저자: Deep Tide TechFlow

최대 규모의 탈중앙 금융(DeFi) 대출 프로토콜에서 보안팀의 조용한 이탈이 발생하고 있다.

어제 카오스 랩스(Chaos Labs)라는 회사가 에이브(Aave)와의 파트너십 종료를 알리는 작별 인사를 전했습니다. 대부분의 사용자는 이 회사를 잘 모를 수 있지만, 지난 3년 동안 이 회사는 에이브에서 이루어지는 모든 대출에 대한 담보 비율, 청산 기준, 위험 매개변수를 설정하는 역할을 담당해 왔습니다.

또한 그들은 시장 상황에 따라 실시간으로 매개변수를 조정할 수 있는 '리스크 오라클(Risk Oracle)'이라는 자동화 시스템을 구축했습니다. Aave는 이 시스템을 활용하여 수십 개 시장에서 19개 체인의 250개 이상의 시장으로 사업을 확장했습니다. 3년 만에 수천억 달러 규모의 자산을 관리하면서 부실채권은 단 한 건도 발생하지 않았습니다.

간단히 말해, Aave는 스마트 계약을 실행하지만, Chaos Labs는 해당 계약에 입력된 숫자의 정확성을 항상 보장하는 책임을 맡고 있습니다.

오머 골드버그 CEO의 고별사는 훌륭하게 작성되었고, 성과 보고서는 상세했습니다. TVL은 52억 달러에서 260억 달러 이상으로 증가했고, 총 예금액은 2조 5천억 달러를 넘어섰으며, 20억 달러 이상이 유동화되었습니다.

그는 이어서 "우리가 선제적으로 계약을 해지했습니다. 아무도 그들을 해고하지 않았고, 계약 기간도 만료되지 않았습니다."라고 말했습니다. 한편, Aave의 설립자 스타니 쿨레초프는 침착하게 대응하며 계약은 정상적으로 이행되고 있으며, 다른 위험 관리 서비스 제공업체인 LlamaRisk가 업무를 인계받을 것이라고 밝혔습니다.

아무 일도 없었던 것처럼 들리네요.

하지만 최대 규모의 DeFi 대출 프로토콜에서 3년간 아무 문제 없이 플랫폼을 관리해 온 리스크 관리팀이 떠난 것은 전통 금융계에서 불길한 징조로 여겨지고 있습니다.

골드버그는 성명에서 이번 의견 차이는 금전적인 문제가 아니라 양측 간의 위험 관리 방식에 대한 근본적인 오해에서 비롯된 것이라고 밝혔습니다.

돈은 적을수록 불만은 많아진다

Aave Labs는 Chaos Labs를 붙잡아 두기 위해 Chaos Labs의 연간 예산을 300만 달러에서 500만 달러로 증액해 주겠다고 제안했지만, Chaos Labs는 결국 떠났습니다.

골드버그는 성명에서 사임해야 했던 세 가지 이유를 밝혔지만, 그 이유들을 읽어보면 모두 같은 결론을 가리키고 있음을 알게 될 것입니다.

첫 번째는 자금 문제입니다. Aave의 2025년 총 매출은 1억 4,200만 달러였으며, 위험 관리 예산은 300만 달러로 전체 매출의 2%를 차지했습니다. 전통적인 은행들은 일반적으로 매출의 6%에서 10%를 규정 준수 및 위험 관리에 지출합니다.

골드버그는 지난 3년간 이 사업에서 적자를 기록해 왔으며, 예산을 500만 달러로 증액했음에도 불구하고 여전히 손실을 보고 있다고 말했습니다. 그는 적정한 손익분기점은 800만 달러라고 생각합니다. Aave는 1억 4천만 달러의 자금을 보유하고 있으며, Aave Labs는 최근 5천만 달러의 투자 유치안을 승인했습니다. 따라서 이번 합의는 자금 부족 때문이 아니라 보안팀에 그만큼의 예산을 투입하고 싶지 않아서인 것으로 보입니다.

두 번째는 역동성의 필요성입니다. Aave는 V3에서 V4로 업그레이드하면서 기본 아키텍처, 계약 및 청산 로직을 완전히 재작성하고 있습니다. 골드버그는 V4와 V3의 공통점은 이름뿐이라고 말했습니다. 업그레이드 기간 동안 두 시스템은 병렬로 실행되며, 위험 관리 작업량은 절반으로 줄어드는 것이 아니라 두 배로 늘어날 것입니다.

