고래에 취약한 DeFi 프로토콜, 적은 자본으로 공격 가능

탈중앙화 자율조직(DAO)의 거버넌스 문제로 인해 소수의 대량 토큰 보유자들이 수조 원 규모의 사용자 자금을 통제하는 프로토콜에 대한 공격이 가능한 상황이 발생했다.

2일(현지시간) 매거진에 따르면, 탈중앙화 자율조직(DAO)의 이름과 달리 많은 DAO가 실제로는 자율적이지 않고, 거버넌스 결정에 영향을 미칠 수 있는 대형 토큰 보유자들에게 통제권이 집중되는 경향이 있다. 고래나 소규모 보유자 그룹이 1700만 달러 상당의 토큰만으로도 20억 달러 이상의 사용자 자금을 통제하는 프로토콜을 공격할 수 있는 상황이다.

아이러니하게도 다른 고래들의 비활동도 문제다. 그들의 과도한 투표력은 거버넌스 공격으로부터 프로토콜을 보호할 수 있지만, 종종 배경에서 아무것도 하지 않은 채 낭비되고 있다.

M^0 랩스(Labs)의 CEO 루카 프로스페리(Luca Prosperi)는 "현재 DAO 거버넌스 구조에서는 참여율이 매우 낮아 이러한 거버넌스 프로토콜을 공격하는 데 필요한 자금이 그리 많지 않다"고 말했다.

최근 여러 사례에서 디파이(DeFi) 고래들이 상당수의 토큰을 획득하고 거버넌스 결정에 영향을 미쳐 원하는 바를 얻은 것으로 나타났다.

험피(Humpy)로 알려진 암호화폐 고래는 컴파운드 DAO(Compound DAO)에 2500만 달러 상당의 COMP 토큰을 자신들의 그룹인 골든 보이스(Golden Boys)가 관리하는 수익 창출 프로토콜에 할당하자는 제안을 했다.

두 번의 실패 후 험피의 세 번째 시도는 7월 28일 성공했다. 컴파운드 보안 고문 마이클 르웰린(Michael Lewellin)은 이 제안이 참여율이 낮은 주말에 투표가 이루어지도록 의도된 것으로 의심했다.

결국 이 제안은 컴파운드가 관리하는 수익 창출 상품을 위해 취소됐지만, 영향력 있는 투표자들이 활동적이었다면 이런 상황을 피할 수 있었다.

험피의 그룹은 공개 시장에서 추정 325,333 COMP를 축적했는데, 이는 400,000 쿼럼 기준에서 75,000개가 부족한 수치다.

컴파운드에서 a16z는 333개의 위임을 통해 가장 높은 투표력을 보유하고 있다. 361,000 COMP는 쿼럼의 90.25%를 차지한다.

그럼에도 불구하고 이 벤처캐피털 회사는 다른 사용자들이 "거버넌스 공격"으로 간주하는 제안을 저지하는 경우에도 거버넌스 결정에 거의 투표하지 않는다. 하지만 아마도 그들만의 이유가 있을 것이다.

디파이 플랫폼 라딕스 DLT(Radix DLT)의 창립자 댄 휴즈(Dan Hughes)는 "그렇게 큰 투표권 보유자라면 거의 모든 것에 대해 성실히 투표하거나 아예 투표하지 않아야 한다"고 말했다. 그는 "소수의 제안에만 투표하는 것은 의도하지 않았더라도 간섭이나 의도가 있다는 신호를 보내는 것"이라며 "기권이 당신의 입장이라면 위임을 받아들이지 말고 투표력을 여러 제3자에게 분산시켜야 한다"고 덧붙였다.

험피는 컴파운드 이전에도 여러 차례 논란을 일으켰다. 이더리움 레이어-2 네트워크 사이버(Cyber)의 최고전략책임자 디에고 알바레즈(Diego Alvarez)는 후속 의사소통, 타협, 최종 해결 등으로 인해 험피의 컴파운드 제안을 "거버넌스 공격"으로 보지 않는다고 했다.

