Switchboard 중단이 드러낸 디파이의 ‘공유 의존성’ 위험

Switchboard가 잠재적 보안 침해 보고를 받은 뒤 Aptos, Sui, IOTA, Movement에서 Move 기반 오라클 서비스를 중단했다. 오라클은 디파이(DeFi·탈중앙화금융) 애플리케이션에 자산 가격을 전달하는 핵심 인프라다. 따라서 신뢰할 수 없는 가격 업데이트를 차단한 이번 조치는 추가 피해를 막기 위한 선제적 격리 조치로 볼 수 있다. 2433

현재까지 확인된 피해는 심각하지만, 전체 규모는 아직 확정되지 않았다. Sui의 디파이 프로토콜 Full Sail은 Switchboard 오라클 침해 의심 사건 이후 금고(vault)에서 자금 손실이 발생했다고 밝혔고, 오라클의 무결성을 확인할 때까지 예치와 출금을 중단했다. 다만 손실 금액은 공개하지 않았다. 23

IOTA에서는 오라클 가격 조작으로 특정 토큰의 보고 가격이 1,000만 달러까지 올라갔다는 여러 보고가 나왔다. 이로 인해 Virtue를 통한 약 494만 VUSD 발행과 45명의 이용자에게 영향을 준 청산이 발생했다는 설명이다. 해당 수치는 현재까지 보도된 추정치이며, 독립적으로 최종 확인된 총손실액은 아니다. 182425

중단된 서비스는 무엇인가

영향을 받은 것은 Switchboard의 Move 기반 배포판이며, 대상 네트워크는 다음 네 곳이다.

• Aptos
• Sui
• IOTA
• Movement

Switchboard는 잠재적 침입 보고 이후 기여자들이 각 생태계 팀 및 보안 전문기관과 대응을 조율하고 있다고 밝혔다. Solana 구현에 대해서는 유사한 침해 보고를 받지 못했다고 설명했지만, 조사 기간에는 이용자들이 다른 오라클 솔루션으로 임시 이전할 것을 권고했다. 3334

핵심 쟁점은 특정 체인보다 ‘공통 구현’이다

네트워크 네 곳에서 동시에 서비스가 중단됐다는 점은 공통 실패 지점이 있었을 가능성을 제기한다. 문제의 범위가 Aptos, Sui, IOTA, Movement 각각의 기저 블록체인에 있다기보다 Switchboard의 공유 Move 구현, 배포 과정, 설정 또는 운영 보안에 걸쳐 있을 수 있다는 의미다.

다만 현재 공개된 자료만으로 Move 언어 자체나 네 블록체인 중 어느 하나가 침해됐다고 결론 내릴 수는 없다. 정확한 공격 경로도 확인되지 않았다. 일부 보도는 키 탈취 가능성을 언급하지만, 실제 원인이 개인키 침해였는지, 검증 절차의 취약점이었는지, 설정 오류나 운영상의 문제였는지는 조사가 끝나기 전까지 확정할 수 없다. 1825

IOTA의 가격 조작 이후 Virtue의 운영 중단도 보도됐지만, 피해 복구 여부와 최종 손실 규모까지 확인된 것은 아니다. 1825

잘못된 오라클 가격이 디파이를 흔드는 방식

스마트 컨트랙트는 담보 가치, 대출 한도, 청산 여부 등 주요 결정을 오라클이 제공하는 가격에 의존한다. 공격자가 조작된 가격을 주입하면 다음과 같은 일이 가능해진다.

• 부풀려진 담보를 바탕으로 자금 대출
• 잘못된 평가액에 따른 토큰 발행
• 비정상적인 청산 유발
• 가격에 연동된 스왑·파생상품 거래 실행

반대로 오라클을 중단하면 애플리케이션은 신뢰할 수 있는 최신 가격을 얻지 못한다. 이에 따라 프로토콜은 다음 기능을 일시 중지할 수 있다.

• 담보 평가와 대출
• 청산
• 신규 포지션 개설
• 스왑 및 파생상품 결제
• 금고 예치·출금과 회계 처리
• 최신 가격이 필요한 기타 거래

보수적인 프로토콜은 의심스럽거나 오래된 가격을 계속 사용하는 대신, 기능을 ‘안전하게 닫는’ 방식을 택한다. 이는 추가 손실을 줄일 수 있지만 이용자 자금을 묶고 시장 활동을 멈추게 할 수 있다. Full Sail이 예치와 출금을 모두 중단한 사례가 바로 이 상충 관계를 보여준다. 23

Pyth·Chainlink를 함께 쓴 프로토콜이 유리했던 이유

Pyth나 Chainlink처럼 독립적으로 수집한 대체 가격 피드를 함께 사용한 프로토콜은 상대적으로 대응 여력이 컸다. 여러 오라클을 연결해 두면 가격을 비교하거나, 문제가 발생한 공급자를 다른 공급자로 교체하거나, 특정 오라클 하나에 거래 전체를 의존하지 않을 수 있기 때문이다.

물론 중복성이 완전한 보안을 보장하는 것은 아니다. 대체 오라클 역시 통합 방식, 설정, 권한 관리, 거버넌스가 제대로 설계돼야 한다. 그럼에도 서로 독립적인 데이터 공급원을 확보하면 한 사업자의 장애나 특정 배포판 침해가 전체 서비스로 번지는 범위를 줄일 수 있다.

Solana가 다르게 취급된 이유

Switchboard의 Solana/SVM 구현은 별도의 배포 구조를 사용하며, Ed25519 서명 검증을 포함한 독자적인 업데이트·검증 흐름으로 문서화돼 있다. 1 이런 구조적 분리는 이번 보고가 우선 Move 기반 배포판에 한정되고 Solana로 자동 확대되지 않은 이유를 설명해준다.

다만 ‘유사한 보고가 없다’는 말이 Solana의 완전한 면역을 입증하는 것은 아니다. Switchboard가 Solana 이용자에게도 대체 오라클로의 임시 이전을 권고한 것은 조사가 진행 중인 상황에서 불확실성을 관리하기 위한 조치였다. 3334

아직 답이 나오지 않은 질문

현재 공개된 자료만으로는 다음 사안이 밝혀지지 않았다.

• 정확한 침입 또는 익스플로잇 경로는 무엇이었나?
• 실제 개인키가 탈취됐나, 아니면 코드·설정·운영 절차의 문제였나?
• 보고된 사례 외에 어떤 애플리케이션, 자산, 이용자 포지션, 체인이 영향을 받았나?
• 전체 손실액은 얼마인가?
• 약 494만 VUSD 발행과 45명 청산이라는 수치가 온체인 데이터로 최종 검증될 수 있나?
• 피해 이용자에 대한 보상이 이뤄질지, Move 기반 오라클이 언제 안전하게 재개될지?

현재 근거로는 이번 사태를 Full Sail에서 손실이 확인되고 IOTA 관련 익스플로잇이 보고된 중대한 오라클 보안 사건이라고 설명할 수 있다. 그러나 최종 손실액을 단정하거나, 이번 사건만으로 디파이 익스플로잇이 전반적으로 증가하고 있다고 결론 내리기는 어렵다. 그런 판단에는 완료된 기술 조사와 신뢰할 수 있는 업계 전체 데이터가 필요하다.