과도기의 크립토, 디파이 익스플로잇과 무기한 선물 제도화 [FP Weekly 22, 23]

1. 주요 뉴스

[Institution] CFTC, 미국 내 비트코인 무기한 선물 첫 승인

What Happened?

미국 상품선물거래위원회(CFTC)는 5월 29일 칼시(KalshiEX)가 비트코인 무기한 선물 계약 BTCPERP를 상장할 수 있도록 승인했다. BTCPERP는 비트코인 현물 가격을 기초로 하며 만기가 없는 선물 계약이다. CFTC는 상품거래법(Commodity Exchange Act) 5c(c)(4)조와 규정 40.3에 근거해 승인 명령을 내렸고, 해당 계약이 지정계약시장(DCM)에 적용되는 주요 원칙을 충족한다고 판단했다.

무기한 선물 거래는 글로벌 크립토 파생시장에서 가장 거래량이 큰 상품군으로, 그동안 중앙화 거래소 거래량의 70% 이상을 차지했으나 대부분 규제 회색지대에서 거래돼 왔다. 미국 규제권 안에서 등록 거래소가 무기한 선물 계약을 직접 상장하는 것은 이번이 처음이다.

CFTC는 이날 승인 명령과 함께 정책 성명과 두 건의 노액션 레터도 발행했다. 그중 하나는 코인베이스(Coinbase)의 미국 고객이 코인베이스가 인수한 두바이 소재 파생 거래소 데리비트(Deribit)의 무기한 선물 상품에 접근할 수 있도록 했고, 미국 브로커가 미국 밖 거래소의 무기한 선물 계약을 고객에게 제공하는 방식도 함께 다뤘다.

이번 승인은 트럼프 행정부의 크립토 온쇼어링 기조와 맞물려 있다. 마이크 셀리그(Mike Selig) CFTC 위원장은 취임 직후 무기한 선물 상품을 미국 규제권 안으로 들여오겠다고 밝혔고, 이번 조치가 그 약속의 이행이라고 설명했다. 다만 이번 승인은 노액션 레터와 정책 성명에 기반한 것으로 정식 규칙 제정 절차를 거치지 않았다. 향후 위원회 구성이 바뀌면 정책 방향이 달라질 여지가 남아 있다.

Researcher's Comment

이번 승인으로 미국이 크립토 거래에서 가장 큰 유동성 시장을 규제권 안으로 들여오고자 하는 의지가 가시화됐다. 무기한 선물은 크립토 파생거래의 70% 이상을 차지하지만, 그 거래량은 바이낸스(Binance), 바이비트(Bybit), 하이퍼리퀴드(Hyperliquid) 등 규제권 밖의 거래소에 쏠려 있었다. CFTC가 등록 거래소에 길을 열어준 것은 이 유동성을 미국 규제 인프라 안으로 되돌리려는 시도다.

문제는 규제권 안으로 들어온 무기한 선물이 역외 상품과 같은 형태일 수 없다는 점이다. 역외 거래소의 무기한 선물 상품은 50~100배 이상의 레버리지와 느슨한 KYC를 강점으로 리테일 트레이더를 끌어들였다. 반면 DCM에 상장되는 미국 상품은 레버리지 한도, 포지션 한도, 완전한 KYC/AML 적용을 받을 가능성이 높다. 결국 미국으로 들어온 것은 규제 친화적으로 재편된 버전의 무기한 선물이며, 이 상품이 역외로 빠져나간 거래량을 실제로 되찾아올 수 있을지는 별개의 문제일 것이라 예상된다.

이러한 맥락에서 규제된 무기한 선물의 1차 수요는 리테일보다 기관에 가깝다. 기관 투자자에게 무기한 선물은 헤지와 가격 발견을 위한 유용한 시장 인프라로 채택이 늘어나고 있다. 예컨대 만기 롤오버 없이 보유 자산의 가격 변동을 헤지할 수 있으며, 공개 거래 시장이 없는 자산에 대해서도 연속적인 가격 발견 기능을 제공할 수 있다. 같은 주 하이퍼리퀴드에 상장된 SPACEX-USDH가 비상장 기업 스페이스X(SpaceX)의 기업가치를 추종한 것은 이러한 가격 발견 시도의 초기 사례로 볼 수 있다.

