글: Eric, Foresight News
9월 28일, 《재단의 v2 DAI 준비금 유용》이라는 제목의 글이 Compound 거버넌스 포럼에 올라왔다.
작성자 ugurmersin은 Compound 재단이 거버넌스 권한을 위반해 DAO가 맡긴 842만 DAI 준비금을 거버넌스 토큰 COMP로 환전하고, 핵심 제안 투표 마감 58분 전에 투표권을 재단 자신의 주소에 위임함으로써 총 5200만 달러 규모의 V4 계획과 재정 관리권 이전을 밀어붙였다고 주장했다. 글에는 완전한 온체인 거래 기록이 첨부되어 있었고, 표현이 매우 강경했으며 이미 증거를 확보해 법적 대응을 준비 중임을 시사했다.
필자가 확인한 바에 따르면, 글에서 설명한 자금 경로는 대체로 사실이다. 문제가 폭로된 후 COMP는 약 1%의 소폭 하락에 그쳤고, 오늘 11시부터 지속적으로 반등해 집필 시점 기준 COMP 가격은 24.55달러를 기록하며 전일의 하락분을 모두 회복했다.
3월 10일, DAI를 보관하던 재단의 0x0F51로 시작하는 멀티시그 주소가 842만 DAI를 Spark PSM을 통해 1:1로 동일 수량의 USDC로 교환한 뒤 Compound v3 USDC 시장에 예치했다.
3월 11일부터 12일까지 Compound 재단은 먼저 약 43만 USDC를 사용해 OTC로 2.5만 COMP를 매입했다. 4월 9일, 15일, 25일에는 세 차례에 걸쳐 798.8만 USDC를 v3에서 인출해 0xfb20으로 시작하는 중간 지갑으로 이체한 뒤, 백만 달러 단위로 한 바이낸스 입금 계좌로 흘려보냈다.
이후 0xb03e로 시작하는 주소가 바이낸스 핫월렛과 Wintermute 주소에서 누적 약 42만 COMP를 인출했다. 5월 5일에는 344,780 COMP가 0x729d로 시작하는 중간 주소를 거쳐 재단 멀티시그 주소로 돌아왔다.
제3자 데이터 기관 Bitquery의 독립 검증 결과, 이 DAI는 실제로 USDC로 교환된 뒤 거래 데스크를 거쳐 바이낸스로 유입되었고, 약 34.5만 COMP가 이후 거래소에서 빠져나와 재단이 관리에 참여하는 멀티시그 지갑으로 돌아왔으며, 입금 시점은 실제로 제안 스냅샷 1시간도 채 되지 않은 때였고, 투표권 역시 이미 재단의 공개 투표 주소에 위임되어 있었다. 재단은 이후 성명을 내고 거래 행위를 인정하면서도, 이는 원래 제안에서 거버넌스 실행에 필요한 COMP 준비금을 유지하도록 한 권한 범위 내의 일이며, 자산은 여전히 DAO 소유이고 재단 자체 지출에는 사용되지 않았다고 해명했다.
이야기가 여기서 끝난다면, 이는 수탁자의 권한 남용에 관한 전형적인 사례처럼 보인다. 그러나 Bitquery의 검증은 글의 또 다른 면도 드러냈다. 글을 올리기 5일 전, 같은 작성자가 포럼의 다른 글에서 "여기 계신 분들 모두 Humpy가 저에게 표를 위임하고 있다는 것을 알고 있습니다"라는 말을 남겼다. 이 한마디가 사건 전체의 성격을 바꿔 놓았다.
Humpy는 DeFi 분야에서 가장 논란이 많은 고래 중 한 명이다. 2022년 그는 Balancer에서 대량의 투표권을 축적해 거버넌스 결정을 장악했고, 양측은 거의 1년간 싸운 끝에 어쩔 수 없이 합의안에 서명했다. 2024년 3월, SushiSwap 책임자는 그가 토큰 배출을 자신의 풀 쪽으로 흘려보내도록 조작하려 했다고 공개적으로 비난했다. 같은 해 7월, 그가 이끄는 Golden Boys 그룹은 세 차례의 시도 끝에 Compound 제289호 제안을 통과시켜 2400만 달러 상당의 국고 COMP를 자신이 통제하는 수익 상품으로 끌어들이려 했고, 이는 커뮤니티에서 거버넌스 공격으로 널리 규정되었으며, 결국 제안 실행 지연 시간을 늘리고 스테이킹 상품을 신설하는 합의안으로 마무리되었다. OpenZeppelin, Wintermute 등 보안 측은 당시 모두 이를 프로토콜에 대한 약탈적 공격으로 규정했다.
