Resupply가 도난당한 지 일주일이 지났습니다. 6월 26일, DeFi 프로토콜 Resupply의 스테이블코인 wstUSR 마켓에서 보안 취약점이 발생하여 약 960만 달러의 암호화폐 자산이 손실되었습니다. 강가를 걷다 보면 발이 젖을 겁니다. DeFi OG 플레이어 3D는 자신의 유튜브 채널에 3일 연속으로 저작권 보호 영상을 게시했습니다. BlockBeats는 3D에게 연락하여 도난 사건 이후 일련의 리뷰에 대해 이야기하며 손실을 목격했습니다.
3D는 이 프로토콜 채굴에 참여한 초기 사용자 중 한 명입니다. 그는 채굴 플레이어이자 콘텐츠 제작자이기도 합니다. 이 인터뷰에서 우리는 그의 의심, 감정, 그리고 이 업계에서 언급하기 꺼려지는 암묵적인 규칙들을 들었습니다. 그는 Curve의 기본 보증, 해커에 대한 프로젝트의 소극적인 대응, 그리고 커뮤니티가 권리를 옹호하다 블랙리스트에 오르고 굴욕을 당하는 과정에 대해 이야기했습니다.
3D 사례에서 그를 오싹하게 만든 것은 돈의 손실보다 업계에 대한 신뢰의 흔들림이었습니다. 그는 비록 가장 큰 손실을 입은 것은 아니었지만, 돈 때문이 아니라 무시당하고 굴욕을 당한 사용자로서의 정체성 때문에 가장 화가 났다고 털어놓았습니다. 그의 경험은 수많은 DeFi 참여자들이 공통적으로 겪는 딜레마, 즉 불분명한 권리와 책임, 권리를 보호할 방법의 부재, 그리고 도덕적인 원칙에 대한 반복적인 양보를 보여줍니다.
대화의 전체 내용은 다음과 같습니다.
BlockBeats: 먼저 간단한 자기소개를 부탁드립니다.
3D: 인터넷에서 제가 사용하는 이름은 3D입니다. 현재 제 주업은 여전히 혼자 채굴하는 것입니다. 2017년 ICO 라운드부터 이 분야에 뛰어들었지만, 2020년 DeFi Summer 열풍 이후 본격적으로 DeFi와 차익거래에 집중하기 시작했습니다. 동시에 DeFi 차익거래에 특화된 유튜브 채널인 3D Crypto Channel도 운영하고 있습니다.
BlockBeats: 지금까지 얼마나 많은 돈이 손실되었나요? 실제 손실 규모는 어떻게 추정하거나 측정할 수 있나요?
3D: 현재 사용 가능한 총 자금은 기본적으로 보험 풀의 규모인 약 3,800만 달러입니다.
BlockBeats: 그럼 이번에 중국인 사용자의 비율은 얼마나 되나요?
3D: 잘 모르겠네요. 하지만 가장 큰 소리로, 가장 먼저 자신의 권리를 옹호한 두 사람은 바로 저와 이시였습니다. 저희가 먼저 목소리를 냈죠. 중국 사용자들이 더 적극적으로 목소리를 냈고, 물론 영어 사용자들도 있었지만, 전체적인 규모는 훨씬 작았습니다.
재공급이 도난당한 이후의 기간
BlockBeats: 현재 어떤 솔루션이 있나요?
3D: 간단히 말해서, 원금이 15.5%나 손실되었습니다. 커뮤니티는 실제로 조치를 취하기를 바라고 있습니다. 총 손실액이 약 1천만 달러이기 때문입니다. 팀원 중 한 명이 약 150만 달러를 기부했고, 그들은 금고에서 약 80만 달러를 인출했는데, 이는 총 손실액의 20%를 조금 넘는 금액입니다.
그들의 태도는 보세요, 우리도 돈을 잃었으니 더 이상 쫓지 마세요.와 같습니다. 하지만 문제는 왜 그 돈을 해커와 소통하는 데 사용하지 않느냐는 것입니다. 예를 들어 돈을 돌려주시면 이 부분은 화이트햇 보상으로 드리겠습니다.라고 하면 모두가 만족하지 않을까요? 하지만 그들은 전혀 그렇게 하지 않았습니다.
