보상 허브 
Aave는 이번 주 이전까지 200억 달러 이상의 예치금을 자랑하던 최대 규모의 탈중앙화 대출 프로토콜입니다. 2026년 4월 19일, Kelp DAO의 rsETH 컨트랙트가 2억 9,200만 달러 상당의 자금을 해킹당하는 사건이 발생했으며, 이로 인해 올해 들어 가장 큰 DeFi 해킹 사례가 되었습니다. 공격자는 탈취한 rsETH를 Aave V3에 담보로 예치하고, 이를 바탕으로 WETH를 대출받았습니다. 하지만 해킹 이후 rsETH는 실제로 아무런 자산으로도 뒷받침되지 않았으므로, 해당 대출의 담보 가치는 사실상 무의미해졌습니다.
24시간 내에, Aave TVL(총 예치금)은 약 220억 달러에서 154억 달러로 급감했습니다. 이는 rsETH 노출이 전혀 없는 풀에서도 대규모 인출이 이루어진 결과입니다. AAVE 토큰 가격은 거래소에 따라 16~20% 하락했습니다. 프로토콜의 Umbrella 안전 예비금은 이러한 상황을 대비해 마련되어 있으나, 1억 9,600만 달러의 부실채권을 전부 충당할 수 있을지는 불확실합니다.
Kelp 해킹이 Aave에 미친 영향
Kelp DAO 해킹 자체는 Aave의 스마트 컨트랙트와는 무관하게 발생했습니다. Kelp는 EigenLayer 기반의 리퀴드 리스테이킹 프로토콜로, rsETH 토큰을 통해 ETH 스테이킹 포지션을 대표합니다. 4월 19일, 공격자는 Kelp의 인출 메커니즘 취약점을 이용해 약 2억 9,200만 달러 상당의 자산을 탈취했습니다. 이로 인해 유통 중인 rsETH는 즉시 담보가 사라졌고, 그 가치는 이론상 ETH 페그 대비 큰 할인을 보였습니다.
Aave가 이 사태에 영향을 받게 된 경위는 다음과 같습니다. Kelp 측이 해당 토큰을 동결하기 전에, 공격자는 해킹한 rsETH를 Aave V3에 담보로 예치하고 WETH를 대출받았습니다. 당시 Aave 오라클은 rsETH의 해킹 이전 가치를 그대로 반영하고 있었으며, Chainlink 피드 역시 디페그를 즉시 반영하지 못했습니다. 결국 Aave 거버넌스가 V3, V4 시장에서 rsETH를 동결할 때쯤에는 이미 대출된 WETH가 인출된 상태였고, Aave는 본래 가치의 일부만 남은 담보만 보유하게 됐습니다.
이로 인해 약 1억 9,600만 달러 상당의 부실채권이 rsETH-WETH 대출 페어에 집중적으로 발생했습니다. 이는 단순한 손실 예상치가 아니라, 실제로 프로토콜이 WETH를 제공한 예치자에게 갚아야 하는 부채입니다.
24시간 만에 66억 달러가 빠져나간 이유
TVL 급락은 부실채권 그 자체보다 더 큰 의미를 가집니다. Aave의 부실채권은 rsETH-WETH 한 쌍에 국한되어 있었습니다. 대부분의 Aave 대출 풀은 rsETH와 무관하므로, USDC, DAI, wBTC 등의 예치자는 해당 해킹으로 직접적인 위험에 노출되지 않았습니다.
하지만 예치자들은 세부 내용을 기다리지 않았습니다. "Aave"와 "부실채권"이 같은 헤드라인에 등장하자 은행런 현상이 나타났고, 각 시장·체인·풀에서 대규모 인출이 이어졌습니다. TVL은 220억 달러에서 154억 달러로 24시간 내에 66억 달러 증발했는데, 이는 실제 부실채권의 33배에 달합니다.
이러한 패턴은 DeFi에서 반복적으로 관찰할 수 있습니다. 2023년 3월 Euler Finance 해킹 당시에도 전혀 무관한 대출 프로토콜까지 예치금이 빠져나갔습니다. 이번 Aave 사태가 다르다면, Aave는 기관에서도 DeFi의 성숙함을 지표로 삼는 프로토콜이라는 점입니다. 시장 선도 프로토콜에서 66억 달러가 패닉 인출되는 현상은 단일 프로토콜 이상의 신호로 받아들여집니다.