그리고 온체인 기록에 따르면, 2026년 5월 이후 Humpy와 연관된 주소 클러스터가 다시 활발해졌다.
Bitquery는 33개 지갑이 합계 약 161만 표의 투표권을 보유하고 있음을 추적했으며, 이 COMP 토큰은 5월부터 9월 사이에 점진적으로 한 주소로 모여 그 주소가 통일적으로 투표권을 행사했다. 9월 14일, 약 2.5만 표의 위임으로 해당 주소는 제안 제출에 필요한 기준선을 넘어섰다. 5일 후, 제608호 제안이 온체인에 올라왔는데, 내용은 새로운 기관 대출 시장의 통제권을 DAO 거버넌스로 이전하는 것이었고, 이 제안은 바로 ugurmersin 본인이 9월 9일 포럼에서 초안을 작성한 것이었다. 해당 연관 클러스터는 177만 표의 찬성으로 이를 통과시켰고, 재단은 반대표를 던졌지만 막을 수 없었다. 이어지는 제609호 일반 제안은 같은 표밭에 의해 부결되었다.
이로써 사건 자체가 반전되었다. 재단이 준비금으로 매입한 COMP는 제580호와 제582호 제안을 수학적으로 해당 클러스터의 잠재적 반대표에 면역이 되게 만들었다. 이 토큰이 없었다면, 해당 클러스터가 당시 보유한 표 수로 제안을 뒤집을 수 있었다. 다시 말해, 이 논란이 된 매입은 실제 효과 면에서 바로 글 작성자와 연관된 세력을 막아낸 셈이다. 그리고 고발 글이 올라온 시점에, 해당 클러스터는 막 자신의 제안으로 한 차례 성공적인 권력 확장을 이루고, 처음으로 타인의 제안을 부결시킬 능력을 과시한 상태였다.
Compound의 최근 반년간 핵심 과제는 v4 버전 개발로, 기관 신용 인프라, RWA 지원, 자본 효율성 향상, 청산 메커니즘 업그레이드, 파트너 통합 도구 등에 초점을 맞추고 있다. 이번에 논란을 일으킨 제안은 바로 v2 버전을 폐지한 뒤 시장에 남은 준비금을 재단 관리에 맡기는 일반 제안이었다.
5월, Compound는 '재무 관리 위원회'를 설립해 Compound DAO의 거의 모든 재무 자산을 관리하도록 했다. 이 위원회는 멀티시그로 통제되는 위원회로, 재무 자금을 전문 자금 운용자에게 배분(RFP 입찰을 통해)하여 견실한 자산 관리를 수행하는 역할을 맡는다.
재단이 폐지된 버전의 잔여 자금을 사용한 것도 본질적으로는 프로토콜의 '대계(大計)'인 v4 버전 개발이 순조롭게 진행되도록 하기 위한 방어적 조치였다. 다른 한편으로, Compound의 움직임은 현재 DAO 거버넌스의 큰 흐름, 즉 자금 관리 권한의 일부를 프로젝트 팀에 되돌려 '힘을 모아 큰일을 해내는' 추세에도 부합한다.
9월 8일, Compound는 첫 v4 관련 제품인 Institutional Market(기관 시장)을 출시했다. USDC 대출 시장을 제공하며 ETH, wstETH, WBTC, cbBTC 등을 담보로 받고, 최대 LTV는 87%, 더 높은 청산 기준선을 갖췄다. 이 제품은 출시 후 일주일 만에 예치금 약 2000만 달러, 대출 약 1480만 달러를 기록했다.
강조할 점은, 고발의 근거가 된 온체인 사실 자체가 이로 인해 뒤집힌 것은 아니라는 것이다. DAI가 COMP로 바뀐 것은 사실이고, 재단 자신의 주소에 위임한 것도 사실이며, 스냅샷 58분 전에 입금된 것도 사실이다. 재단의 조작이 권한 부여의 본래 취지에 완전히 부합하는지에 대해서는 커뮤니티가 여전히 따져 물을 이유가 있다. 그러나 마찬가지로 사실인 것은, 고발을 제기한 사람이 여러 차례 거버넌스 공격 전력이 있는 고래의 위임을 공개적으로 받고 있고, 그 본인이 초안을 작성한 제안이 그 표밭에 의존해 통과되었으며, 고발의 시점이 바로 양측의 힘의 균형이 역전된 직후라는 점이다. 이는 중립적인 커뮤니티 감시로 보기 어렵고, 2년간 이어져 온 통제권 전쟁에서의 한 차례 여론 공세에 가깝다.