BlockBeats: 채굴에 이 프로토콜을 선택한 이유는 무엇인가요?
3D: 4월 초에 Resupply 프로젝트에 참여했습니다. 트위터를 둘러보다가 오랫동안 팔로우하던 분이 관련 콘텐츠를 올리시는 걸 봤는데, 나중에 Curve 관계자분들도 리트윗하시는 걸 보고 관심을 갖게 되었습니다.
돌이켜보면, 프로젝트 운영의 논리는 상당히 이상합니다. 스스로 수익을 창출하려는 것이 아니라, Curve가 crvUSD의 사용률을 높이는 데 도움을 주고자 하는 것처럼 보입니다. crvUSD 자체는 실질적인 용도가 없기 때문에, 설계 메커니즘을 통해 강제로 사용 사례를 만들어낸 다음, 인센티브를 활용하여 모든 사람의 참여를 유도했습니다.
참여자의 관점에서 보면, 이는 플랫폼 데이터를 끌어올리고 싶어하는 큰 형과 같아서, 작은 형제들에게 자신을 지원해 달라고 요청하는 것이고, Curve가 그에게 어느 정도 지지를 표명했기 때문에 당시에는 아무런 문제가 없다고 생각했습니다.
저희처럼 채굴이나 차익거래를 하는 사람들은 새로운 프로젝트를 접할 때 두 가지 핵심 사항을 먼저 평가합니다. 첫째는 제품 자체의 작동 방식입니다. 자금은 어디에서 조달되나요? 둘째는 프로젝트의 배경, 즉 소위 현장 및 현장 외 정보를 철저히 조사해야 합니다. 당시 제 판단으로는 Resupply 제품의 논리는 비교적 간단하고 직관적이었습니다.
BlockBeats: 사고 이후 누가 책임을 져야 한다고 생각하십니까? Resupply 팀은 사고 이후 어떤 주요 결정을 내렸습니까? 기존 DeFi 프로토콜 플랫폼과 비교했을 때, Resupply의 대응 프로세스에서 눈에 띄는 차이점은 무엇입니까?
3D: 사건 이후 그들이 처리하면서 겪었던 가장 큰 문제는 위기 대응 감각이 전혀 없었다는 점이라고 생각합니다. 처음에는 가장 기본적인 조치조차 취하지 않았습니다. 온라인에서 누구나 확인할 수 있고, 위셴도 언급했습니다. 그들은 해커들을 공개적으로 지적하지도 않았고, 상황을 설명하는 공지도 내리지 않았으며, 법적 또는 책임 추궁 메커니즘도 마련하지 않았습니다. 해커들과 소통하려는 시도조차 하지 않고 그냥 묵인했습니다.
다른 프로젝트들은 최소한 공지를 내고, 계약을 중단하고, 화이트햇(White Hat) 업체에 연락하고, 자금을 회수하려고 노력했지만, 이런 기본적인 업무는 하지 않았습니다. 그저 아무 일도 없었던 척했을 뿐입니다.
프로젝트팀이 왜 커뮤니티와 적극적으로 소통하지 않았는지도 이해할 수 없습니다. 이 사건으로 거의 천만 달러의 손실이 발생했는데, 팀원 한 명이 기여한 금액은 약 150만 달러에 불과했고, 프로젝트 기금에서 약 80만 달러를 더해 손실액의 약 20%만 충당했습니다. 어떻게 보든 이는 상징적인 의미일 뿐, 물 한 방울에 불과합니다.
그들의 태도는 기본적으로 이미 돈을 잃었으니 더 이상 우리를 괴롭히지 마세요.였습니다. 하지만 문제는 그 돈을 해커들과 협상하는 데 사용할 수도 있었다는 것입니다. 돈을 돌려주기만 하면 화이트햇 포상금을 받을 수 있고 모두가 행복해질 것이라고 말이죠. 하지만 그들은 그런 접근 방식을 전혀 취하지 않았습니다.
3D는 Resupply 공식 포럼에 해커와 화이트햇 보너스 방식으로 협상을 시도해 보라고 제안하는 메시지를 남겼지만 아직 답변을 받지 못했습니다.