세 번째 문제는 책임입니다. 현재 DeFi 리스크 관리자의 법적 책임은 규제 체계나 면책 조항이 없어 완전히 불분명합니다. 상황이 좋을 때는 눈에 띄지 않지만, 문제가 생기면 가장 먼저 책임을 져야 합니다. 골드버그가 지적했듯이, 상승 잠재력이 미미하고 하락 위험이 무한하다면, 계속 진행하는 것 자체가 잘못된 리스크 관리 결정입니다.

이 주장을 반박하기는 어렵다고 생각합니다. 연간 수입이 1억 4천만 달러에 달하는 계약을 생각해 보세요. 수백억 달러 규모의 자산 보안을 담당하는 팀에게 예산의 2%만 주고, 업무량은 두 배로 늘리라고 하면서, 문제가 발생하더라도 법적 보호 장치는 전혀 제공하지 않는다고 가정해 봅시다.

당신이라면 내 입장에서 어떻게 하겠어요?

물론, 상대측의 주장은 다릅니다. Aave Labs의 설립자 쿨레초프가 X에 올린 답변에 따르면, Chaos Labs는 최근 위험 컨설팅 사업 규모를 축소하고 있으며, 다른 계약과의 협력도 줄이기 시작한 것으로 보입니다.

이는 작별 편지에 적힌 이유들이 떠나는 것에 대한 그럴듯한 명분을 만들어내기 위한 수단에 불과했다는 것을 암시합니다.

철학적 충돌이었는지, 아니면 편리한 핑계였는지는 외부인이 판단할 수 없습니다. 하지만 한 가지는 확실합니다. 카오스 랩스만 떠난 것은 아니라는 점입니다.

약세장은 갑작스러운 폭우로 더욱 악화됩니다.

아베는 여전히 아베라고 불리지만, 그곳을 건설했던 사람들은 지난 두 달 동안 모두 떠났습니다.

올해 2월, Aave V3의 핵심 개발팀인 BGD Labs는 계약을 갱신하지 않겠다고 발표했습니다. 이 회사는 Aave의 전 CTO였던 에르네스토 보아도가 설립했으며, V3의 코드 대부분, 거버넌스 시스템 및 크로스체인 배포를 담당했습니다. 4년 간의 계약 만료 후, 그들은 Aave를 떠났습니다.

BGD의 주장은 간단합니다. Aave Labs는 V4 개발, 브랜드 자산, 소셜 미디어 계정 등 모든 권한을 자체적으로 장악하고 있습니다. BGD는 이러한 상황에서 디자인 과정에 참여할 권리가 없다고 느끼면서도 결과에 대한 책임은 져야 한다고 주장합니다. 일반적인 회사라면 이러한 상황을 '소외'라고 부를 것입니다.

한 달 후, Aave의 거버넌스 시스템에서 가장 활발한 서비스 제공업체였던 ACI도 탈퇴를 발표했습니다. 8명으로 구성된 이 팀은 3년 동안 Aave의 거버넌스 제안 중 61%를 주도해 왔습니다. 창립자인 마크 젤러는 고별 서한에서 직설적으로 밝혔습니다. Aave Labs는 자체 의결권을 이용해 예산을 통과시킬 수 있으며, 독립적인 서비스 제공업체는 더 이상 이 시스템에서 중요하지 않다는 것이었습니다.

두 달 만에 두 통의 작별 편지를 받았는데, 하나는 자신이 팀에서 제외되었다는 내용이었고, 다른 하나는 경기 규칙이 불공평하다는 내용이었다.

그러다 올해 3월에 또 다른 일이 일어났습니다.

카오스 랩스의 위험 관리 시스템 구성 오류로 인해 약 2,700만 달러 상당의 포지션이 잘못 청산되어 최소 34명의 사용자가 피해를 입었습니다. 카오스 랩스는 부실 채권은 발생하지 않았으며 피해를 입은 사용자들에게 보상이 지급될 것이라고 밝혔습니다.

궁극적으로 이 사건에 대해 법적으로 책임을 져야 할 사람이 누구인지에 대한 정의가 없기 때문에 아무도 법적 책임을 지지 않았습니다.

