USDX 디페깅 사태 분석과 시사점: 무엇이 무너졌고, 무엇을 고쳐야 하는가

최근 디파이에서 vault·스테이블 연동 상품이 연달아 붕괴했다. 이 글은 그 흐름을 한 줄기의 이야기로 묶고, 그 안에서 공통된 구조적 문제를 정리한다. 핵심은 단순하다. 불투명한 구조 위의 높은 수익은 평소에는 성과처럼 보이지만, 외부 충격과 내부 병목이 동시에 오면 레버리지가 되어 시스템을 부러뜨린다. 시장은 이제 ‘누가 운용하느냐’보다 ‘어떤 절차와 데이터 위에서 운용하느냐’를 기준으로 가격을 매긴다.

1. 발단: vault·수익형 상품의 확장, 경고, 그리고 무시

시간이 지나면서 디파이에는 수많은 vault와 수익형 상품이 생겼다. 리스크는 숨기고 수익률만 전면에 내세우는 구조가 표준처럼 굳었다. ‘격리형 전략’, ‘시장 중립’, ‘델타 중립’ 같은 라벨이 신뢰를 대신했다. 유저는 개별 포지션을 모니터링하지 않고, 리스크 큐레이터에게 헷지·롤오버·담보 관리를 통째로 맡겼다.

이 과정에서 커뮤니티 일부는 일찌감치 경고를 보냈다. xUSD, Midas LYT 같은 상품이 대표 사례로 거론됐다. 이들이 지적한 포인트는 크게 두 가지였다.

첫째, 오프체인 헷지 의존과 권한형 상환 구조가 외부에서는 보이지 않는다는 점이다. 헷지 포지션이 실제로 존재하는지, 규모와 롤오버 상태는 어떤지, 상환 권리가 ‘코드로 보장된 권리’인지 ‘운영자의 재량’인지를 검증할 수 없으면, 시스템은 충격에 취약해진다.

둘째, 같은 리스크 축 위에서 레버리지가 겹겹이 쌓여 있다는 점이다. 표면적으로는 여러 vault와 마켓이 격리된 것처럼 보이지만, 실제로는 같은 스테이블, 같은 헷지, 같은 oracle에 묶여 있으면 라벨만 다를 뿐이다. 수익률을 조금이라도 끌어올리기 위해 이 구조 위에 더 많은 루프를 얹으면, 격리라는 약속은 사실상 의미를 잃는다.

이 경고가 거의 무시되던 시점에, 11월 3일 Balancer V2 대형 익스플로잇이 터졌다. 컴포저블 스테이블 풀의 정밀도(라운딩) 취약점을 악용한 공격으로, 여러 체인에서 1억 달러가 넘는 자산이 빠져나갔다. 이 사건 자체가 xUSD나 USDX를 직접 공격한 것은 아니지만, 디파이 전반의 리스크 프리미엄을 끌어올렸다. 거래소와 대출 프로토콜의 마진 요구, 펀딩비, 차입·대여 금리 곡선이 단기간에 다시 그려지는 것은 자연스러운 반응이다. 이때부터는 ‘어느 쪽이 먼저 터지느냐’의 문제였다.

시장 스트레스가 커지자, xUSD를 발행하던 Stream Finance로 환매 수요가 몰렸다. 유저들은 xUSD를 USDC로 상환 받거나 다른 자산으로 바꾸기 시작했고, 이 흐름은 순식간에 가속했다. 이후 전개는 전형적이다. 페그를 잃은 토큰, 뒤늦게 반응하는 oracle, 막힌 상환 창구, 레버리지로 부풀려진 TVL이 한 화면에 겹쳐지기 시작했다.

2. 폭락과 부실: 가격 붕괴, oracle 오류, bad debt

xUSD는 11월 초부터 급격히 흔들렸다. 커뮤니티 기록을 종합하면, 한때 1.26달러까지 고평가된 뒤 방향을 틀어 0.07달러 수준까지 떨어졌다. Stream Finance는 공식적으로 약 9,300만 달러 손실이 발생했다고 인정했다. 여기까지만 보면 특정 프로젝트의 부실로 끝날 수도 있었다.