첫 번째는 해커의 자산을 회수하는 데 매우 소극적이거나 아예 아무런 활동도 하지 않는다는 점입니다. 지난 목요일 사건 이후 며칠이 지났지만 별다른 진전은 없었습니다.
두 번째는 그들이 극도로 오만하고 커뮤니티에 무관심하다는 것입니다. 사건 발생 당시 많은 사용자들이 디스코드에 문의했지만, 기본적인 토론 공간조차 없이 보험 풀에 있는 사람들이 손실을 감수해야 한다고 직설적으로 말했습니다. 저희는 문서에 사용자들이 그러한 손실을 감수해야 한다고 명시되어 있지 않았다며 그들의 접근 방식에 의문을 제기했지만, 조롱과 공격을 받았고 심지어 직접 차단까지 당했습니다.
그들은 또한 연 17%의 수익률을 올리면 그에 상응하는 위험을 감수해야 한다고 말했습니다. 이 논리는 전혀 타당하지 않습니다. 우리는 단지 연 17%의 수익률을 내는 전략에 참여하고 있을 뿐이며, 프로토콜 절도에 대한 모든 책임을 져야 한다는 뜻은 아닙니다.
저희 그룹의 피드백은 일관적이었습니다. 가장 고통스러웠던 것은 금전적 손실이 아니라, 디스코드에서 굴욕을 당하고 차단당한 경험이었습니다. 이 사건이 이처럼 격렬한 반응을 불러일으킨 데에는 두 가지 핵심적인 이유가 있습니다. 프로젝트 팀의 무관심과 사용자에 대한 경멸입니다.
만약 그들이 정말로 지불 능력이 없다면, 예를 들어 300만 명을 먼저 빼내고 나머지 700만 명을 모든 사용자에게 비례적으로 나눠주는 것처럼 자신들의 입장을 분명히 할 수 있습니다. 이는 지금보다 훨씬 나은 방법입니다. 하지만 그들은 보험 풀 사용자들을 직접 빼내어 모든 책임을 지도록 하는 방식을 취하고 있습니다. 이렇게 하는 목적 또한 매우 명확합니다. 바로 계약을 유지하고 프로젝트가 중단되는 것을 막기 위한 것입니다.
가장 아이러니한 점은 당시 발표된 내용을 보면 손실 규모에 대한 언급이 거의 없었다는 것입니다. 허점을 발견하여 한 시장을 중단했다는 내용만 가볍게 언급했을 뿐, 나머지는 모두 정상이었다고 합니다. 이런 정보 공개 방식은 매우 무책임합니다.
더욱 심각한 것은 해커들이 허점을 이용해 1천만 개의 스테이블코인을 무상으로 발행하여 시장에 판매함으로써 기존의 과잉 담보 메커니즘을 완전히 무너뜨려 스테이블코인에 대한 충분한 자산 지원을 불가능하게 만들었다는 점입니다. 이 경우에도 프로젝트 측은 계약을 중단하지 않고 사용자들이 직접 자금을 인출하도록 허용했습니다.
그 결과, 빠르게 출금한 사용자들은 모두 출금되었고, 보험 풀에 있던 사용자들은 출금 7일 지연으로 인해 완전히 차단되었습니다. 더욱 충격적인 것은 보험 풀 출금을 중단하고 사용자 자산을 추가로 동결하는 새로운 제안을 내놓았다는 것입니다. 부실 채권은 보험 풀이 부담해야 한다는 그들의 발언은 DeFi 프로토콜에서 전례 없는 일입니다. 그들은 다시 한번 업계의 기본 원칙을 무너뜨렸으며, 거버넌스에 대한 합리성은 전혀 없습니다.
BlockBeats: 과거에 손실을 충당하기 위해 이 보험 풀을 활용한 프로젝트가 있었나요?
3D: 보험 풀이 흑자 계좌를 전혀 보장하지 않습니다.
Resupply 프로젝트에 참여하는 방법은 스테이킹, 회전 대출, 그리고 LP(투자자 펀드) 구성, 이렇게 세 가지뿐입니다. 사실 사용자 기대 관점에서 보면 스테이킹은 그룹 내에서 가장 안정적인 그룹이지만, 이제는 모든 위험을 감수해야 합니다. 핵심 문제는 보험 풀에 대한 사용자 기대치에 있습니다. 우리는 모두 시장 변동으로 인한 부실 채권만 감당하면 된다고 생각합니다.