그러나, 그동안 미국 기관은 이 무기한 선물 시장에서 사실상 배제돼 있었다. 일부는 접근을 위해 미국 밖에 별도 법인을 세웠고, 일부는 규제 불확실성을 감수하며 미국 밖 거래소를 직접 이용했다. 이번 조치로 기관 투자자는 CFTC 규제를 받는 선물중개업자(FCM)를 거쳐 무기한 선물 상품에 접근하는 경로를 갖게 됐다.

다만 규제는 거래상대방 리스크와 운영 단의 불투명성을 줄일 뿐, 상품 자체의 시장 리스크까지 없애지는 못한다. 무기한 선물은 여전히 레버리지와 펀딩 비율에 기반한 상품이며, 유동성이 얇을 때 급격한 가격 변동에 취약하다. 앞서 언급한 SPACEX-USDH에서도 단일 대형 포지션이 얕은 유동성을 흡수하면서 30분 만에 약 150만 달러 규모의 청산이 발생했다.

즉 이번 규제 명확화가 더하는 것은 레버리지 한도, 증거금 규약, 급변동 대응 절차와 같은 시장 운영 차원의 통제이며, 거래 인프라가 기관의 대형 주문을 흡수할 만큼의 유동성을 확보하는 것은 별개의 과제다. 무기한 선물이 기관 시장으로 안착하려면 제도적 허용과 함께 충분한 시장 깊이가 뒷받침되어야 하며, 이번 노액션 조치는 그 첫 단추에 해당한다.

[Crypto] 디파이 익스플로잇의 연쇄와 AI 해킹 경고

What Happened?

테더(Tether)와 크라켄(Kraken)이 투자한 몰타 기반의 MiCA 준수 스테이블코인 발행사 스테이블러는, 발행 컨트랙트를 통제하는 멀티시그(multisig) 서명키 하나가 탈취되면서 공격자에게 발행 권한을 장악당했다.

공격자는 자신을 관리자로 추가하고 기존 서명자를 제거한 뒤, 담보 없이 USDR 약 835만 개와 EURR 약 450만 개, 액면가 기준 약 1,350만 달러 규모를 발행했다. 이후 이를 탈중앙화 거래소에 매도했고, 유동성이 얕아 실제 회수액은 약 1,115 ETH, 280만 달러 수준에 그쳤다. 매도 압력으로 EURR은 0.85달러, USDR은 한때 0.40달러까지 디페그됐다. 발행 멀티시그는 3개 키 중 1개 서명만으로 발행이 가능한 1-of-3 구조였고, 토큰 컨트랙트 자체의 결함은 아니었다. 온체인 분석가 ZachXBT가 사건을 처음 공개했으며, 스테이블러는 약 8시간 뒤에야 공식 입장을 냈다.

스테이블러는 올해 이어진 일련의 디파이 탈취 가운데 가장 최근 사례일 뿐이다. 4월에는 켈프다오(Kelp DAO)가 브리지 검증 설계의 허점으로 약 2.92억 달러를 잃었고, 드리프트(Drift)에서 2.85억 달러, 오일러(Euler)에서 1.97억 달러가 빠져나갔다. 2월에는 스텝 파이낸스(Step Finance)가 2,700만 달러 손실 이후 운영을 중단했다. 같은 주에는 예측시장 폴리마켓(Polymarket)의 UMA 어댑터 컨트랙트에서도 익스플로잇 의심 정황이 포착됐다.

손실 규모는 누적으로 커지고 있다. 2026년 들어 5개월간 디파이에서 약 8.4억 달러가 유출됐고, 지난 12개월 기준으로는 11억 달러를 넘는다. 그중 4월 한 달에만 6억 달러 이상이 빠져나가 단일 월 기준 최대 피해를 기록했다. 같은 기간 디파이 전체 TVL은 가격 약세까지 겹치며 올해 들어 200억 달러 이상 줄었다.

Researcher's Comment

오픈제플린(OpenZeppelin) 공동창업자이자 전 CTO인 마누엘 아라오스(Manuel Aráoz)는 5월 26일 X에서 이제 디파이 전체를 안전하지 않다고 본다고 밝혔다. AI 코딩 에이전트가 취약점 발견에 초인적 수준에 도달했고, 방어자는 모든 버그를 막아야 하지만 공격자는 하나의 취약점만 찾으면 되는 비대칭 때문이라는 것이다. 그는 지인들에게 아베(Aave), 메이커다오(MakerDAO), 컴파운드(Compound) 같은 주요 프로토콜에서 자금을 빼라고 권했다고 덧붙였다.