문제는 xUSD가 온체인에서 담보로 광범위하게 쓰이고 있었다는 점이다. Silo Finance, Morpho, Euler, Enclabs Finance 등 일부 과담보 대출 프로토콜에서 xUSD 가격 oracle이 1.26달러 수준으로 잘못 고정되어 있었다. 온체인 가격이 폭락해도 oracle은 여전히 1달러 이상을 가리켰다. 그 결과 xUSD를 담보로 잡은 포지션을 정상적으로 청산할 수 없게 되었고, 여러 마켓에서 bad debt가 빠르게 쌓였다. 커뮤니티에서는 대략 1억~3억 달러 사이에서 부실 규모를 추정했지만, 정확한 숫자는 각 프로토콜의 사후 정산과 공시를 기다려야 한다.

연쇄 충격은 다른 스테이블에도 바로 이어졌다. Elixir의 deUSD는 담보의 65%를 xUSD에 의존하던 구조였다. xUSD 가격 붕괴와 함께 deUSD도 1달러에서 0.007달러 수준까지 떨어졌고, 프로젝트는 사실상 종료 수순을 밟았다. 가격 차트와 거래 데이터는 급격한 하락과 유동성 소진을 그대로 보여준다.

같은 시기 Aave는 이더리움 메인넷에서 deUSD·sdeUSD를 담보로 지원하던 마켓을 임시 중단했다. oracle은 deUSD를 0.86달러 수준까지 낮게 읽었지만, 일부 경로에서 1.06달러로 유지되는 괴리가 관측됐기 때문이다. Aave는 ‘조금 늦게 반영된 잘못된 가격으로 계속 운영하기’보다는 ‘일단 멈추고 리스크를 재평가하기’를 선택했다. 시스템 설계 관점에서 보면, 오류 상태로 계속 돌리는 것보다 정지가 낫다는 선택이다.

비슷한 시점에 USDX와 sUSDX의 방어선도 무너졌다. 11월 6일 USDX는 0.35~0.60달러 구간으로 떨어졌고, 일부 집계에서는 0.30달러 인쇄도 포착됐다. sUSDX는 그 직전까지 1.1달러대에서 거래되다가, 이 날을 전후해 0.6달러대로 급락했다. 이는 단순한 가격 변동이 아니라 상환이 실제로 작동하는지에 대한 의심이 가격에 반영된 결과다.

USDX의 상환 구조는 원래부터 권한형이었다. 직접 상환은 KYC/KYB를 통과한 주소만 가능하고, USDT 기준 7일 만기 상환을 기본으로 한다. 위기 상황에서 이 상환 게이트웨이에 지연이 생기자, 기초자산(USDX)과 스테이킹 청구권(sUSDX) 사이의 전환은 사실상 멈췄다. 차익거래자는 더 이상 ‘싸게 사서 상환해 차익을 먹는’ 마지막 매수자 역할을 하려 하지 않았다. 이후 가격 데이터에는 USDX가 0.064달러 근처까지 내려앉은 캔들이 또렷이 찍혔다.

운영 측은 뒤늦게 복구 어레인지먼트를 발표했다. 문제는 이 프로그램이 ‘자발적인 복구 노력’이며, ‘법적 상환 의무나 보장을 의미하지 않는다’고 명시했다는 것이다. 평소에는 규제 프레임을 강조하던 프로젝트가 위기 시점에 ‘법적 의무가 아니다’고 선회하게 되면, 시장은 이를 곧장 액면가 상환권 부재로 해석한다. 이 시점에서 USDX는 1달러를 목표로 하는 토큰일 뿐, 1달러를 청구할 권리는 아니게 된다.

담보 노출을 가진 프로토콜들의 대응은 크게 갈렸다. Lista DAO는 유명한 LIP-022 제안을 통해 1시간짜리 긴급 투표를 열고, 투표가 끝나기도 전에 플래시론을 이용해 USDX 포지션을 강제 청산했다. 이후 해당 마켓의 이자율은 3%로 재설정됐다. 당시 차입금리가 일시적으로 수백 퍼센트까지 튀었다는 보도가 이어졌다. 반면 다른 일부 마켓은 손실을 사실상 방치한 채 뚜렷한 조치를 취하지 않아, 시장의 불확실성만 키웠다.

한편 Sei 생태계의 sfastUSD도 1달러에서 0에 가까운 수준까지 붕괴했다. 이를 담보로 받던 Yei Finance는 약 860만 달러의 부실을 팀 재원으로 전액 보상하겠다고 발표했다. 이용자 입장에서는 다행이지만, 시스템 리스크 관점에서는 사람의 선의에 의존하는 구조는 지속 가능하지 않다는 사실을 다시 보여준다. 위기가 터졌을 때 작동해야 하는 것은 공지나 보상이 아니라, 코드와 절차다.

