디파이(DeFi)란 — 원리·해킹 사례·한국 규제

코인투자 가이드는 “디파이 고이율 상품의 트랩”을 경고했습니다. 솔라나 투자가이드는 “레버리지 탐욕”을 경고했습니다. 보안 가이드라인은 “프로토콜 감사 확인”을 체크리스트에 넣었습니다. 세 글 모두 디파이를 위험 요소로 짚었지만, 디파이가 정확히 무엇이고 그 위험이 왜 생기는지는 설명하지 않았습니다.

디파이(DeFi, Decentralized Finance)는 은행이나 거래소 같은 중개기관 없이 스마트컨트랙트가 자금을 예치·대출·교환하는 금융 서비스입니다. 오늘 DefiLlama Protocols API에서 직접 조회한 결과, 이 방식으로 운용되는 자금(TVL, Total Value Locked)은 8,016개 프로토콜에 걸쳐 약 2,426억 달러(중앙화 거래소 제외) 규모였습니다. 이 글은 그 돈이 어떤 구조로 굴러가는지, 실제로 얼마나 자주 얼마나 크게 사고가 나는지, 그리고 한국에서 이걸 쓰는 게 법적으로 어떤 상태인지를 공식 자료로 짚습니다.

디파이란 무엇인가: 은행 없이 돌아가는 금융

전통 금융에서 대출을 받으려면 은행이 신용을 심사하고, 거래소에서 주식을 사려면 증권사가 주문을 중개합니다. 디파이는 이 중개자 자리에 스마트컨트랙트(미리 정해진 규칙대로만 실행되는 코드)를 넣습니다. 이용자는 회원가입이나 신용 심사 없이 지갑만 연결하면 되고, 자금은 은행이 아니라 프로토콜의 스마트컨트랙트에 예치됩니다.

이 구조는 세 가지 특징을 만듭니다. 첫째, 무허가성(permissionless) — 신원 확인 없이 누구나 지갑만으로 이용할 수 있습니다. 둘째, 비수탁성(non-custodial) — 자금이 회사가 아니라 이용자의 지갑 권한 아래 스마트컨트랙트에 머무릅니다. 셋째, 투명성 — 모든 거래와 계약 코드가 블록체인에 공개됩니다. 이 세 특징이 뒤에서 다룰 규제 공백과 해킹 리스크의 근본 원인이기도 합니다 — 심사하는 주체가 없다는 것은 사고를 막아줄 주체도 없다는 뜻입니다.

“디파이”라는 이름 자체는 2018년 무렵부터 쓰이기 시작했습니다. 담보를 맡기고 스테이블코인을 발행하는 MakerDAO(1세대 CDP 대출), 자산 풀 기반으로 이자율을 자동 조정하는 Compound(대출), 주문서 없이 두 자산의 풀만으로 가격을 계산하는 Uniswap(DEX)이 이 시기에 등장하며 지금의 대출·DEX 구조의 원형을 만들었습니다. 2020년 중반에는 이런 프로토콜들이 서로 자유롭게 조합되며 예치금이 급격히 불어난 시기가 있었는데, 업계에서는 이를 “디파이 서머(DeFi Summer)”라고 부릅니다. 이 시기에 만들어진 예치-대출-스왑의 기본 구조는 지금까지도 거의 그대로 쓰이고 있습니다 — 뒤에서 볼 TVL 상위 카테고리(대출·유동성 스테이킹·DEX)가 정확히 이 세 원형에서 갈라져 나온 것입니다.

스테이킹으로 이자를 받기 전에 묶이는 기간과 손실 조건은 알트코인 스테이킹 전 확인할 락업·슬래싱·언스테이킹 대기에서 따로 정리했습니다.

이런 구조는 은행을 거치지 않는다는 것 자체가 곧 장점이 됩니다. 계좌 개설 심사나 영업시간 제약 없이 24시간 언제든 이용할 수 있고, 중개 수수료 대신 프로토콜이 정한 낮은 수수료만 발생하며, 모든 거래 내역이 블록체인에 공개돼 있어 누구나 검증할 수 있습니다. 다만 이 장점은 다음 장에서 볼 위험과 정확히 동전의 양면 관계에 있습니다.

디파이의 규모: 2,426억 달러가 어디에 몰려 있나

오늘 DefiLlama API로 직접 확인한 카테고리별 TVL 상위 항목입니다.