아라오스가 지적한 공격자와 방어자 사이의 비대칭 자체는 새로운 프레임이 아니다. 달라진 부분은 속도다. AI 코딩 에이전트가 취약점 탐색과 익스플로잇 작성을 자동화하면서 공격 준비에 드는 시간이 빠르게 줄고 있다. 한 보안 엔지니어링 분석에 따르면 디파이 사고의 평균 대응 시간은 약 37분인 반면 익스플로잇은 대체로 60초 안에 완료된다. 인간이 멀티시그 서명자를 소집해 수동으로 컨트랙트를 멈추는 속도로는 공격을 따라잡기 어렵다는 의미다.

이에 따라 프로토콜과 체인의 대응은 사람의 개입 없이 작동하는 자동 방어 쪽으로 모이고 있다. 비정상 거래나 급격한 자금 유출을 감지해 자동으로 출금을 멈추거나 한도를 거는 서킷 브레이커가 ERC-7265 표준과 아베 실드(Aave Shield) 형태로 확산되고 있다. 솔라나 기반 주피터(Jupiter)는 임계치를 넘는 거래를 제한하는 장치를 넓게 적용하기 시작했고, 아베는 담보 리스크 평가 항목에 사이버보안 요소를 추가하기 시작했다. 한편, 방어 도구도 AI를 끌어들이고 있다. 오픈제플린은 AI 코딩 에이전트에 감사받은 컨트랙트 라이브러리의 검증된 지식을 주입하는 보안 도구를 개발 중이다. 공격과 방어가 모두 자동화되는 봇 대 봇 구도로 옮겨가는 흐름이다.

결국, 앞으로의 관건은 공격에 활용되는 AI 역량에 상응하는 방어 역량을 확보할 수 있느냐다. 서킷 브레이커와 같은 런타임 방어가 일부 대형 프로토콜의 선택지가 아니라 기본값으로 자리잡고, 정상 거래까지 막지 않으면서도 이상 신호를 판별하는 수준까지 발전할 필요가 있다. 또한 북한 연계 공격처럼 자금 회수가 어려운 사례에서는 사후 추적과 회수 역량 역시 방어만큼 중요한 대응 요건으로 부상하고 있다. 이러한 보안 인프라 전반의 고도화가 한 단계 진전되어야, 디파이는 기관 자본을 수용할 만한 보안 수준을 갖추고 시장 저변 확대로 나아갈 수 있다.

그 외

Crypto

• 폴리마켓(Polymarket), UMA 어댑터 관련 익스플로잇 의심 조사
• 윈터뮤트(Wintermute), 예측시장 트레이딩 인프라로 확장
• 스테이블러(StablR), 멀티시그 익스플로잇 이후 EURR과 USDR 디페그
• 테더(Tether) 미국 전용 스테이블코인 USAT, 한 달 만에 500% 이상 성장

Institution

• 트럼프 행정부, 크립토 기업의 연준 마스터 계좌 접근성 재검토 지시
• 영란은행(Bank of England), 영국 금융시장용 토큰화와 스테이블코인 비전 제시
• 마스터카드(Mastercard), 스테이블코인과 디지털 결제 인프라 확장을 위해 뉴욕 BitLicense 취득
• JP모건 CEO, 스테이블코인 리워드와 AML 공백을 이유로 클래리티 액트(CLARITY Act) 강하게 비판

Tech

• 니어 프로토콜(NEAR Protocol), AI 위한 자동 확장(Dynamic resharding)과 양자내성 서명 도입 예고
• 베이스(Base), Azul 메인넷 출시로 코인베이스(Coinbase) L2 탈중앙화 로드맵 진전
• 수이(Sui), 메인넷 중단과 업그레이드 버그 원인 공개

Investment

• 스퀴드(Squid), 리플(Ripple)과 노스아일랜드 벤처스(North Island Ventures) 참여로 600만 달러 투자 유치
• 하이퍼리퀴드 ETF, 초기 2,230만 달러 유입
• 비트코인(Bitcoin) ETF, 9거래일 연속 순유출 및 약 28억 달러 유출 기록

Asia

• 일본 블록체인 재단, B2B 정산용 엔화 스테이블코인 EJPY 발행 계획 발표
• 코인베이스(Coinbase), 인도 루피(INR) 직접 입출금 레일 출시
• 삼성 계열 3사, 두나무 지분 4% 인수
• 한국투자증권과 OKX 벤처스(OKX Ventures), 코인원 지분 인수
• 베트남 재무부, 중소기업(SMEs)의 디지털 자산 대출 담보 활용 허용 제안