3. 후폭풍: 법적 공방 예고, 대규모 유출, TVL 하강

사태 이후 리스크 큐레이터와 대출 프로토콜들은 각자의 방식으로 대응에 들어갔다. K3 Capital은 법적 대응 가능성을 시사했고, Silo Finance 역시 강제 청산과 법적 절차를 포함한 대응 옵션을 공개적으로 언급했다. 이는 단순한 감정 표출이 아니라, ‘이 손실을 누가 어떻게 책임질 것인가’를 둘러싼 싸움의 전조다. 앞으로 법원, 규제 당국, DAO 거버넌스가 모두 관여하는 복합적인 분쟁으로 번질 가능성이 있다.

한편 유저 측 반응은 훨씬 빠르고 단순했다. 출금이다. srUSD 준비금 대시보드는 단기간에 2억 5천만 달러대까지 빠르게 줄어드는 모습을 보여줬고, Midas 관련 생태계에서도 운영진과 외부 분석 계정이 4억 달러대 유출을 언급했다. 단일 상품이 아니라, ‘vault·yield’ 전반에 대한 신뢰가 줄어든 결과다.

TVL 하락은 특히 레버리지로 TVL을 크게 키웠던 리스크 큐레이터들에게 집중됐다. 개별 운영사마다 수치는 다르지만, 공통된 패턴은 분명하다. 레버리지로 부풀린 TVL은 시장이 겁을 먹을 때 더 빠르게 줄어든다. 시스템이 안전해서 들어온 돈이 아니라, ‘남들보다 조금 더 높은 수익률’ 때문에 들어온 돈이기 때문이다.

4. 구조적 해부: 왜 같은 패턴이 반복되는가

여러 프로젝트와 프로토콜이 얽혀 있지만, 구조를 뜯어보면 공통점은 크게 세 가지다.

4-1. 증빙 없는 오프체인 헷지와 권한형 상환

첫째, 오프체인 헷지와 권한형 상환에 대한 증빙이 없다는 점이다. USDX를 예로 들면, 문서상으로는 Off-Exchange Settlement(OES) 계정에 자산을 보관하고, 여러 거래소에 미러링된 포지션을 올려 델타를 중립화한다고 설명한다. 하지만 외부에서는 그 포지션이 실제로 존재하는지, 어느 방향으로 얼마나 열려 있는지, 롤오버는 제때 되고 있는지, 마진 여유는 충분한지 알 수 없다.

직접 상환 역시 제한된 주소만 사용할 수 있고, 그마저도 7일 만기 같은 운영 파라미터에 묶여 있다. 위기 시 상환 게이트웨이가 막히면, 온체인 가격은 정보가 아니라 공포의 지표가 된다.

4-2. oracle의 실패 모드

둘째, oracle의 실패 모드가 취약하다. xUSD처럼 oracle이 한동안 잘못된 기준가를 유지하면, 담보 시스템은 버그 상태로 계속 돌아간다. 이때 가장 중요한 것은 정밀한 값이 아니라 끊기지 않는 값(liveness)과, 값이 이상할 때 어떤 식으로 보수적으로 페일오버할지에 대한 명확한 규칙이다. “잠깐 멈추고 재평가한다”는 버튼을 어디까지 자동화할 것인지, 어디까지 인간·거버넌스 레이어에 맡길 것인지에 대한 설계가 필요하다.

4-3. 라벨 격리와 실물 격리의 불일치

셋째, 라벨 격리와 실물 격리의 불일치다. 여러 vault가 서로 다른 이름을 달고 있어도, 내부적으로 같은 oracle, 같은 상환 창구, 같은 헷지와 운영 시스템에 달라붙어 있으면 사실상 하나의 거대한 포지션일 뿐이다.

11월 중순 기준으로 USDX 유동성은 대략 Camelot V3 약 839만 달러, Curve 약 409만 달러, Balancer V3 약 317만 달러, Balancer V2 약 118만 달러, Uniswap V3는 수만 달러 수준에 불과했다. 이처럼 유동성이 얇고 여러 풀에 찢어져 있으면, 특정 풀의 마찰과 왜곡이 전체 가격 발견에 비선형적으로 영향을 미친다. 라벨상 “isolated market”이라도, 실물적으로는 동일 위험이 여러 곳에 연결되어 있는 셈이다.