또한 대규모 인출은 2차 효과도 불러왔습니다. 예치금이 빠지면서 잔여 풀의 활용률이 급등했고, 대출 금리가 상승했으며, 이는 추가 인출을 유인하게 되는 악순환이 반복됐습니다. 이로 인해 실제 손실보다 훨씬 큰 TVL 감소가 발생했습니다. 66억 달러의 유출은 실제 손실이라기보다, 예치자들이 하룻밤 새 위험-보상 구조가 변했다고 판단해 자금을 이동시킨 결과입니다.
1억 9,600만 달러 적자는 어떻게 해소되나
Aave에는 이러한 상황을 위해 설계된 안전 장치가 존재합니다. Umbrella 안전 모듈은 프로토콜 수익과 스테이킹된 AAVE로 구성된 예비금 풀로, 부실채권 발생 시 백업 역할을 수행합니다. 문제는 이 예비금이 1억 9,600만 달러의 손실을 모두 감당할 수 있는지 여부입니다.
2026년 4월 중순 기준, Umbrella 예비금에는 약 8,000만1억 달러 수준의 자산이 있습니다. 여전히 9,600만1억 1,600만 달러가 추가로 충당되어야 하며, 이에 대한 예비금 사용은 거버넌스 투표를 통해 결정됩니다.
Umbrella 예비금만으로 부족할 경우, 그다음 보호 장치는 stkAAVE 보유자에게 돌아갑니다. 이들은 자신의 AAVE를 스테이킹해 부실채권 백업 역할을 맡고, 그 대가로 프로토콜 수수료를 받으며, 슬래싱 위험도 감수합니다. 남은 부실채권을 스테이킹된 AAVE 일부를 소각(slashing)해 충당하는 거버넌스 제안도 현실적인 시나리오이며, stkAAVE 보유자들은 현재 그 위험을 반영하고 있습니다.
Aave 창립자 Stani Kulechov는 본 사건이 Aave 컨트랙트 외부에서 발생했다고 공식적으로 밝혔습니다. "Aave 프로토콜은 설계대로 작동했습니다"라고 언급하며, 취약점은 Kelp 코드에 있었지 Aave 대출 논리에 있지 않았음을 강조했습니다. 이는 기술적으로는 맞는 설명이나, 담보 자산이 무가치해지며 WETH 인출이 막힌 예치자에게는 위안이 되지 않을 수 있습니다.
AAVE 토큰 가격 변화
AAVE는 해킹 소식이 전해진 뒤 몇 시간 만에 16~20% 하락하며, 약 280달러에서 224달러까지 내려갔다가 현재 235달러 부근에서 안정세를 보였습니다. 급락의 원인은 부실채권에 따른 직접적 재정 영향, stkAAVE 보유자 슬래싱 가능성, 그리고 DeFi 최대 대출 프로토콜이 대규모 손실 사건과 연결된 데 따른 평판 리스크가 중첩된 결과입니다.
이후 일부 회복세를 보였으나, 여전히 해킹 전 수준에는 미치지 못합니다. 향후 거버넌스가 어떻게 적자를 해소하는지에 따라 복구 속도가 달라질 전망입니다. Umbrella 예비금으로 대다수를 충당하고, 남은 손실은 stkAAVE 슬래싱으로 신속하게 처리된다면 신뢰 회복이 빠를 수 있습니다. 반면 프로세스가 길어지거나 추가 부실채권이 발생한다면, 토큰이 다시 저점을 시험할 가능성도 있습니다.
초기 48시간 온체인 데이터에 따르면, 주요 보유자들은 일부는 230달러 이하에서 매수에 나서고, 일부는 거래소로 AAVE를 옮겨 매도 신호를 보였습니다. 시장이 여전히 방향성에 합의하지 못한 상황이며, 거버넌스가 명확해지면 매수-매도 흐름도 정리될 것입니다.
DeFi 대출 프로토콜에 주는 시사점
Kelp-Aave 사건은 모든 대출 프로토콜이 공유하는 구조적 취약성을 드러냅니다. DeFi 대출은 오라클이 제공하는 담보 자산 평가에 의존하며, 외부 해킹으로 담보가 무가치해지고 오라클이 이를 즉시 반영하지 못하면 프로토콜이 손실을 흡수하게 됩니다. Aave는 계약상 실수 없이 정상 작동했으나, 시스템 구조상 예치금 안전이 담보로 허용된 외부 프로토콜의 보안에 일부 의존하게 됩니다.
이는 EigenLayer 출범 이후 여러 전문가가 경고한 리스테이킹 조합(composability) 리스크입니다. rsETH, rswETH, ezETH와 같은 리퀴드 리스테이킹 토큰은 복잡한 스테이킹 포지션을 파생 토큰으로 감쌈으로써 DeFi 내 다양한 담보로 활용됩니다. 각 래핑(wrapping) 단계가 추가될수록 의존성도 늘어나며, 특정 계층에서 문제가 생기면 상위 구조 전체에 영향을 미칩니다.