2026-08-11 DefiLlama Protocols API(`api.llama.fi/protocols`) 직접 조회. 중앙화 거래소(CEX) 카테고리는 제외했습니다.

가장 익숙한 형태는 대출과 DEX입니다. Aave 같은 대출 프로토콜은 이용자가 암호자산을 담보로 맡기면 다른 자산을 빌려주고, 담보 가치가 일정 비율 아래로 떨어지면 자동으로 청산합니다. Uniswap 같은 DEX는 주문을 중개하는 대신, 이용자들이 미리 예치해 둔 두 자산의 풀(pool)에서 비율에 따라 자동으로 가격을 계산해 교환을 체결합니다. Lido 같은 유동성 스테이킹은 이더리움 등을 예치하고 받은 보상을 다시 거래 가능한 토큰(stETH 등)으로 돌려줘 자금이 묶이지 않게 합니다.

디파이가 위험한 이유: 스마트컨트랙트가 뚫리면 돌려줄 사람이 없다

은행 예금은 예금자보호법으로 5천만 원까지 보호받습니다. 디파이 예치금은 그런 보호 장치가 없습니다. 스마트컨트랙트에 결함이 있으면 예치된 자금 전체가 한 번에 빠져나갈 수 있고, 그 결함을 심사하는 감독기관도 없습니다. 실제로 벌어졌던 사례로 이 위험을 구체적으로 보겠습니다.

2023년 3월 13일, 대출 프로토콜 율러 파이낸스(Euler Finance)에서 플래시론 공격으로 1억 9,700만 달러가 탈취됐습니다. 플래시론은 담보 없이 같은 거래(트랜잭션) 안에서 빌리고 갚으면 이자 없이 빌릴 수 있는 디파이 특유의 기능인데, 공격자는 이 기능을 이용해 율러의 담보 계산 로직에 있던 결함을 순간적으로 악용했습니다. 은행이라면 이런 사고 후 예금보험공사가 개입하지만, 율러에는 그런 장치가 없었습니다. 대신 벌어진 일은 이례적이었습니다. 3주간의 협상 끝에 공격자가 탈취한 자금을 스스로 돌려줬고, 그사이 이더리움 가격이 오르면서 오히려 2억 4,000만 달러 상당이 회수됐습니다. 이는 디파이 역사에서 드문 “해피엔딩” 사례로 꼽히지만, 회수 여부가 해커의 선의에 달려 있었다는 사실 자체가 이 생태계에 안전망이 없다는 것을 보여줍니다.

율러 사례 이후로도 대형 사고는 계속됩니다. 2025년 DEX 프로토콜 Cetus(수이 체인)에서 유동성 풀 로직 결함으로 약 2억 6,000만 달러가 탈취됐고, 2026년에는 LayerZero 연동 검증 구조를 노린 KelpDAO 공격으로 약 2억 9,200만 달러, 소셜 엔지니어링으로 팀원을 노린 Drift Protocol 공격으로 약 2억 8,500만 달러가 빠져나갔습니다. 보안 업체들은 최근 사고의 상당수가 스마트컨트랙트 코드 자체의 버그가 아니라 브릿지·검증인 구조처럼 여러 체인을 연결하는 지점을 노린 공격이라고 분석합니다 — 코드는 설계대로 작동했지만, 그 코드에 잘못된 명령을 내릴 권한을 공격자가 훔쳤다는 뜻입니다.

한국에서 디파이는 합법인가: 사업자를 규율하는 법과 사업자가 없는 구조

한국은 2024년 7월 19일부터 「가상자산이용자보호법」을 시행하고 있습니다. 금융위원회가 시행 전날 배포한 보도자료에 따르면 이 법의 규율 대상은 “가상자산사업자” — 가상자산거래소와 관련 업체 — 입니다. 예치금은 은행이 관리하고, 사업자는 이용자 자산을 자기 자산과 분리 보관해야 하며, 금융감독원이 사업자를 대상으로 검사하고 금융위원회가 시정명령·영업정지·과태료를 부과할 수 있습니다.