2. 데이터 스포트라이트

누적 결제 $7.5B을 넘긴 크립토 카드 시장, 어느 체인에서 가장 많이 사용하고 있을까 (Link)

3. 포필러스 위클리

: : 토큰화가 역설적으로 주식을 파편화시키고 있다 (Link)

• 토큰화 주식은 원래 누구나 다양한 자산을 언제 어디서나 심리스하게 거래할 수 있게 만드는 것을 목표로 한다. 그러나 현재 토큰화 주식 시장은 오히려 동일한 주식이 여러 형태의 상품으로 쪼개지며 유동성 파편화를 심화시킬 위험이 있다.
• 블룸버그에 따르면 SEC가 준비 중인 것으로 알려진 “innovation exemption”은 제3자 토큰화 주식 거래를 허용할 수 있다는 점에서 중요한 전환점이 될 수 있다. 다만 이를 단순한 호재로만 보기보다는, 제3자 토큰화가 왜 추진되고 있으며 어떤 구조적 문제를 만들 수 있는지를 함께 봐야 한다.
• 토큰화 주식은 Issuer-Sponsored, Custodial, Linked Securities, Security-Based Swaps 등 여러 방식으로 나뉘며, 각 방식은 기존 주식과 연결되는 정도가 다르다. 특히 발행회사나 transfer agent가 직접 관여하지 않는 제3자 토큰화는 실제 주식과 다른 권리 구조를 만들 수 있어 투자자 보호와 규제 측면에서 쟁점이 된다.
• 이번 논의의 이면에는 코인베이스처럼 기존 transfer agent 중심 구조 밖에서 토큰화 주식 서비스를 제공하려는 사업자들의 이해관계가 존재한다. 동시에 제3자 토큰화가 확산될 경우 같은 여러 비호환 상품이 생겨, 거래 장소를 넘어 주식의 형태 자체가 파편화될 수 있다.
• 결국 토큰화 주식이 본래 약속한 가치를 실현하려면 기존 주식의 권리 구조와 호환되는 네이티브 토큰화 중심으로 가거나, 제3자 토큰화의 유동성 파편화를 해결할 장치가 필요하다. SEC가 어떤 방식으로 제3자 토큰화를 허용할지, 그리고 그 과정에서 투자자 권리와 시장 구조를 어떻게 정리할지가 핵심 관전 포인트다.

: : 캔톤: 가장 기관적인 블록체인, 가장 논쟁적인 블록체인 (Link)

• 캔톤(Canton)은 DTCC, JP모건, 골드만삭스, 프랭클린 템플턴, SBI 같은 대형 기관의 참여와 브로드리지(Broadridge) DLR의 대규모 레포 처리 등 유의미한 성과를 내고 있다. 다만 이 성과는 기존 크립토 문법만으로 해석하기 어렵다. 모든 거래가 공개되지 않고 승인된 밸리데이터만 합의에 참여하는 구조는 캔톤이 진짜 블록체인인지, 진짜 토큰화를 하고 있는지에 대한 논쟁을 만들고 있다.
• 캔톤은 이더리움이나 솔라나를 더 프라이빗하게 만든 체인이 아니라, 퍼블릭 체인의 투명성과 프라이빗 체인의 사일로 사이에 있는 별도의 설계이다. 모든 거래를 공개하고 모든 밸리데이터가 동일한 글로벌 상태를 검증하는 것과 달리, 캔톤은 필요한 당사자만 계약을 확인하고 글로벌 싱크로나이저가 순서, 확인, 커밋을 조율한다. 즉 캔톤의 차별점은 공개 검증이 아니라 선택적 공개와 기관 간 동기화에 있다.
• 기관향 크립토 시장은 하나의 경로로 수렴하지 않는다. 퍼블릭 체인에 형성된 온체인 유동성을 바이사이드 채널로 활용하려는 수요와 레포, 담보 관리, 정산 같은 기관 워크플로우를 효율화하려는 수요는 성격이 다르다. 두 수요는 같은 인프라에서 충족되기 어렵다.
• 캔톤의 시장 정합성은 후자에 있다. 반복적이고 고액이며, 참여자가 제한되고, 프라이버시와 정산 확실성이 중요한 업무 흐름이다. 캔톤의 핵심 지표도 온체인 AUM이 아니라 처리량, 정산 속도, 실패율 감소, 운영 비용 절감에 가깝다. 반면, 퍼블릭 체인에 축적된 대규모 온체인 유동성은 캔톤이 단기간에 넘기 어려운 해자이다.

