Term Finance, 거버넌스 공격으로 약 850만 달러 손실

Term Finance를 겨냥한 새로운 거버넌스 공격이 DeFi의 가장 오래된 우려 중 하나를 다시 떠올리게 했다. 바로 통제 리스크는 코드 리스크만큼이나 치명적일 수 있다는 점이다. 고정금리 대출 프로토콜의 볼트가 침해당하면서, 보안 연구자들은 약 850만 달러 규모의 자산이 유출된 것으로 추정하고 있다. 여기에는 약 2,843 ETH와 168만 달러 상당의 USDC가 포함된다. 탈취된 USDC는 이후 DAI로 전환됐으며, 이번 사건은 프로토콜의 자본 기반을 크게 훼손했다. 공격 전 TVL은 약 1,245만 달러 수준이었고, 이번 손실은 볼트 총가치의 약 68%에 해당한다.

무슨 일이 있었나

이번에 영향을 받은 Term Finance의 제품은 Term Strategy Vaults로, Yearn V3 아키텍처 위에 구축돼 있다. 하지만 피해는 Yearn의 표준 볼트 컨트랙트에 존재하는 결함에서 비롯된 것이 아니었다. 대신, 문제는 볼트 주변에 배치된 Term 자체의 커스텀 거버넌스 레이어에서 시작된 것으로 보인다.

이 차이는 매우 중요하다.

탈중앙화 금융에서는 래퍼, 어댑터, 거버넌스 모듈이 자금에 대해 누가 변경을 제안하고, 지연시키고, 거부권을 행사하고, 실행할 수 있는지를 좌우하는 경우가 많다. 기반이 되는 볼트 로직이 아무리 견고해도, 통제 레이어 설계가 허술하면 실제 실패 지점이 될 수 있다. 이번 사례에서 Yearn은 자사의 핵심 볼트 설계는 침해되지 않았다고 밝힌 반면, 취약점은 Term의 외부 거버넌스 구현에 존재했다고 설명했다.

왜 방어 장치가 충분하지 않았나

Term의 볼트 거버넌스에는 다음과 같은 두 가지 주요 보호 장치가 있어야 했다.

• 거버넌스 조치에 대한 7일 타임락
• 유동성 제공자가 유해한 변경을 거부할 수 있는 LP 거부권(veto) 메커니즘

문서상으로는 꽤 강력한 방어처럼 보인다. 하지만 실제로는 공격을 막지 못했다.

이는 DeFi 거버넌스 보안에서 익숙한 교훈이다. 보호 장치는 올바른 계층에 구현되어야 하고, 일관되게 강제되어야 하며, 설정 실수나 커스텀 실행 경로를 통해 우회될 수 없어야만 의미가 있다. 타임락은 공격자의 속도를 늦출 수는 있지만, 이미 훼손된 거버넌스 설계를 보완해 주지는 못한다. LP 거부권은 책임성을 높일 수 있지만, 실제로 문제 삼는 정확한 조치와 연결되어 있고, 도달 가능하며, 안정적으로 작동해야 한다.

타임락이 적용된 관리자 워크플로가 일반적으로 어떻게 구성되는지 궁금하다면, OpenZeppelin의 TimelockController 문서를 참고할 만하다.

이 사건이 Term Finance를 넘어서는 이유

이번 익스플로잇은 단순히 하나의 프로토콜이 실패한 사건이 아니다. 2025년 DeFi 전반에서 나타나는 더 큰 흐름을 보여준다. 핵심 대출 및 볼트 컨트랙트는 점점 더 철저히 감사받고 있지만, 공격자들은 이제 거버넌스, 역할 관리, 업그레이드 경로, 래퍼 컨트랙트처럼 덜 눈에 띄는 공격면을 더 적극적으로 노리고 있다.

이 변화는 몇 가지 함의를 갖는다.