앞으로 주요 대출 프로토콜 거버넌스에서는 리퀴드 리스테이킹 토큰에 대한 담보 기준을 강화하는 제안이 늘어날 것으로 예상됩니다. Compound, MakerDAO 등 유사 파생 토큰을 허용하는 플랫폼들도 리스크를 재평가할 가능성이 높으며, 일부는 리스테이킹 토큰을 임시로라도 담보 자산 목록에서 제외할 수 있습니다.
예치자의 경우, 대출 프로토콜 자체의 코드 취약점은 배제되어도 외부 담보 자산에서 비롯된 리스크는 막지 못한다는 점을 인식해야 합니다. 플랫폼을 다각화하는 것만으로는 리스크를 완전히 분산할 수 없으며, Kelp 사건에서는 영향이 없던 풀까지 예치금이 빠져나갔습니다. 진정한 리스크 분산은 플랫폼뿐만 아니라 담보 자산 유형별로도 필요합니다.
자주 묻는 질문(FAQ)
Aave 자체가 해킹당했나요?
아니요. Aave의 스마트 컨트랙트는 침해되지 않았습니다. 부실채권은 Kelp DAO의 rsETH 프로토콜 해킹에서 비롯됐습니다. 공격자는 탈취한 rsETH를 Aave에서 담보로 활용해 WETH를 대출받았고, 이후 rsETH가 담보력을 상실해 부실채권이 발생했습니다.
Aave는 Kelp 해킹으로 얼마를 잃었나요?
rsETH-WETH 대출쌍에서 약 1억 9,600만 달러의 부실채권이 발생했습니다. 프로토콜 TVL은 모든 시장에서 예치금 대규모 인출로 66억 달러 감소했으나, 대부분은 예방적 조치에 의한 것이며 직접적 손실은 아닙니다.
stkAAVE 보유자는 손실을 볼 수 있나요?
가능성 있습니다. Umbrella 안전 예비금이 1억 9,600만 달러 전부를 감당하지 못할 경우, 거버넌스 투표를 통해 스테이킹된 AAVE 일부를 소각(slashing)해서 나머지 부실채권을 충당할 수 있습니다. stkAAVE 보유자는 이 위험을 감수하고 프로토콜 수수료를 받는 구조이므로, 거버넌스 진행 상황을 주의 깊게 살필 필요가 있습니다. (2026년 4월 20일 기준, 투표는 아직 진행되지 않았습니다.)
이번 사건 이후 Aave에 예치하는 것이 안전한가요?
Aave 컨트랙트 자체는 정상적으로 작동하며 침해되지 않았습니다. 위험은 Aave 코드가 아닌, 플랫폼에서 담보로 허용한 토큰의 리스크에서 기인합니다. 예치자는 자신이 공급하는 풀에 어떤 담보 자산이 활성화되어 있는지 반드시 확인해야 하며, 리스테이킹 파생 토큰은 ETH나 USDC와 같은 단순 자산보다 추가적인 의존성 리스크가 있음을 이해해야 합니다.
요약
Kelp 해킹으로 인해 Aave는 1억 9,600만 달러 부실채권과 66억 달러 대규모 인출을 경험했으나, 프로토콜 코드는 침해되지 않았습니다. 이번 사건은 DeFi 대출의 조합성(composability) 리스크, 특히 외부 리스테이킹 프로토콜 담보 의존성의 위험을 드러냅니다. 앞으로 1~2주 간 Umbrella 예비금 활용과 stkAAVE 소각 여부에 대한 거버넌스 결정이 필요하며, 신속하고 명확한 해결이 이루어지면 예치금 회복도 빨라질 수 있습니다. 반대로 거버넌스가 지연되거나 추가 리스테이킹 토큰에 문제가 발생한다면, 모든 DeFi 대출 프로토콜이 담보 허용 기준을 근본적으로 재검토하는 계기가 될 수 있습니다. 리스테이킹 자산 담보 기준을 신속히 강화하는 프로토콜이 앞으로 신중한 자본 유입의 주체가 될 전망입니다.
본 글은 정보 전달을 위한 내용일 뿐, 재정 또는 투자 조언을 제공하지 않습니다. 암호화폐 거래에는 상당한 위험이 따르니, 투자 결정 전 반드시 본인 판단과 추가 조사를 권장합니다.