그는 "DAO의 시스템과 프로세스 내에서 이루어졌기 때문에 약간 의심스러웠을 뿐 범위를 벗어나지는 않았다"고 말했다.

하지만 컴파운드가 험피의 첫 번째 사례는 아니었다. 이 고래는 디파이 프로토콜 발랜서(Balancer)와 스시(Sushi)에서도 유사한 거버넌스 "움직임"을 보였던 것으로 알려졌다.

발랜서 사태는 "평화 조약"으로 끝났지만, 스시와 험피의 충돌은 일부 문제를 미해결 상태로 남겼다.

당시 스시의 "헤드 셰프"였던 재러드 그레이(Jared Grey) - 현재 스시 랩스(Sushi Labs)의 대표 - 와 그의 운영팀은 2024년 3월 스시의 재무 자산을 2023년 10월 설립된 영국 법인인 스시 랩스로 이전하자는 제안으로 큰 반발을 받았다.

전 스시 개발자 나임 부브지즈(Naïm Boubziz)는 이 움직임을 "적대적 인수"라고 불렀지만, 그레이는 험피의 의심스러운 거버넌스 공격으로부터 프로토콜을 보호하려는 시도였다고 주장했다.

그레이는 "논의 중에 그는 나와 팀을 향해 여러 차례 법적 위협을 가했다"고 말했다. 그는 "그는 자신의 보유량 일부를 불만을 품은 전직 스시 기여자들과 커뮤니티 구성원들의 그룹인 스시시티즌스(SushiCitizens)에 위임했다. 그는 원하는 결과를 얻기 위해 가능한 모든 방법으로 운영팀에 압력을 가했다"고 덧붙였다.

그레이는 험피가 스시시티즌스를 대변인으로 삼아 "은밀한 거버넌스 제안"을 시작하고 스시 운영팀에 대한 "선동적인 트윗"을 게시했다고 말했다.

그레이는 "그가 스시 DAO와 운영팀에 최초로 제안한 거래에는 7억 5000만 개의 토큰 공급 증가가 포함됐으며, 새로 발행된 토큰의 3분의 2는 그가 선택한 풀로 가고 3분의 1은 직접 그의 골든 보이스 프로젝트를 지원하는 것이었다"고 주장하며 팀이 이 거래에 동의하지 않았다고 덧붙였다.

험피는 자신에 대한 주장과 혐의에 대해 거버넌스 제안을 은밀하다고 판단해야 하는 "방법"과 "주체"에 대해 반문했다. 이 고래는 또한 스시시티즌스를 정당한 우려를 가진 DAO 구성원으로 옹호했다.

험피는 "법적 조치는 민주주의에서 충분히 합법적"이라며 "하지만 나는 이 비뚤어진 팀에 대해 법적 조치를 취하지 않았다"고 말했다.

그는 "스시가 공격받고 있다는 거짓된 구실 하에 핵심 팀이 DAO의 대부분의 준비금을 팀 구성원과 변호사가 최종 소유권을 가진 영국 회사로 보냈다"고 말했다.

험피는 최근 컴파운드와 발랜서에서의 제안이 거버넌스 공격이라고 생각하는지에 대해서는 언급하지 않았다.

거버넌스 문제는 가장 큰 규모의 DAO에서도 부유한 내부자들 사이의 고립된 통제를 보여주는 사례들이 관찰됐다.

M^0 랩스의 프로스페리는 "자세히 들여다보면 임명되지 않은 매우 작은 그룹들이 모든 결정을 내리고 있다"고 말했다.

그는 2022년 메이커DAO(MakerDAO)에서 있었던 한 제안을 회상하며 강력한 커뮤니티 지지에도 불구하고 더 작은 그룹에 의해 압도당했다고 믿는다고 말했다.