1. 거버넌스는 이제 핵심 공격면이다

많은 사용자는 여전히 프로토콜이 감사받았는지만 본다. 감사는 중요하지만, 거버넌스 권한, 멀티시그 정책, 커스텀 접근 제어가 악용될 수 있다는 위험까지 없애 주지는 못한다.

2. TVL 집중은 피해를 키운다

볼트가 자신의 자본 상당 부분을 하나의 구조에 집중해서 보유하면, 단 한 번의 익스플로잇으로 몇 분 만에 풀 가치 대부분이 사라질 수 있다. Term의 경우 이번 손실은 사건 전 TVL의 큰 비중을 차지해, LP들은 심각한 슬리피지와 자본 훼손에 노출됐다.

3. “기반 위에 구축됐다”는 “보호받는다”는 뜻이 아니다

이번 사건에서 문제는 Yearn의 표준 볼트가 아니었던 것으로 알려졌는데, 이는 사용자와 통합자 모두에게 중요한 경고다. 한 프로토콜이 다른 프로토콜의 인프라 위에 커스텀 로직을 덧붙이면, 보안 모델 자체가 달라진다. 사용자는 베이스 레이어만이 아니라 전체 스택을 평가해야 한다.

DeFi 사용자가 지금 확인해야 할 것

대출, LP 포지션, 구조화된 수익 상품을 사용하고 있다면, 이번 사건은 다음 체크리스트를 떠올리게 한다.

• 프로토콜이 커스텀 거버넌스 래퍼를 사용하는지 확인하기
• 중요한 변경 사항에 실제 타임락이 적용되는지 점검하기
• 명확하게 문서화된 비상 권한과 거부권이 있는지 살펴보기
• 투명한 보안 아키텍처와 사후 분석 보고서를 공개하는 프로토콜을 우선하기
• 단일 볼트나 전략에 자본을 과도하게 집중하지 않기

프로토콜의 거버넌스 프로세스가 소수 운영자에 의해 변경될 수 있는지도 주의 깊게 볼 필요가 있다. 많은 경우 가장 위험한 리스크는 눈에 띄는 익스플로잇이 아니라, 통제하는 자본 규모에 비해 권한 구조가 지나치게 강력하다는 점이다.

셀프 커스터디를 위한 더 큰 교훈

프로토콜 수준의 거버넌스 실패는 지갑 탈취와는 다르지만, 대응하는 마음가짐은 비슷하다. 복잡성은 공격면을 넓히므로, 불필요한 노출은 가능한 한 줄여야 한다는 것이다.

DeFi를 자주 사용하는 사용자라면, 하드웨어 지갑은 개인 키를 오프라인에 보관하고 거래 검토를 더 신중하게 만드는 중요한 규율의 층을 더해 준다. OneKey 같은 장치는 특히 계약 상호작용에 서명하거나, LP 포지션을 관리하거나, 여러 체인 간 자금을 옮기는 일을 자주 하는 사람에게 유용하다. 저장 보안만큼이나 거래 확인의 신중함이 중요하기 때문이다.

이것이 프로토콜 수준의 거버넌스 공격을 막아 주지는 못하지만, DeFi에 참여하는 동안 위험한 승인에 서명하거나 피할 수 있는 운영 실수를 저지르는 일을 줄이는 데는 도움이 된다.

결론

Term Finance 사건은 가장 위험한 DeFi 실패가 항상 단순한 코드 버그는 아니라는 점을 다시 보여준다. 때로는 진짜 약점이 코드 주변의 통제 구조에 숨어 있다.

프로토콜 입장에서는 감사, 타임락, 거부권이 하나의 일관된 보안 모델로 설계되어야 한다는 메시지가 분명하다. 사용자 입장에서도 마찬가지로 중요하다. 자본을 예치하기 전에 권한이 어디에 있는지 반드시 이해해야 한다. DeFi에서는 거버넌스가 유동성만큼이나 중요할 수 있기 때문이다.