MEV 봇 ‘제러드프롬서브웨이’ 750만 달러 해킹… DeFi ‘샌드위치 공격’의 새로운 경계

지난 2025년 10월까지 이더리움 네트워크에서 발생한 ‘샌드위치 공격’의 70%를 차지했던 MEV 봇 제러드프롬서브웨이(eth)가 750만 달러 상당의 암호화폐를 해킹당했다. 이 공격은 제러드프롬서브웨이가 수년간 벌어들인 수익의 일부에 불과하지만, 블록체인 자동화 거래 시스템의 새로운 취약점을 드러냈다. 공격자는 제러드프롬서브웨이의 MEV 추출 로직을 역이용하는 ‘역MEV’ 전략을 사용해 봇의 자동화된 결제 승인 시스템을 속였다.

이번 해킹은 단순히 피싱이나 전통적인 스마트컨트랙트 취약점을 노린 것이 아니었다. 대신, 공격자는 제러드프롬서브웨이의 MEV 봇이 실제 토큰(WETH, USDC, USDT)과 유사한 가짜 토큰과 유동성 풀을 66개나 생성해 배치했다. 이 가짜 토큰들은 수익성 있는 거래로 위장되어 있었고, 제러드프롬서브웨이의 봇은 이를 실제 거래 opportunity로 인식해 공격자-controlled 헬퍼 컨트랙트에 자금을 사용하도록 승인했다. 결국 봇이 스스로의 돈을 공격자에게 이전하도록 유도한 셈이다. 블록에이드(Blockaid)의 최고기술책임자 Raz Niv는 이를 “자동화되고 최소 신뢰를 기반으로 한 MEV 봇의 의사결정 로직을 겨냥한 역MEV 허니팟 공격”이라고 설명했다.

이번 사건은 디파이(DeFi) 생태계에서 MEV(Maximal Extractable Value)가 지닌 이중성을 다시 한번 보여준다. MEV 봇들은 유동성 공급자(LP)와 거래자 모두에게 보이지 않는 수수료로 작용하며, 이더리움 트랜잭션의 약 5~10%가 MEV 봇에 의해 재배치될 정도로 광범위한 영향력을 행사한다. 블록체인 분석 업체에 따르면, 2024년 11월부터 2025년 10월까지 이더리움에서 발생한 샌드위치 공격은 매월 6만~9만 건에 달했으며, 이 중 약 70%가 제러드프롬서브웨이와 연관된 것이었다. 이 공격으로 인해 디파이 사용자들은 매년 약 6천만 달러의 손실을 입는 것으로 추정된다. 그러나 이번 해킹은 MEV 봇 자체도 공격 대상이 될 수 있음을 증명하며, 디파이 생태계의 보안 패러다임에 새로운 도전 과제를 던지고 있다.

MEV 봇이란 무엇인가: 보이지 않는 거래 재배치의 세계

MEV(Maximal Extractable Value)는 블록체인 네트워크에서 트랜잭션의 배치 순서를 조작해 발생하는 추가 수익을 말한다. 이더리움과 같은 스마트컨트랙트 플랫폼에서는 블록을 생성하는 검증자(또는 채굴자)가 트랜잭션의 순서를 조정할 수 있으며, MEV 봇들은 이러한 특성을 이용해 수익을 창출한다. 가장 일반적인 MEV 전략은 ‘샌드위치 공격’으로, 대형 거래가 체결되기 전후로 가격을 조작해 중간에서 이익을 얻는 방식이다. 예를 들어,Alice가 100 ETH를 시장에 매도하려고 할 때, MEV 봇은 그 거래가 체결되기 전에 100 ETH를 매수해 가격을 끌어올린 다음, Alice의 매도가 체결된 후 곧바로 매도해 차익을 얻는 것이다.

제러드프롬서브웨이는 이러한 MEV 봇의 대표 주자로, 수년간 이더리움 네트워크에서 가장 수익성 높은 봇으로 손꼽혔다. 이 봇은 자동화된 알고리즘을 통해 수천 개의 트랜잭션을 모니터링하고, 샌드위치 공격, 플래시론 arbitrage, liquidation 등 다양한 MEV 전략을 실시간으로 실행했다. 제러드프롬서브웨이가 70%의 샌드위치 공격을 차지했다는 사실은, 이더리움 디파이 생태계에서 MEV가 얼마나 광범위하게 활용되고 있는지 보여준다. 그러나 이러한 봇들은 거래자들에게는 보이지 않는 ‘세금’으로 작용하며, 특히 소규모 거래자들은 MEV로 인한 손실을 피하기 어렵다. 제러드프롬서브웨이의 해킹은 이러한 MEV 봇의 중앙집중화된 수익 구조가 오히려 취약점으로 작용할 수 있음을 시사한다.