이 법의 구조를 디파이에 그대로 대입하면 질문이 하나 남습니다. 디파이 프로토콜에는 검사받고 제재받을 “사업자”가 있는가. 대출·DEX 프로토콜 다수는 스마트컨트랙트가 자율적으로 실행되고, 특정 회사가 이용자 자산을 보관하지도 않습니다. 법이 규율 대상으로 명시한 “가상자산사업자”라는 개념 자체가 중앙화된 운영 주체를 전제하기 때문에, 비수탁형 디파이 프로토콜이 이 틀에 명확히 들어맞는지는 해석의 문제로 남아 있습니다(이 부분은 금융위원회의 공식 유권해석이 아니라, 법 조문의 규율 대상 정의로부터 추론한 구조적 관찰입니다). 확실한 것은 하나뿐입니다 — 은행 예금 같은 보호 장치가 디파이 예치금에는 적용되지 않는다는 사실은 법 시행 이후에도 바뀌지 않았습니다.

사이트에서 디파이는 어떻게 다뤄져 왔나: 경고는 맞았다

이 사이트의 기존 글들이 디파이를 다룬 방식을 오늘 실측 데이터로 다시 확인해 보겠습니다.

코인투자 가이드는 “연 100% 이상의 파격적인 이자율을 내세우는 예치 상품”을 경고했습니다. 오늘 확인한 대출 카테고리 상위 프로토콜(Aave V3 등)의 실제 이자율은 자산·시점마다 다르지만, 100%대 이자를 지속적으로 제공하는 구조는 초과 담보나 토큰 인센티브에 의존하는 경우가 많아 지속 가능성이 낮다는 것이 일반적으로 알려진 위험입니다 — 그 경고 방향은 여전히 유효합니다.

보안 가이드라인은 “프로토콜 이용 전 TVL과 보안 감사 여부를 DefiLlama에서 확인하라”고 안내했습니다. 오늘 이 글을 쓰며 실제로 그 방법을 그대로 썼습니다 — TVL 실측이 핵심 근거 데이터입니다. 그 조언이 실제로 작동하는 방법론이라는 것을 이번 글이 실증한 셈입니다.

스테이블코인을 다룬 글은 “대출·유동성 공급의 기준 통화” 맥락에서 이 생태계를 언급했습니다. 실제로 오늘 확인한 대출·DEX 프로토콜 대부분은 담보나 거래 기준을 USDT·USDC 같은 스테이블코인으로 삼습니다. 두 글이 서로 다른 각도에서 같은 생태계를 가리키고 있었다는 뜻입니다.

디파이를 쓰기 전에 반드시 확인할 것들

TVL과 운영 기간을 먼저 봅니다. TVL이 크고 오래 운영된 프로토콜일수록 검증된 시간이 길다는 뜻이지, 안전을 보장한다는 뜻은 아닙니다. Euler도 사고 당시 이미 검증받은 대형 프로토콜이었습니다.

보안 감사(Audit) 여부를 확인합니다. 감사를 받았다고 해킹이 불가능한 것은 아니지만(Euler도 감사를 받았습니다), 감사 이력조차 없는 프로토콜은 그보다 더 위험합니다.

스마트컨트랙트 승인(Approve)을 무제한으로 남겨두지 않습니다. 지갑을 프로토콜에 연결할 때 대부분 자산 접근을 승인하게 되는데, 이용을 마쳤으면 해당 승인을 해제(Revoke)하는 습관이 필요합니다. 보안 가이드라인이 다룬 계정 보안의 연장선입니다.

소액으로 먼저 테스트합니다. 처음 쓰는 프로토콜에 큰 금액을 한 번에 넣지 않고, 입금·출금이 정상적으로 되는지 소액으로 확인한 뒤 늘려가는 방식이 안전합니다.

같은 생태계 안에 있어도 NFT 시장의 위험 유형은 성격이 다르니 따로 점검해 두시기 바랍니다.

실제 사용에서 가장 크게 걸리는 비용은 가스비입니다. 가스비를 줄이는 레이어2 환경의 실측 차이도 참고할 만합니다.

대출이나 체인 이동을 이용하기 전에는 코인 담보대출의 CeFi·DeFi 청산 구조와 크로스체인 브릿지의 연결 방식과 해킹 위험을 각각 살펴 금리 외에 남는 위험을 확인해 두세요.

자주 묻는 질문 (FAQ)

Q1. 디파이는 안전한가요?