프로스페리는 "당시 나는 DAO에 더 많은 견제와 균형을 요구했고, 모든 대형 보유자들이 찬성표를 던졌지만 DAO 창립자들을 이기기에는 충분하지 않았다"고 말했다.

거버넌스 문제는 대규모 DAO에만 국한되지 않는다.

2023년 "DAO 레이더스"로 알려진 "핵티비스트"들은 거버넌스 토큰을 대량 구매해 영향력을 확보함으로써 나운스 DAO(Nouns DAO)와 아라곤 DAO(Aragon DAO)를 장악했다.

이 습격으로 나운스에서 2700만 달러가 유출되는 거버넌스 위협이 발생했고, 아라곤은 결국 비영리 단체로 전환됐다.

프로스페리와 M^0는 거버넌스 토큰 보유자들이 투표력을 낭비하지 않도록 참여하지 않는 이들을 "처벌"하는 시스템을 갖추고 있다.

그는 "참여하지 않으면 프로토콜의 투표력 측면에서 점진적으로 희석된다"고 말했다.

그러나 투자자들이 투표를 피하는 한 가지 이유는 DAO 결정에 관여함으로써 발생할 수 있는 법적 결과를 우려하기 때문이다.

2023년 6월 미국 상품선물거래위원회(CFTC)는 불법 거래 플랫폼 운영에 대해 오오키 DAO(Ooki DAO)를 상대로 한 법적 소송에서 승소했다. 그 결과에는 벌금과 거래 및 등록 금지가 포함됐다.

창립자들만 책임을 졌지만, 법원은 DAO를 일반 파트너십으로 분류해 구성원들이 책임을 질 수 있다고 판단했다.

한편 망고 마켓(Mango Markets) 뒤의 DAO는 최근 증권법 위반 혐의에 대해 미국 증권거래위원회(SEC)와의 합의안에 찬성표를 던졌다. 이는 잘못을 인정하거나 부인하지 않고 혐의를 해결하기 위한 시도다.

SEC는 아직 이 제안을 수락하지 않았다.

라딕스의 휴즈는 DAO가 토큰 보유자들 사이에 의사결정 책임을 분산시키지만 현실에서의 인간 행동으로 인해 실패한다고 말한다.

그는 "내가 생각해낼 수 있는 실제적인 해결책은 재위임 모델을 갖는 것"이라고 말했다.

그는 "토큰을 더 활발한 투표자들에게 재위임하면 그들이 당신을 대신해 투표할 수 있고, 이는 더 많은 다수의 의견을 대표할 수 있다"고 덧붙였다.

프로스페리는 DAO의 미래에 대해 낙관적인 입장을 보이며, 거버넌스 문제가 컴파운드의 거버넌스 모델을 기반으로 한 "1세대" DAO에서 더 흔하다고 지적했다.

그는 이 디자인이 거버넌스 품질이 아닌 컴파운드의 수익화 성공으로 인해 초기 디파이 거버넌스의 청사진이 됐다고 말했다.

많은 거래자들이 적극적인 참여보다는 투기를 위해 COMP와 같은 거버넌스 토큰을 구매하여 비활성 투표자가 생겨났다.

새로운 프로토콜들은 초기 DAO 설계의 결함으로부터 교훈을 얻고 있다.

프로스페리의 M^0는 거버넌스 토큰과 대체 가능한 투자 토큰을 분리하여 비활성 대표자들에게 불이익을 주는 것이 합리적이도록 만들었다.

사이버의 알바레즈는 옵티미즘(Optimism)과 사이버의 DAO와 같은 새로운 DAO들이 채택한 개념인 "보안 위원회"가 거버넌스 습격 동안 제안을 거부할 수 있다고 제안했다.

컴파운드는 8월 17일 "가디언"이라는 유사한 기능을 도입했고, 이 제안은 압도적인 지지로 통과됐다 - a16z도 찬성표를 던졌다.

뉴스 속보를 실시간으로...토큰포스트 텔레그램 가기