샌드위치 공격의 메커니즘과 디파이 사용자들의 고통

샌드위치 공격은 디파이 거래자들에게 악명 높은 MEV 전략이다. 이 공격은 대형 거래가 체결되기 전후로 가격을 조작하는 방식으로 이루어진다. 예를 들어, 사용자가 AMM(Automated Market Maker)에서 큰 규모의 토큰을 거래하려고 할 때, MEV 봇은 그 거래가 체결되기 전에 소액의 토큰을 매수해 가격을 끌어올린다. 사용자의 거래가 체결된 후, 봇은 즉시 매도해 차익을 얻는다. 이 과정에서 사용자는 예상치 못한 슬리피지(slippage)로 인해 더 높은 가격에 거래를 체결하게 되며, MEV 봇은 그 차액을 가져간다.

블록체인 분석에 따르면, 2024년 11월부터 2025년 10월까지 이더리움에서 발생한 샌드위치 공격은 매월 6만~9만 건에 달했으며, 약 6천만 달러의 손실을 유발했다. 제러드프롬서브웨이가 이 중 70%를 차지했다는 사실은, 이 봇이 디파이 생태계에서 차지하는 영향력이 얼마나 큰지 보여준다. 그러나 이러한 공격은 소규모 거래자들에게는 특히 치명적이다. 대형 거래소나 헤지펀드와 달리, 개별 거래자들은 MEV 봇의 활동을 감지하거나 방어할 수 있는 방법이 거의 없기 때문이다. 샌드위치 공격은 디파이 생태계의 투명성과 개방성에도 불구하고, 사용자들의 신뢰를 저하시키는 주요 원인으로 지적되고 있다.

역MEV 공격: MEV 봇의 취약점을 노린 새로운 위협

이번 제러드프롬서브웨이 해킹의 핵심은 ‘역MEV(anti-MEV)’ 공격으로, MEV 봇의 자동화된 의사결정 시스템을 역이용한 공격이었다. 공격자는 제러드프롬서브웨이의 봇이 수익성 있는 거래를 추적하도록 설계된 알고리즘을 악용했다. 이를 위해 공격자는 WETH, USDC, USDT와 유사한 가짜 토큰과 유동성 풀을 66개나 생성했으며, 이 가짜 토큰들은 실제 수익성 있는 거래로 위장되어 있었다. 제러드프롬서브웨이의 봇은 이 가짜 거래를 실제 opportunity로 인식하고, 공격자-controlled 헬퍼 컨트랙트에 자금을 사용하도록 승인했다.

이 공격은 MEV 봇의 ‘최소 신뢰(minimal trust)’ 원칙을 역이용한 사례다. MEV 봇들은 일반적으로 스마트컨트랙트의 코드만으로 동작하며, 외부 데이터를 최소한으로 신뢰한다. 그러나 이번 공격은 이러한 신뢰 체계를 악용해 봇의 자동화된 의사결정 로직을 조작했다. 블록에이드(Blockaid)의 Raz Niv는 이를 “자동화되고 최소 신뢰를 기반으로 한 MEV 봇의 의사결정 로직을 겨냥한 역MEV 허니팟 공격”이라고 설명했다. 이 공격은 MEV 봇들이 디파이 생태계에서 차지하는 영향력이 커질수록, 더 많은 공격 표적이 될 수 있음을 시사한다.

디파이 보안의 새로운 도전: MEV 봇의 보안 강화 필요성

제러드프롬서브웨이 해킹은 디파이 생태계에서 MEV 봇의 보안 강화가 시급함을 보여준다. MEV 봇들은 디파이 거래의 효율성을 높이고 유동성을 제공하는 역할을 하지만, 동시에 중앙집중화된 수익 구조와 자동화된 의사결정 시스템으로 인해 새로운 공격 표적이 되고 있다. 이번 해킹은 MEV 봇들이 자체적으로 보안 취약점을 가질 수 있음을 증명했으며, 이는 디파이 생태계 전체의 보안 패러다임에 변화를 요구하고 있다.