당시 보험 풀에 대해 비유를 한 적이 있는데, 정확하지는 않을 수 있지만 대략 이런 의미입니다. 바이낸스에서 자산 관리 상품을 구매했는데 바이낸스가 도난당한 것과 같습니다. 입금하러 온 거 아니냐? 그럼 모두가 손실을 감수해야 한다. 특히 자산 관리 상품을 구매한 사용자들이 그렇다.라고 말하는 것과 같습니다. 결국 손실은 자산 관리 사용자의 자금에서만 차감되고 다른 사람들은 영향을 받지 않습니다.
사실, 과거 일부 거래소가 도난당했을 때 모든 사용자가 비례적으로 손실을 감수해야 했지만, 이번에는 그렇지 않았습니다. 금융 관리 사용자만 모든 손실을 감수하게 했습니다. 그들의 논리는 연 2%의 이자를 받고 싶다면, 그에 대한 책임을 져야 한다는 것입니다. 심지어 세상에 공짜 점심은 없다고까지 말합니다. 연 17%의 수익률을 얻었다면, 이번 도난으로 인한 손실을 감수해야 한다는 뜻입니다. 이는 너무나 터무니없는 주장입니다.
커브는 이 폭풍에서 어떤 역할을 했나요?
BlockBeats: 커브를 신뢰해서 리스플라이에 참여했다고 하셨는데, 리스플라이와 커브 사이에는 어떤 관계가 있다고 생각하시나요? 사고 후 커브가 접근을 중단한 태도는 타당하다고 생각하시나요?
3D: 두 가지 측면에서 볼 수 있다고 생각합니다. 첫 번째는 표면적인 논리입니다. 이 프로젝트는 Curve를 지원하고, Curve를 지지하며, Curve 생태계의 일부이기도 합니다.
하지만 한편으로는, 약간의 판단력이 있는 사람이라면 누구나 합리적인 추론을 할 것입니다. 이 프로토콜의 설계는 기본적으로 Curve에 서비스를 제공하기 위한 것, 즉 동생과 같은 것입니다. 그렇지 않다면 이 프로토콜의 존재는 거의 무의미하며, 핵심 논리는 자체 채굴 코인을 사용하여 Curve 프로토콜 수익을 보조하는 것입니다.
순전히 수혈을 위한 것이고 대가를 바라지 않는 이런 종류의 일을 누가 하겠습니까? 특히 토큰이라면 더욱 그렇습니다. 당시 저는 이 프로젝트가 한 달 이상 지속되지 않을 거라고 생각했습니다. 전체적인 스토리가 매력적이지 않았기 때문입니다. 결국 이 프로젝트는 커브 스테이블코인에 새로운 거래량을 불어넣기 위한 것일 뿐, 실질적인 내용은 없었습니다.
하지만 보시다시피, 가격은 실제로 안정되었고 오랫동안 안정을 유지했습니다. 당시 저는 누가 바닥을 지지하고 있었는지 궁금했습니다. 생각해 보니, 가장 합리적인 설명은 커브 자체가 바닥을 지지하고 있었다는 것입니다. 커브에서 이익을 얻는 사람이 상황을 안정시키려는 가장 큰 동기를 가지고 있다는 것은 상식적인 추론입니다. 확실한 증거는 없지만, 정상적인 사고를 가진 사람이라면 누구나 이렇게 생각할 수 있을 것입니다.
재공급 네이티브 토큰 가격 추세
사건 발생 전, Curve는 이 프로젝트가 좋은 프로젝트라고 큰 소리로 주장했습니다. 하지만 사건이 발생하자, 그들은 즉시 이 문제와 거리를 두며 그냥 생태적인 프로젝트일 뿐이고, 저와는 아무 상관이 없습니다.라고 말했습니다. 이러한 태도는 우리가 흔히 접하는 뉴스와도 같습니다. 문제가 생기면 일용직 노동자의 소행이라고 생각하는 것이죠. 이제는 저희 같은 사용자들까지 차단당했습니다. 이 문제가 얼마나 심각해졌다고 생각하십니까?