: : 알투라(Altura): HyperEVM내 컴포저블한 이자 수익 레이어 (Link)

• 알투라(Altura)는 HyperEVM 위에서 스테이블코인 이자 수익 볼트를 운영한다. 현재 기본 APY는 약 19%이며, 수익은 펀딩 및 베이시스 차익거래, 실물 금 거래, 마켓메이킹이라는 세 가지 독립적인 전략 축에서 발생한다.
• 볼트 TVL은 112일 동안 166만 달러에서 2,060만 달러로 증가했으며, 주간 기준 감소 구간은 없었다. 이 성장은 전략에서 발생한 수익과 170만 달러 이상의 프리 TGE 인센티브 프로그램이 함께 만든 결과로 보인다.
• AVLT는 HyperEVM 디파이 생태계내 컴포저블한 자산이다. 펜들(Pendle)에서는 수익률을 거래할 수 있고, 몰포(Morpho)에서는 담보로 활용할 수 있으며, 6개 체인에서 예치할 수 있다. 출시 후 5개월이 채 되지 않아 7개의 주요 연동 지점이 만들어졌다.
• 유틸리티 토큰 ALTU는 TVL 연동 바이백 및 소각, 스테이킹 기반 수익률 부스트를 도입한다. 중요한 점은 알투라가 ALTU 없이도 이미 수익을 만들고 있다는 것이다.
• 다음 단계의 핵심은 프리 토큰 단계에서 확보한 트랙션이 TGE 이후에도 프로토콜 레벨의 지속적인 수요로 이어질 수 있는지다.

: : 아즈키는 왜 카드게임을 만들었는가 (Link)

• 메가 IP는 처음부터 완성된 세계관을 구축하지 않았다. 포켓몬, 원피스, 드래곤볼 모두 하나의 제품이 다음 제품을 만들며 IP를 확장했다. 아즈키(Azuki)도 유사한 방향으로 나아가고 있다. 첫 번째 플레이 가능한 진입점으로 실물 TCG를 선택했고, 이 시장은 연간 130억 달러 규모까지 성장했으며 연평균 10% 수준의 성장률을 보이고 있다.
• 트레이딩 카드 시장에는 세 가지 거시적 흐름이 동시에 일어나고 있다. 실물 카드 시장의 슈퍼사이클, 카드의 투자 자산화, 그리고 20억 달러 규모의 온체인 카드 거래다. 아즈키는 신규 애니메이션 IP, 실물 TCG, 온체인 카드 플랫폼이라는 세 흐름의 교차점에 위치한다.
• Gates Awakened의 제품 설계는 기존 TCG 실패 사례들에서 얻은 교훈을 반영했다. 게임 스토어에 배치되는 실물 제품, 출시 초기부터 갖춘 공식 대회 운영 구조, 그리고 원하지 않는 유저에게는 노출되지 않는 선택적 블록체인 연동이 핵심이다.
• 현재 TCG 시장에서 아즈키처럼 밸류체인 전반을 직접 가져가려는 퍼블리셔는 드물다. 아즈키는 IP를 보유하고, 게임을 직접 만들고, 대회 운영 구조를 갖추고, CGC/PSA/BGS 등 전문 그레이딩 인프라와 연결되어 있으며, 디지털 거래 플랫폼까지 운영한다. 라이선스 분할이나 자회사 구조를 통해 가치가 새어나가는 지점이 적다.
• collect.anime.xyz는 단순한 마켓플레이스가 아니라 유저 획득 채널이다. 포켓몬과 원피스 카드 컬렉터들이 Gates Awakened 카드가 토큰화되기 전부터 애니메체인(Animechain) 지갑을 만들고 있다.아즈키는 자사 TCG가 플랫폼에 올라오기 전에, 먼저 카드 컬렉터 유저풀을 확보하고 있는 셈이다.

4. 매크로 & 온체인 통계

아래 일부 차트는 CryptoQuant의 데이터를 기반으로 작성되었습니다. 보다 심층적인 온체인 및 시장 데이터를 살펴보고 싶은 분들은, 기관 투자자들도 활용하는 CryptoQuant의 종합 데이터 및 분석 플랫폼을 참고하실 수 있습니다.