Drift 익스플로잇으로 Carrot까지 날아갔다, 내 이자 농사(Yield Farm)는 안전할까?

지난 몇 년 동안 사람들이 프로토콜 밑바닥에 깔린 시스템은 무시한 채 오직 높은 수익률(APY)만 쫓는 걸 지켜봤습니다. 이번에 Drift 익스플로잇 이후 Carrot이 무너진 건 왜 이런 행동이 위험한지 보여주는 교과서적인 사례죠. 만약 여러분이 리스크가 큰 이자 농사(Yield Farm)를 어떻게 구별하는지 알고 싶다면, 이제는 수익률 숫자 너머의 '의존성'을 봐야 합니다.

결론부터 말하자면

Carrot이 무너진 이유는 전형적인 '전염' 때문입니다. Carrot 자체 코드에 버그가 있었던 건 아닐 수도 있어요. 하지만 수익을 내기 위해 Drift에 의존하고 있었죠. Drift가 털리자 Carrot을 뒷받침하던 가치가 순식간에 증발한 겁니다. 디파이 세계에서 B 프로토콜이 A 프로토콜을 이용해 돈을 번다면, B의 안전성은 결국 A의 안전성과 같습니다.

전염이 실제로 일어난 방식

디파이 프로토콜을 서로 떨어진 외딴섬이라고 생각하면 안 됩니다. 오히려 카드 집(house of cards)에 가깝죠. 많은 수익 최적화 도구나 '볼트(vault)'들은 스스로 수익을 창출하지 않습니다. 대신 여러분의 예치금을 가져다가 가장 이율이 좋은 다른 프로토콜로 옮겨줄 뿐입니다.

이번 사례에서 Carrot은 Drift에 심하게 의존하고 있었습니다. Drift 익스플로잇이 터졌을 때, 피해는 Drift에 직접 자산을 둔 사람들에게만 그치지 않았습니다. 일종의 진공 상태가 만들어진 거죠. Carrot의 수익이 사실상 Drift 생태계에서 나왔기 때문에, Drift가 망하는 순간 Carrot의 기초 자산이나 보상 토큰 가치는 곤두박질쳤습니다.

전에도 이런 패턴을 본 적이 있습니다. 규모만 다를 뿐 테라-루나 사태 때 봤던 논리와 똑같아요. 리스크 층을 하나 쌓고, 그 위에 또 다른 리스크 층을 얹는 식이죠. 바닥 층이 깨지면 그 위의 모든 것이 함께 무너집니다.

사람들이 흔히 실수하는 부분

제가 보는 가장 큰 실수는 '수익률 맹신'입니다. APY 20%, 50%라는 숫자만 보면 질문을 멈춰버려요. 대시보드가 그럴싸하거나 트위터 팔로워가 많으면 안전하다고 믿어버리는 거죠.

또 다른 착각은 '오딧(Audit)을 받았으니 안전하다'는 생각입니다. 오딧은 특정 시점의 코드 스냅샷일 뿐입니다. 전염 리스크까지 막아주지는 않아요. Carrot의 코드는 완벽했다 하더라도, 돈을 맡긴 상대 프로토콜이 해킹당하면 소용없다는 뜻입니다.

위험한 이자 농사 구별하는 법

다음번 'Carrot' 같은 사태를 피하고 싶다면, 입금 전에 약간의 탐정 놀이가 필요합니다. 제가 확인하는 기준들을 공유할게요.

수익의 출처를 확인하세요

스스로에게 물어보세요. "이 돈은 대체 어디서 나오는 거지?" 만약 프로토콜이 '고급 전략'을 쓴다고 말한다면, 보통은 여러분의 돈을 다른 프로토콜에 겹겹이 쌓아두고 있다는 뜻입니다. 자금이 정확히 어디에 저장되어 있는지 명확한 리스트를 찾을 수 없다면, 리스크가 너무 높은 겁니다.

'재귀적' 루프를 경계하세요

자신들의 토큰을 담보로 잡고, 다시 그 토큰을 빌려 더 많은 수익을 내는 팜을 조심하세요. 이건 피드백 루프를 만듭니다. 가격이 조금만 떨어져도 연쇄 청산이 일어나면서 몇 분 만에 시스템 전체가 날아갈 수 있습니다.

의존성 체인을 그려보세요

저는 항상 '의존성 트리'를 그려보려 노력합니다. 내가 X 프로토콜에 넣었는데, X가 Y에 넣고, Y가 브릿지를 통해 Z로 옮겼다면, 저는 지금 세 군데의 실패 지점에 노출된 겁니다. 저는 훨씬 단순한 전략을 선호합니다.

실전 적용하기

수익률 쫓는 게임에 지쳤고 그저 핵심 자산을 안전하게 지키고 싶다면, 거래소에서 자산을 빼서 콜드 스토리지에 보관하는 게 최선입니다. 저는 개인적으로 Ledger Nano X를 씁니다. 하드웨어 서명기의 보안을 유지하면서도 블루투스로 폰에서 포트폴리오를 관리할 수 있어 편하거든요. 개인 키가 핫 월렛이나 위험한 팜에 들어있지 않다면, 이런 전염 사태로 전 재산을 날릴 확률은 훨씬 줄어듭니다.

그래도 농사를 짓고 싶다면, 정말 없어져도 상관없는 돈으로만 하세요. 제 경험상, '아마도' 50% 수익을 기대하다가 0%가 되는 것보다, '안전한' 5% 수익이 훨씬 낫습니다.