Curve의 지지가 없었다면 Resupply는 결코 그렇게 많은 자금을 모을 수 없었을 것입니다. 저희가 참여한 이유는 개발팀 때문이 아니었습니다. 사실 개발팀의 평판이 좋지 않기 때문입니다. 만약 그들이 단독으로 프로젝트를 진행했다면 저희는 절대 참여하지 않았을 것입니다.
저희가 참여하기로 결정한 데에는 두 가지 이유가 있습니다. 첫째, Curve의 사업 모델이 Curve의 스테이블코인을 중심으로 돌아가기 때문에 Curve의 성장을 돕는다는 논리적 의미가 있습니다. 이러한 긴밀한 관계는 사용자에게 비교적 안전함을 느끼게 합니다. 둘째, Curve 관계자들도 당시 이 프로젝트를 공개적으로 인정하고 지지하기까지 했습니다.
프로젝트 당사자가 어두운 역사를 가지고 있다는 말씀은 사실이지만, 이번에는 신분을 바꾸지 않고 본래 신분을 그대로 사용하여 프로젝트를 진행했는데, 어느 정도는 실명 책임이라고 볼 수 있습니다.
BlockBeats: 이 사건에서 Curve는 Resupply의 공식 홍보 및 승인에 대해 연대 책임을 져야 합니까? 생태계의 승인 후와 홍보 전 사이의 이해 상충을 어떻게 생각하십니까?
3D: 커브의 사건 이후 삭감 행동은 완전히 불합리하다고 생각합니다. 제가 소규모 KOL이라 하더라도, 이전에 채굴 풀을 추천한 적이 있다면, 비록 단 한 푼도 받지 못했고 관심도 없었더라도, 만약 채굴 풀에 무슨 일이 생긴다면, 저는 즉시 목소리를 내고 저를 팔로우하는 사람들에게 무엇이 잘못되었는지 알리고 후속 조치를 취할 것입니다.
Curve는 프로젝트가 처음 순조롭게 진행될 때는 적극적으로 지지해 주었지만, 문제가 생기자 마치 저와는 아무 상관이 없는 것처럼 행동하며 유감이라는 몇 마디를 남기고는 프로젝트에서 손을 뗐습니다. 이런 행동은 정말 용납할 수 없습니다.
광산에서 함정을 피하는 방법은?
BlockBeats: 현재 DeFi 사용자가 자신의 권리를 보호하는 데 있어 가장 큰 어려움은 무엇입니까?
3D: 문제의 핵심은 권리와 책임이 명확하지 않고, 업계 전체에 대한 감독이 부족하다는 것입니다. 이 경우 권리를 보호하는 것이 실제로 매우 어렵습니다.
미국 사용자라면 상황이 다소 나아질 수 있습니다. 미국은 광범위한 관할권을 가지고 있고 합법적인 수단을 통해 국경 간 책임을 추궁할 수 있으며, 심지어 일부 자금을 회수하고 정부에 손실을 보고할 수도 있기 때문입니다. 하지만 우리에게는 그러한 채널이 사실상 없습니다.
BlockBeats: 그렇다면 현재 이러한 대규모 투자자들은 자신의 권리를 보호하기 위해 어떤 방법을 사용하고 있나요?
3D: 아니, 그렇지 않으면 누가 인터넷에서 광대가 되고 싶어하겠어요?
결국, 우리는 우리의 권리를 방어할 효과적인 통로를 찾을 수 없습니다. 프로젝트 소유주들이 무책임하다고 판단되는 한, 사용자들은 스스로 목소리를 내고 행동에 나설 수밖에 없습니다. 이번 사건으로 인한 경제적 손실은 크지 않지만, 모욕적인 행위라고 생각하여 강하게 반발했습니다. 모든 프로젝트 소유주들이 이런 태도를 보인다면, 이 업계는 존속할 수 없을 것입니다.
솔직히 말해서, 정말 소름 돋네요. 오늘은 제가 속았지만, 내일은 당신일 수도 있잖아요. 이 동아리에 있는 한, 항상 비슷한 일들을 겪게 될 겁니다. 옛말에 진정한 영웅심은 진실을 보고 사랑을 선택하는 것이다라는 말이 있죠. 우리는 이 업계를 이런 식으로 바라볼 수밖에 없습니다. 이 문제를 해결하려면 프로젝트 측은 도덕적인 원칙을 가져야 하고, 업계 측도 기본적인 자기 수양이 필요합니다.
