[디지털데일리 박현영기자] 게임사 위메이드가 출시한 탈중앙화금융(De-fi, 디파이) 서비스 ‘클레바(KLEVA)’에서 627억원 규모 이자가 잘못 지급되는 오류가 발생했다. 이에 대해 위메이드는 스마트컨트랙트에 오류가 있어 발생한 사고라는 입장을 밝혔다.

다만 일각에서는 위메이드가 다른 디파이 서비스를 참고해 만드는 과정에서 코드를 잘못 복사해 생긴 오류라고 지적했다. 개발이 제대로 되지 않은 상태에서 서비스부터 출시한 게 아니냐는 비판까지 나오면서 논란이 이어질 전망이다.

◆클레바에서 무슨 일이? 627억원치 이자 잘못 지급

지난 27일 클레바에서는 달러에 연동된 스테이블코인 ‘KUSDT’ 5200만개가 비정상적으로 인출되는 사고가 발생했다. 우리 돈 627억원 규모다. 이에 일부 커뮤니티에서는 클레바가 해킹을 당했다는 의혹이 제기됐다.

위메이드는 해킹이 아닌 스마트컨트랙트 오류라고 밝혔다. 디파이는 블록체인 상 스마트컨트랙트로 구동되는 금융 서비스를 말한다. 스마트컨트랙트 코드에 따라 자동으로 서비스가 구동되므로, 코드에 오류가 있으면 출금도 잘못되는 사고가 발생할 수 있다.

클레바는 27일 저녁 업데이트 테스트를 진행하는 과정에서 코드에 오류를 포함시켰다. 때문에 일부 자산에 대해 과도하게 이자가 지급되는 오류가 발생했다.

오류를 인지한 후 위메이드 측은 잘못 지급된 이자를 전량 회수하기 위한 대응 조치를 취했다. 사고와 연관된 개인 사용자 및 기관의 도움을 받아 현재는 자금의 99.41%를 복구한 상태다.

장현국 위메이드 대표는 “예상치 못한 사고로 심려를 끼친 점에 대해 사과 드린다”며 “사고 수습은 완료되었고, 원천적으로 재발을 방지하기 위한 구조를 수립하겠다”고 밝혔다.

◆다른 디파이 서비스 코드 참고…"개발·보안감사 과정 미흡" 지적 나와

다행히 피해 자금은 회수했지만, 일각에서는 이번 사고가 ‘예견된 재난’이라는 지적이 나온다. 위메이드가 다른 디파이 서비스인 ‘알파카 파이낸스’의 코드를 복사해 서비스를 개발하는 과정에서 생긴 오류라는 것이다.

알파카 파이낸스는 블록체인 플랫폼 바이낸스스마트체인을 기반으로 하는 디파이 서비스다. ‘레버리지 이자농사’라는 개념을 도입한 대표적인 디파이 서비스이기도 하다. 클레바 역시 이 개념을 끌어오기 위해 알파카 파이낸스의 코드를 대부분 참고한 것으로 알려졌다.

디파이 서비스들은 대부분 개발 코드를 깃허브에 공개한다. 때문에 공개된 코드를 복사해 새로운 서비스를 만드는 일도 매우 흔하다. 바이낸스스마트체인을 기반으로 하는 디파이 서비스들도 초창기에는 이더리움 기반 디파이 서비스들의 코드를 복사해 개발된 경우가 많았다.

하지만 다른 블록체인 플랫폼 기반의 서비스를 참고할 땐 더 꼼꼼한 코드 검수 과정을 거쳐야 한다. 스마트컨트랙트 보안감사, 즉 ‘오딧(Audit)’ 과정을 더 꼼꼼하게 해야 오류나 해킹을 막을 수 있다.

클레바는 카카오의 퍼블릭 블록체인 플랫폼 ‘클레이튼’을 기반으로 한다. 바이낸스스마트체인 기반인 알파카파이낸스의 코드를 클레이튼 상으로 복사해오려면 더 꼼꼼한 검수 과정을 거쳐야 하는 것이다. 개발 및 보안감사 과정이 꼼꼼하지 못했다는 지적을 받을 수밖에 없다.

또 위메이드는 블록체인 보안감사 기업 수호와 함께 클레바를 개발했다. 위메이드가 수호에 투자까지 집행했던 만큼, 미흡한 개발에 대한 비판은 피하기 힘들 것으로 보인다.

한 블록체인 벤처캐피탈(VC) 관계자는 “위메이드가 수호에 투자를 결정한 가장 큰 이유가 ‘클레바’ 개발인 것으로 안다”며 “보안감사 기업과 함께 개발했는데 코드를 잘못 복사하고, 보안감사도 제대로 안 됐다면 그 과정이 미흡했을 수 있다”고 지적했다.

또 다른 국내 블록체인 업계 관계자는 “예전에도 이더리움 기반 디파이의 코드를 바이낸스스마트체인 기반 서비스로 복사하는 과정에서 오류가 발생하는 경우가 많았고, 때문에 해킹의 대상이나 사고가 발생하는 일도 많았다”며 “다른 디파이 서비스를 포크하려면 추가 보안감사를 받는 등 과정을 거쳐야 한다”고 설명했다.