컴파운드 파이낸스 웹사이트, 피싱 도메인으로 또 리다이렉트
컴파운드 파이낸스가 지난 주말 또 한 번 프론트엔드 침해 사고를 겪었어요. 2년이 채 안 되는 기간 동안 이 대출 프로토콜의 공개 웹사이트가 공격자에게 두 번째로 탈취된 거예요. 이번 사건은 Maple Finance, OpenEden, Curvance 등 DeFi 인터페이스를 겨냥한 유사 공격 목록에 또 하나를 추가하는 결과가 됐어요.
프로젝트 보안 제공업체가 컴파운드 거버넌스 포럼에 올린 게시물에 따르면, 메인 웹사이트가 방문자를 'compOOnd'라는 이름의 유사 도메인에 호스팅된 피싱 사이트로 리다이렉트하고 있었어요. 이 사이트는 사용자를 속여 지갑을 연결하거나 악의적인 트랜잭션을 승인하도록 설계된 거예요. 보안팀은 피해를 입은 인프라 계정의 모든 유출된 자격 증명을 교체 완료했고 문제가 해결됐다고 확인했어요. 중요한 점은, 사용자 자금 손실은 확인되지 않았다는 거예요.
COMP 무기한 선물 시장에 미치는 영향은?
스마트 컨트랙트 자체는 건드리지 않는 이런 유형의 프론트엔드 익스플로잇은 일반적으로 해당 토큰의 무기한 선물 시장에 지속적인 구조적 피해보다는 단기적인 하방 압력을 만들어요. 트레이더들은 이번 사건 이후 다음과 같은 시장 역학에 주목해야 해요.
중앙화된 파생상품 거래소에서 COMP-PERP 페어의 공매도 포지션이 쌓이면서 심리적 매도세가 펀딩비를 음수로 끌어올릴 수 있어요. 하지만 프로토콜 자금이 안전하다는 게 확인됐고 온체인 익스플로잇이 발생하지 않았기 때문에 장기적인 디레버리징 이벤트의 촉매제가 될 가능성은 제한적이에요. 2025년 중반 현재, 주요 무기한 선물 거래소에서 COMP의 OI는 대형 자산 대비 상대적으로 얇은 편이에요. 이는 어느 정도의 방향성 주문 흐름만으로도 가격이 과도하게 움직이고 양방향 연쇄 청산이 발생할 수 있다는 의미예요.
더 중요한 변수는 DeFi 전반의 심리예요. Maple Finance, OpenEden, Curvance, 그리고 이번에 두 번째인 컴파운드까지 — 여러 프로토콜에서 프론트엔드 침해가 반복되는 건 DeFi 프로젝트들이 웹 인프라를 관리하는 방식의 시스템적 취약성을 시그널로 보여주고 있어요. 이 내러티브가 힘을 얻으면, 활성화된 무기한 선물 시장을 가진 중형 DeFi 거버넌스 토큰 — AAVE, MKR, CRV 포함 — 에도 연쇄적인 매도 압력이 나타날 수 있어요.
컴파운드의 운영 실패 이력
이번 사건은 단독으로 발생한 게 아니에요. 한때 DeFi에서 가장 신뢰받는 프로토콜 중 하나였던 컴파운드의 지난 몇 년간 운영 실적은 상당히 문제적이었어요.
- 2024년 7월, 컴파운드 프론트엔드는 Squarespace에 호스팅된 여러 DeFi 도메인과 함께 조직적인 DNS 수준 공격으로 침해됐어요.
- 2022년, 업그레이드 오류로 당시
8억 달러이상의 자산을 보유하고 있던 cETH 마켓이 약 1주일간 사실상 동결됐고, 거버넌스를 통한 수정안이 통과되는 동안 기다려야 했어요. - 2021년, 잘못 설정된 배포 컨트랙트로 인해 약
1억 5,000만 달러에 달하는 초과 COMP 보상이 사용자들에게 잘못 배포됐어요. - 2024년, 컴파운드 DAO는 리스크 관리 서비스 제공업체 Gauntlet과의 이해충돌 의혹으로 커뮤니티의 강한 비판을 받았어요.
이번 주말 피해를 제한한 기술적 안전장치가 하나 있었어요. 사용자가 지갑을 연결하고 트랜잭션을 실행하는 인터페이스인 app.compound.finance 서브도메인이 IPFS를 통해 제공되고 있었던 거예요. 이 아키텍처 덕분에 보안 제공업체들이 애플리케이션 레이어의 무결성을 독립적으로 검증할 수 있었고, 메인 도메인에는 없었던 의미 있는 보호 레이어가 작동했어요.
AI 지원 피싱: DeFi 인프라를 위협하는 새로운 공격 벡터
보안 연구자들은 이러한 반복적인 사건들의 배경에 더 광범위한 우려가 있다고 지적하고 있어요. AI 지원 툴링의 확산이 DeFi 프론트엔드를 겨냥한 피싱 캠페인의 기술적 진입 장벽을 실질적으로 낮추고 있는 거예요. 설득력 있는 유사 도메인 구축, 지갑 탈취 스크립트 자동화, 기본 봇 탐지 레이어 우회 — 이 모든 작업이 훨씬 쉬워졌어요. DeFi 프로토콜에 자금을 배포한 트레이더들에게 이 트렌드는 스마트 컨트랙트 리스크와는 별개로, 아직 거버넌스 토큰 밸류에이션에 충분히 반영되지 않은 운영 리스크 요소로서 지속적인 주의가 필요해요.