5. 비교 프레임: MetaMorpho가 보여주는 ‘느린 권한’과 ‘유리상자’

정반대 방향의 설계를 시도한 예가 Morpho / MetaMorpho다. 이들은 “사람을 믿자”가 아니라 “절차를 믿자”는 쪽으로 설계를 끌고 간다.

MetaMorpho vault의 핵심은 다음과 같다.

• 모든 중요한 파라미터, 즉 담보 인정 비율, 공급·차입 상한, oracle 소스, 어떤 마켓에 얼마나 배분하는지가 온체인 상태로 드러난다. 누구나 이 값을 읽고 위험 노출을 재구성할 수 있다.
• 이러한 파라미터를 바꾸려면 타임락(time-lock)을 거쳐야 한다. 당장 오늘 누군가의 기분이나 외부 압박으로 리스크 한도가 뒤집히지 않는다.
• Guardian과 LP에게 거부권을 부여해, 리스크 큐레이터가 결정한 변경이 일정 시간 안에 막힐 수 있는 구조를 만든다.
• Owner·Curator·Allocator·Guardian 역할을 분리해, 권한이 한 곳에 몰리지 않도록 한다.

보상 구조 측면에서는, MetaMorpho가 ‘리스크 지표 연동 보상’을 공통 규칙으로 강제하는 것은 아니다. 현실적으로는 대부분의 vault에서 성과 수수료·관리 수수료 중심의 보상 구조를 채택한다. 다만 vault별로 위험 한도를 어떻게 잡는지, 어떤 리스크 정책을 쓰는지는 온체인 상태와 문서에서 확인할 수 있다. 예를 들어 Hyperliquid의 HYPE를 기초로 하는 Felix vault들의 경우, 노출 한도·oracle·Guardian·타임락 설정은 직접 체인 상에서 조회 가능하다. 원칙은 프로토콜 설계에 있고, 실제 효과는 각 vault의 세팅에서 나온다.

이 프레임에서 보면, 최근 vault 사태의 많은 상품들은 사람을 믿게 만드는 구조에 머물러 있었다. 반면 시장은 점점 절차를 믿을 수 있는 구조에 프리미엄을 주기 시작했다.

6. 규제와 커뮤니케이션: 상환권은 ‘권리’인가, ‘선의’인가

EU의 MiCA 규정에서 전자화폐토큰(EMT)의 핵심은 간단하다. 액면가로 발행하고, 언제든 액면가로 상환할 권리를 보장해야 한다. 보유자는 원할 때 발행자에게 액면가 상환을 요구할 수 있고, 발행자는 이를 이행해야 한다.

이번 사태에 등장한 여러 스테이블들이 실제로 EEA 지역에서 EMT로 인가·마케팅되었는지 여부는 각자 따져봐야 할 사안이다. 다만 원칙 차원에서 보면, 상환권을 권리로 설계하지 않은 구조는 EMT 프레임과 충돌한다. Stables Labs가 복구 프로그램을 “자발적이고, 법적 상환 의무가 아니다”라고 규정한 것은, 규제 프레임 상에서도, 투자자 심리 상에서도 분명한 신호다. 시장은 이를 즉시 할인 요인으로 반영했다.

위기 국면에서의 커뮤니케이션은 특히 중요하다. 상환 게이트웨이가 막힌 다음에야 “자발적 복구”를 강조하면, 정보 비대칭 하에서 손실을 본 참여자는 합리적으로 최악의 가정을 하게 된다. 신뢰는 위기 때 갑자기 만들어지는 것이 아니라, 평소에 코드와 계약으로 깔아놓은 절차를 통해 쌓이는 것이다.

7. 시사점: 지금 당장 손대야 할 다섯 가지

첫째, 중앙화된 리스크 큐레이터의 역할과 책임을 다시 정의해야 한다. 자산 보관, 헷지, 상환에 관한 핵심 신호를 외부 검증 가능한 형태로 제공하지 않는 운영은, 아무리 높은 수익률을 보여도 구조적으로 위험하다.

둘째, 퍼미션리스 과담보 대출 프로토콜의 책임 범위에 대한 업계 합의가 필요하다. oracle 선택과 페일오버 정책, 특정 담보에 대한 신속 상한 조정, 표준화된 긴급 멈춤 절차를 “공통 레이어”로 묶을 필요가 있다.