현재 대부분의 MEV 봇들은 스마트컨트랙트의 코드만을 신뢰하며, 외부 데이터를 최소한으로 활용한다. 그러나 제러드프롬서브웨이 해킹은 이러한 접근법이 더 이상 충분하지 않음을 보여준다. MEV 봇 개발자들은 외부 데이터의 검증 프로세스를 강화하고, 자동화된 의사결정 로직에 더 많은 보안 계층을 도입해야 한다. 또한, 디파이 프로토콜과 MEV 봇 간의 상호운용성도 재고되어야 한다. 예를 들어, 디파이 프로토콜이 MEV 봇의 활동을 감지하고 차단할 수 있는 메커니즘을 도입하거나, MEV 봇들이 프로토콜의 보안 정책을 준수하도록 강제할 수 있다.

사용자 보호와 정책적 대응: 디파이 생태계의 미래

제러드프롬서브웨이 해킹은 디파이 사용자들에게도 중요한 시사점을 던진다. MEV 봇의 활동으로 인한 손실을 줄이기 위해서는 사용자 스스로가 보안 조치를 강화해야 한다. 예를 들어, 소규모 거래의 경우, MEV 봇의 활동을 최소화할 수 있는 ‘Private RPC’나 ‘Flashbots Protect’를 사용할 수 있다. 또한, 대형 거래를 실행할 때는 가격을 사전에 확인하고, 가능한 한 작은 규모로 분할해 거래하는 것이 좋다. 디파이 프로토콜도 사용자 보호 메커니즘을 강화해야 한다. 예를 들어, 샌드위치 공격의 영향을 최소화할 수 있는 ‘MEV 보호’ 기능을 도입하거나, 사용자들에게 MEV 활동에 대한 투명성을 제공해야 한다.

정책적 측면에서도 디파이 생태계의 보안을 강화하기 위한 노력이 필요하다. 특히, MEV 봇의 활동을 규제하거나, 디파이 프로토콜의 보안 표준을 제정하는 것이 중요하다. 예를 들어, MEV 봇들이 디파이 프로토콜의 보안 정책을 준수하도록 강제하거나, 디파이 거래의 투명성을 높이기 위한 규제 프레임워크를 마련할 수 있다. 이러한 노력이 결합될 때, 디파이 생태계는 더 안전하고 지속 가능한 성장을 이룰 수 있을 것이다.

MEV 봇의 미래: 중앙화와 탈중앙화의 균형

제러드프롬서브웨이 해킹은 MEV 봇의 미래에 대한 중요한 질문을 던진다. MEV 봇들은 디파이 생태계에서 유동성과 효율성을 제공하는 역할을 하지만, 동시에 중앙집중화된 수익 구조와 자동화된 의사결정 시스템으로 인해 새로운 위협이 되고 있다. 이러한 봇들이 디파이 생태계에서 차지하는 영향력이 커질수록, 더 많은 공격 표적이 될 가능성이 높다. 그러나 MEV 봇을 완전히 배제하는 것은 디파이 생태계의 효율성을 떨어뜨릴 수 있다.

따라서 MEV 봇의 미래는 중앙화와 탈중앙화의 균형에 달려 있다. MEV 봇들은 디파이 프로토콜과 더 긴밀하게 통합되어야 하며, 보안 표준을 준수하도록 강제받아야 한다. 또한, MEV 봇의 활동을 투명하게 공개하고, 사용자들에게 더 많은 보호 메커니즘을 제공해야 한다. 이러한 노력이 결합될 때, 디파이 생태계는 더 안전하고 지속 가능한 성장을 이룰 수 있을 것이다.

결론: 디파이 보안의 새로운 장을 열다

제러드프롬서브웨이 해킹은 디파이 생태계에서 MEV 봇의 보안 강화가 시급함을 보여주는 사건이었다. MEV 봇들은 디파이 거래의 효율성을 높이고 유동성을 제공하는 역할을 하지만, 동시에 새로운 공격 표적이 되고 있다. 이번 해킹은 MEV 봇의 자동화된 의사결정 시스템을 역이용한 ‘역MEV’ 공격으로, MEV 봇의 보안 취약점을 드러냈다.

디파이 사용자와 개발자, 정책 입안자들은 이 사건을 계기로 MEV 봇의 보안 강화와 사용자 보호 메커니즘의 개선에 나설 필요가 있다. MEV 봇의 활동이 디파이 생태계에서 차지하는 영향력이 커질수록, 더 많은 보안 위협이 발생할 수 있기 때문이다. 이러한 노력이 결합될 때, 디파이 생태계는 더 안전하고 지속 가능한 성장을 이룰 수 있을 것이다.