플래시론 공격 72건, 디파이서 12억1100만달러 손실

2020년 2월부터 2024년 7월까지 디파이(DeFi·탈중앙화금융)에서 발생한 플래시론 공격 72건으로 12억1100만달러(약 1조6264억원)의 손실이 났다는 연구 결과가 나왔다. 연구진은 공격 유형 14가지를 가격 피드 조작과 프로토콜 설계·실행 결함 악용으로 분류했다.

팀 홀(Tim Hall) 윈체스터대학교 교수와 레모 슈티거(Remo Stieger)가 발표한 논문 ‘Flash in the Pan?: Analyzing Flash Loan Attacks on the DeFi Ecosystem’은 같은 기간 디파이에서 성공한 공격 254건의 피해액을 65억6800만달러(약 8조8200억원)로 집계했다. 플래시론 공격은 이 가운데 72건으로, 전체 손실액의 18.44%를 차지했다. 논문은 윈체스터대학교 연구 저장소에 공개됐다.

분석 대상에는 이더리움(ETH), 베이스, 옵티미즘(OP), 아비트럼(ARB), BNB 체인, 아발란체(AVAX), 폴리곤 등 7개 블록체인이 포함됐다. 연구진은 온체인 거래 206억3000만건을 살폈고, 공개된 공격 관련 논의와 피해 플랫폼 관계자 인터뷰도 분석했다.

플래시론은 담보 없이 자산을 빌린 뒤 같은 블록체인 거래 안에서 갚는 대출이다. 거래가 끝날 때 상환 조건을 충족하지 못하면 거래 전체가 처리되지 않는다. 차익거래에도 쓰이는 기능이지만, 공격자는 빌린 자금으로 가격 정보를 왜곡하거나 프로토콜의 취약점을 공략할 수 있다.

연구진은 공격 유형을 가격 피드 조작과 프로토콜 로직 결함 악용으로 나눴다. 가격 피드는 프로토콜이 자산 가격을 판단할 때 참조하는 데이터로, 조작되면 담보 가치나 거래 조건을 잘못 판단하게 만들 수 있다. 다른 유형은 플랫폼의 설계나 실행 과정에 있는 결함을 직접 이용한다.

논문 초록은 공격 활동이 시기별로 뚜렷한 패턴을 보였다고 밝혔다. 다만 초록에는 유형별 손실 비중이나 시기별 세부 수치가 제시되지 않았다. 집계는 2024년 7월까지의 분석 범위에 한정돼 이후 공격 추세나 현재 보안 수준을 이 연구만으로 판단할 수는 없다.

분석 기간 뒤에도 플래시론을 동원한 공격 사례가 나왔다. 분산형 거래소 분니(Bunni)는 2025년 9월 840만달러(약 112억8120만원) 규모 공격을 겪었고, 같은 해 10월 영구 종료를 발표했다. 이 사건은 논문 집계에 포함되지 않는다.