400만 달러)의 약 35%
• 전체 TVL(약 6300만 달러)의 약 28%
• 일반적인 표현으로는 "유동성의 약 3분의 1"

가장 자주 인용되는 수치는 프로토콜의 3400만 달러 이상 규모 재무부 중 약 35% 이다 .

오스티움의 투자자와 조달 자금

오스티움은 General Catalyst와 Jump Crypto를 포함한 투자자들로부터 약 2780만 달러를 조달했다 . 더 이전의 펀딩 라운드도 있었지만, 이번 해킹 사고와 관련해 구체적으로 언급된 기관 투자자는 이 두 곳이다 .

2026년 DeFi 키 탈취 트렌드 속 오스티움

오스티움 해킹은 새로운 스마트 계약 취약점을 이용한 공격이 아니다. 이는 프라이빗 키 자격 증명을 탈취해 신뢰받는 가격 피드 메커니즘을 조작한 전형적인 사례다. 이는 2026년 지배적인 공격 패턴과 정확히 일치한다:

• **2026년 모든 DeFi 손실의 72%**는 스마트 계약 버그가 아닌 도난당한 키와 자격 증명 탈취에서 발생했다 .
• 인프라 및 운영상의 손상(키 탈취, 접근 통제 위반)은 전체 사고 건수의 약 15%에 불과했지만 전체 금전적 손실의 약 76% 를 차지했다. 이는 전통적인 코드 익스플로잇의 영향을 훨씬 웃도는 수치다 .
• 2026년 상반기에는 207건의 해킹 사고가 기록됐으며, 이는 역대 6개월 기준 최고치다. 총 손실액은 약 9억 7200만 달러였다 .
• 4월이 가장 손실이 큰 달이었으며, 주로 북한과 연계된 두 건의 키 탈취 사건( KelpDAO: 2억 9300만 달러, Drift Protocol: 2억 8000만 달러)이 원인이었다 . 이 두 건의 사고만으로 2분기 전체 손실의 4분의 3 이상을 차지했다 .

DeFiLlama 데이터에 따르면, 블록체인 프로젝트는 해킹과 익스플로잇을 통해 역사적으로 약 166억 9000만 달러를 손실했으며, 그중 약 40%가 프라이빗 키 손상으로 인한 것이었다 . 누적 기준으로, 지난 10년간 518건의 기록된 프라이빗 키 사건을 통해 170억 달러 이상이 도난당했다 .

결론적으로, 오스티움 해킹은 공격자들이 코드를 공격하는 것에서 키를 훔치는 쪽으로 방향을 전환했음을 보여주는 교과서적인 사례다. 소수의 키 손상 사건이 전체 손실에서 불균형적으로 큰 비중을 차지하는 현실에서 , DeFi 프로토콜에게 스마트 계약 감사만으로는 더 이상 충분하지 않다. 오라클 서명자 키와 같은 특권 자격 증명을 보호하는 것이 새로운 최전선이 되고 있다.