하지만 수천억 달러를 관리한다는 것은 단 하나의 매개변수라도 잘못 조정하면 수천만 달러의 변동이 발생할 수 있다는 것을 의미하며, 그 와중에 법적 보호는 사실상 전무합니다. 이것이 바로 위험 관리팀이 고별 편지에서 거듭 강조했던 문제입니다.

따라서 V3 시대의 Aave는 개발, 거버넌스, 위험 관리 및 재정적 성장이라는 네 가지 기둥을 기반으로 운영되었습니다. 그러나 이제 처음 세 가지가 사라졌습니다.

위험 관리팀의 작별 편지에는 테세우스의 배라는 비유가 사용되었습니다. 배의 모든 판자를 교체한다면, 그것은 여전히 같은 배일까요?

Aave라는 이름은 여전히 남아있고, 계약도 여전히 실행 중이며, 총 예치금(TVL)도 계속 증가하고 있습니다. 하지만 코드를 작성했던 팀도, 운영팀도, 위험 관리팀도 모두 사라졌습니다. 사용자들은 여전히 평소처럼 예금과 대출을 하고 있지만, 표면적으로는 모든 것이 바뀌었다는 사실을 아마도 전혀 모르고 있을 것입니다.

이 사건에서 정말 불안한 점은 누가 떠났느냐가 아니라, 그들이 떠난 후 아무 일도 일어나지 않았다는 것이다.

사용자들이 웹페이지에 접속해서 돈을 입금하고, 대출받고, 이자율도 정상이고, 결제도 정상적으로 이루어지고, 모든 것이 정상적으로 보입니다. 운영 포럼을 특별히 읽는 사람이 아니라면, 대부분의 사용자는 지난 두 달 동안 무슨 일이 있었는지 전혀 알지 못합니다.

단기적으로는 상황이 괜찮을 수도 있습니다. 위험 관리팀이 떠난다고 해서 스마트 계약이 작동을 멈추는 것도 아니고, 미리 설정된 매개변수가 저절로 바뀌는 것도 아니니까요. 게다가 Aave는 LlamaRisk라는 위험 관리 서비스 제공업체를 두고 있어 완전히 무방비 상태는 아닙니다.

하지만 위험 관리는 일회성 프로젝트가 아닙니다. 매개변수를 올바르게 설정한다고 해서 항상 적합하다는 보장은 없습니다. 시장은 변하고, 자산은 변하고, 온체인 공격 방식도 변합니다. 새로운 팀이 다음에 비슷한 사건이 발생했을 때 이전처럼 신속하게 대응할 수 있을지는 아무도 모릅니다.

게다가 지금은 평온과 고요를 누릴 때가 아닙니다.

AAVE 가격은 작년 8월 최고가인 356달러에서 현재 약 96달러까지 70% 이상 하락했습니다. 전체 DeFi 대출 시장이 축소되고 있고, 온체인 활동이 감소하고 있으며, 프로토콜 수익이 압박을 받고 있습니다.

상승장에서는 리스크 관리가 눈에 띄지 않습니다. "오늘은 아무 문제도 없었어"라고 칭찬하는 사람은 아무도 없습니다. 리스크 관리가 진정으로 필요한 시기는 바로 약세장입니다. 자산 가격의 급격한 변동, 급증하는 매도 물량, 그리고 블랙 스완 사건 발생 가능성 증가로 인해 리스크 관리팀은 최고의 경험과 신속한 대응 능력을 발휘해야 하는 가장 어려운 시기를 맞이하게 됩니다.

안타깝게도 이 시점에서 가장 경험이 많은 사람들이 떠났습니다.

리스크 관리팀이 작별 인사에서 남긴 말은 매우 정확하다고 생각합니다. Aave가 더욱 공격적인 경쟁사들을 상대로 성공할 수 있었던 것은 수많은 기능 덕분이 아니라, 다른 회사들이 실패하는 동안 Aave는 살아남았기 때문입니다. 이 시장에서 생존은 제품에 달려 있습니다.

지금 문제는 그것을 지켜온 사람들이 더 이상 세상에 없을지도 모른다는 것입니다.

GoPlus: Venus Protocol이 공격을 받아 약 200만 달러의 손실을 입었다는 의심이 제기되었습니다.

인기 기사