BlockBeats: 프로젝트가 막 시작되었거나 아직 프로모션 기간일 경우, 어떤 정보를 검증하는 데 중점을 두시나요?
3D: 프로젝트를 막 시작했거나 아직 홍보 단계에 있을 때는 보통 여러 측면에 집중합니다.
첫 번째는 사업 모델입니다. 이 프로젝트는 어떻게 수익을 창출할까요? 수익은 어디에서 발생할까요? 가장 기본적이면서도 가장 중요한 질문입니다.
두 번째는 현장 정보, 즉 프로토콜 자체의 작동 메커니즘입니다. 자금 유입 및 유출이 원활한지, 자금 유입 및 유출에 시간 제한이 있는지, 높은 처리 수수료가 부과되는지 등 막힘이 있는지 여부가 여기에 해당합니다. 이러한 정보는 사용자 경험 및 위험과 직결됩니다.
세 번째는 시장 외 정보입니다. 팀이 이전에 프로젝트를 진행한 적이 있는지, 익명으로 진행하는지, 투자 기관의 지원을 받는지, 누가 지원하는지, 그리고 배경 정보를 얻을 수 있는지 확인하고 싶습니다.
또한, 프로젝트 관계자들과 디스코드에서 직접 소통하여 그들의 반응과 팀의 신뢰성을 살펴보겠습니다. 감사 보고서를 살펴보는 분들도 계시겠지만, 현재 문제가 있는 많은 프로젝트들이 실제로 감사를 받았다는 점을 다시 한번 강조하고 싶습니다. 감사는 프로젝트 관계자가 감사 절차를 진행하기 위해 비용을 지출할 의향이 있는지 여부만 보여줄 뿐, 프로젝트가 정말 안전하다는 것을 의미하지는 않습니다.
BlockBeats: Curve 생태계, 보험 메커니즘, 스테이블코인 시스템에 대해 여전히 확신을 갖고 계신가요?
3D: Curve는 현재 난처한 상황에 처해 있습니다. 원래 Curve의 생태적 틈새는 주로 유니스왑 V2의 스테이블코인 거래 심도 문제를 해결하는 것이었습니다. V2의 상시 상품 시장 조성 메커니즘이 스테이블코인 간에 제대로 작동하지 않기 때문에, 심도를 끌어내기 위해 많은 자금을 축적해야 했습니다. 당시 Curve는 더욱 매끄러운 곡선 설계를 제안하고 스테이블코인 거래에 집중했습니다. 이러한 차별화를 통해 처음부터 디파이(DeFi) 시장에서 발판을 마련했다고 할 수 있습니다. 인프라 상품으로서 그 논리는 매우 명확합니다. 하지만 플로이드의 사업 압박으로 인해 Curve의 입지가 약화되고 있다고 생각하지만, 저는 여전히 스테이블코인 시스템에 대한 확신을 가지고 있습니다.
최근 들어 정말 불안했습니다. 이번에는 큰 손해는 보지 않았지만, 제게 가장 큰 타격은 돈이 아니라 자신감이었습니다. 이 업계에 오래 몸담아 왔습니다. 제가 이 업계를 좋아한다고는 할 수 없지만, 적어도 오랫동안 투자해 왔습니다. 그런데 요즘 들어 이 업계의 지속 가능성에 대해 심각하게 의문이 들기 시작했습니다. 모든 프로젝트 관계자들이 이번과 같은 상황이라면 이 업계는 지속될 수 없을 것입니다.
이시는 모든 채굴을 철회하고 이제 비트코인만 비축하고 다른 건 손대지 않을 계획입니다. 이번에 15.5%의 손실은 1년간 채굴로 얻은 연간 수익을 0으로 줄인 것과 같다고 생각해 보세요. 원래는 고레버리지 방식으로 매일 수익을 내는 게임이 아니라 비교적 저위험 전략이었습니다. 1년 동안 열심히 일해서 15포인트를 벌었는데, 하루 만에 사라졌습니다. 누가 감당할 수 있겠습니까?