셋째, curated vault가 여러 마켓에 걸쳐 노출을 발생시키면서, “isolated market”의 의미를 희석시키는 문제를 다시 봐야 한다. oracle·상환·헷지·운영 리소스를 실제로 분리하지 않는 한, 라벨상 격리는 큰 의미가 없다. 불가피하게 공유 리소스를 써야 한다면, 최소한 상한(cap), 서킷브레이커, 지역화된 청산 한도를 규칙으로 넣어야 한다.

넷째, yield risk rating의 중요성은 앞으로 더 커질 것이다. 이미 여러 팀이 이를 상품화하고 있다. Credora Network는 RedStone에 인수되며 신용·리스크 데이터와 oracle을 묶는 그림을 그리고 있고, Exponential은 자체 앱 Yo와 연동해 vault별 수익·위험을 비교한다. Stablewatch와 vaults.fyi는 수익·리스크 인텔리전스를 제공하고, Accountable은 암호학적으로 검증된 vault 데이터를 제공한다. Block Analitica는 Sky·Compound 같은 프로토콜에 맞춤형 리스크 대시보드를 제공해 왔고, Chaos Labs는 Aave 등의 리스크 피드를 공개하고 있다. 이런 도구가 표준화되면, 유저는 “이름과 홍보”가 아니라 지표를 보고 vault를 선택할 수 있다.

다섯째, 리테일의 DYOR 기준도 바뀌어야 한다. 수익률 숫자만 비교하는 것은 의미가 없다. 최소한 다음 다섯 가지만 체크해야 한다.

1. 오프체인 헷지를 증명(Proof-of-Hedge) 하는가.
2. 상환이 온체인 권리로 보장되는가.
3. oracle의 페일오버 규칙이 명시되어 있는가.
4. 파라미터 변경에 타임락과 Guardian이 있는가.
5. 유동성이 너무 얇거나, 특정 풀에 과도하게 쏠려 있지는 않은가.

8. 최소 설계안: 관찰 가능성, 절차, 권리

이번 사태를 교훈 삼아 다음 사이클에서 같은 일을 반복하지 않으려면, 최소한 다음 네 가지는 기본값이 되어야 한다.

1. Proof‑of‑Hedge
   거래소 서명 영수증이나 영지식 증명을 이용해, 총 델타·마진 여유·롤오버 상태를 주기적으로 온체인에 커밋해야 한다. 세부 포지션을 공개하지 않더라도, 헷지의 존재와 충분성을 증명할 수 있어야 한다.

2. 온체인 상환권 상환은 운영진의 “선의”가 아니라 시스템 차원의 권리여야 한다. 속도가 조금 느리더라도, 확정적인 경로와 FIFO·우선순위, 일중 한도, 비상시 감산·순차 배분 규칙을 코드로 고정해야 한다. 위기 때는 사람의 재량이 아니라 이 규칙이 먼저 작동해야 한다.

3. 느린 권한 타임락, Guardian 거부권, 역할 분리를 통해 파라미터 변경을 의도적으로 느리게 만들어야 한다. 빠른 의사결정이 아니라, 예측 가능한 의사결정이 안전을 만든다.

4. 실물 격리와 상한·서킷브레이커 oracle·헷지·상환·운영 리소스를 가능한 한 분리하고, 불가피하게 공유할 경우에는 상한과 서킷브레이커를 반드시 넣어야 한다. 공유 병목이 하나의 실패점으로 수렴하지 않도록 해야 한다.

이 네 가지가 갖춰지지 않으면, 라벨이 무엇이든 결국 같은 서사가 반복된다. 이름만 다른 새로운 vault가 등장하고, 높은 수익률을 내세운 뒤, 외부 충격과 내부 병목이 겹치는 순간 또 한 번의 “vault 사태”가 만들어질 것이다.

끝맺음

이번 사건은 개별 프로젝트 몇 개의 실패담이 아니다. 증빙 없는 헷지, 권한형 상환, 취약한 oracle 실패 모드, 라벨만 격리된 공유 병목이 한꺼번에 드러난 사건이다. 해결책은 화려한 수익률 곡선이 아니라, 관찰 가능성·절차·권리라는 세 축을 코드로 고정하는 일이다. Proof-of-Hedge, 온체인 상환권, 느린 권한, 실물 격리. 이 네 가지가 다음 사이클에서 살아남을 수 있는 최소 조건이다.