A1. 은행 예금과 같은 기준으로는 안전하지 않습니다. 예금자보호 장치가 없고, 스마트컨트랙트 결함이 있으면 예치금 전체가 위험해질 수 있습니다. 율러 파이낸스 사례처럼 전액 회수되는 경우도 있지만 예외적입니다.

Q2. 디파이와 중앙화 거래소(CEX)는 뭐가 다른가요?

A2. CEX는 회사가 이용자 자산을 보관하고 운영을 책임지는 중개기관입니다. 디파이는 스마트컨트랙트가 그 역할을 대신하며 회사가 자금을 직접 보관하지 않습니다. 오늘 실측에서 CEX 카테고리 전체를 따로 합산해도 약 2,461억 달러로, 디파이 카테고리 합계(2,426억 달러)와 거의 맞먹는 별도의 큰 시장을 이룹니다.

Q3. 디파이 이자율이 왜 이렇게 높나요?

A3. 실제 대출 수요에서 나오는 이자 외에, 프로토콜이 자체 토큰을 보상으로 얹어주는 인센티브가 섞여 있는 경우가 많습니다. 토큰 가격이 떨어지면 실질 수익률도 함께 떨어질 수 있어, 표시된 이자율을 그대로 믿기보다 구성 요소를 나눠 봐야 합니다.

Q4. 해킹당하면 돈을 돌려받을 수 있나요?

A4. 보장되지 않습니다. 율러 파이낸스처럼 해커가 자진 반환한 예외적 사례가 있지만, 대부분의 디파이 해킹은 자금이 회수되지 않습니다. 예금보험 같은 강제 장치가 없기 때문입니다.

Q5. 한국에서 디파이를 쓰는 게 불법인가요?

A5. 명확히 불법으로 규정돼 있지는 않습니다. 다만 가상자산이용자보호법이 규율하는 대상은 “가상자산사업자”이고, 비수탁형 디파이 프로토콜은 이 정의에 명확히 들어맞는 중앙 운영 주체가 없는 경우가 많아 법 적용 여부가 해석의 영역으로 남아 있습니다.

Q6. TVL이 뭔가요?

A6. Total Value Locked, 프로토콜에 예치된 자산의 총 가치입니다. 프로토콜의 규모와 신뢰도를 가늠하는 기본 지표로 쓰이지만, 그 자체가 안전성을 증명하지는 않습니다. 온체인 지표 전반은 온체인 지표 TOP 5에서 더 다뤘습니다.

Q7. 플래시론이 뭔가요?

A7. 담보 없이 빌리는 대신, 같은 트랜잭션 안에서 빌린 만큼 갚아야 성립하는 디파이 특유의 대출 방식입니다. 정상적으로는 차익거래 같은 용도로 쓰이지만, 율러 사례처럼 프로토콜 로직의 허점을 순간적으로 공격하는 도구로 악용되기도 합니다.

Q8. 디파이 대신 스테이블코인만 보유하면 더 안전한가요?

A8. 위험의 종류가 다릅니다. 스테이블코인 자체를 보유하는 것과 그것을 디파이 프로토콜에 예치하는 것은 별개의 리스크입니다. 스테이블코인의 발행사 리스크는 스테이블코인이란?에서 다뤘습니다.

정리하며: 디파이에서 하지 말아야 할 것 3가지

• 이자율만 보고 들어가지 마십시오. 100%대 이자율 뒤에는 토큰 인센티브나 구조적 리스크가 숨어 있는 경우가 많습니다(코인투자 가이드의 경고와 일치).
• 감사 이력과 TVL을 확인하지 않고 큰 금액을 넣지 마십시오. 확인 절차는 프로토콜이 아니라 이용자의 책임입니다(보안 가이드라인의 체크리스트 방식).
• 승인(Approve) 권한을 무기한 방치하지 마십시오. 이용이 끝났으면 해제하는 것이 계정 보안의 기본입니다.

디파이는 은행을 거치지 않고도 대출과 거래가 가능하다는 점에서 매력적이지만, 그 매력의 뒷면은 은행이 지던 책임을 이용자가 대신 진다는 것입니다. 스마트컨트랙트는 정직하게 실행되지만, 정직하게 실행된 결과가 항상 안전하다는 뜻은 아닙니다.

#디파이 #DeFi #율러파이낸스 #TVL #스마트컨트랙트 #디파이해킹 #가상자산이용자보호법 #플래시론 #가상자산규제 #코인투자 #코인공부