컴파운드 COMP 초과분배 사고

1.버그 발생과 규모#

커뮤니티 구성원이 작성하고 여러 참여자가 검토한 거버넌스 제안62는 시장별로 차입자·예치자에게 각기 다른 속도로 COMP를 나눠 주도록 컴트롤러 컨트랙트를 바꾸는 내용이었다. 2021년9월29일 이 제안이 시행되자 컴파운드 창업자 로버트 레시너는 트위터에서 코드에 담긴 결함으로 일부 이용자가 실제보다 훨씬 많은 COMP를 받고 있다고 알렸다. 그는 최악의 경우 약 28만 COMP(당시 시세로 약 8,000만 달러 상당)가 걸려 있으며, 이 중 약 24만 COMP(약 7,000만 달러 상당)는 이미 지급됐다고 밝혔다. 컴파운드에는 관리자가 배포를 즉시 멈출 권한이 없어, 모든 변경은 7일짜리 거버넌스 절차를 거쳐야 했다.

2.수습과 자발적 반환#

커뮤니티는 곧바로 제안63을 올려 오류가 고쳐질 때까지 COMP 청구 기능 자체를 잠그는 임시 조치를 통과시켰고, 뒤이어 분배 로직을 바로잡는 제안64를 처리했다. 프로토콜 차원의 강제 회수(클로백) 수단은 없었기 때문에, 팀은 이미 받은 COMP를 자발적으로 돌려달라고 호소했고 이에 응한 이용자에게는 기념 NFT를 지급하는 방식으로 일부를 돌려받았다. 레시너는 이후 문제 공지 과정에서 특정 수령자를 공개 지목한 방식에 대해 "무신경한 접근이었다"며 사과하기도 했다. 이 사고는 탈중앙화된 거버넌스가 코드 오류를 빠르게 멈출 수 없다는 한계를 보여 준 사례로 자주 인용된다.

3.연표2건

1. 2021.09사건컴파운드, 제안62 코드 오류로 COMP 초과분배
2. 2021.09이정표제안63으로 배포 잠금, 이후 제안64로 분배 로직 수정