솔라나(Solana) 기반 AI 트레이딩 에이전트 **오모(Omo)**가 온체인에 남긴 174건의 주문 약정(order commitment) 가운데, 실제로 오모 지갑이 서명한 거래와 일치하는 건수가 단 한 건도 없는 것으로 드러났다. 최대 20만달러를 웃도는 포트폴리오를 운용한 것으로 홍보됐던 에이전트의 투명성·수탁 구조에 중대한 결함이 드러난 셈이다.
핵심 내용
- 학생 연구자가 오모의 봉인된(해시만 공개된) 의사결정 1건을 추적한 결과, 짝을 이루는 온체인 거래는 다른 지갑이 서명한 토큰 이체였고 실제 매수는 없었다.
- 오모가 공개한 데이터 전수 분석에서도, 174건 주문 약정 가운데 단 한 건도 오모가 공개한 지갑 주소의 서명과 연결되지 않았다.
- 논문은 하드웨어에 보관된 서명 키 사용을 제안하지만, 저자는 이 조치만으로 전략 부진이나 검색 실패 등 다른 문제까지 해결되지는 않는다고 선을 그었다.
오모 감찰 결과
오리건대학교 블록체인 동아리 소속인 **찰리 스니드(Charlie Sneed)**는 9월 28일, 하드웨어 지갑 제조사 Ledger가 주관한 리서치 공모전을 통해 오모 분석 결과를 발표했다. Ledger 측은 해당 결과에 대해 “견해를 보증하지 않는다”고 선을 그었다.
스니드는 오모의 공개 대시보드에 포트폴리오가 가파르게 불어나던 시점에 프로젝트를 추적하기 시작했다. 이후 오모는 돌연 거래를 중단했고, 웹사이트도 오프라인으로 전환됐다.
오모는 8월 9일 출시돼 8월 31일까지 주로 밈코인(memecoin)을 거래했다. 각 주문 전, 에이전트는 의사결정 과정을 해시 형태의 ‘암호학적 지문’으로 솔라나 블록체인에 먼저 올리고, 20분 뒤 실제 텍스트를 공개해 누구나 두 데이터를 대조할 수 있도록 설계했다고 설명해 왔다.
프로젝트 문서는 공개 솔라나 노드와 해시 도구만으로 외부인이 수행할 수 있는 네 가지 검증 절차를 제시하고 있다. 이 가운데 네 번째 검증은 “공개된 오모 지갑이 실제 해당 거래에 서명했는지”를 확인하는 단계로, 다른 키로 체결된 거래는 ‘실격(disqualifying)’ 사유라고 명시돼 있다. 스니드의 분석에 따르면 이 마지막 검증이 전부 실패했다.
스니드는 오모의 주문 가운데 가장 오래된, 실제 거래가 붙어 있는 약정 1건을 직접 추적했다. 8월 21일자 해당 약정과 매칭되는 온체인 거래는 다른 지갑이 여러 주소(여기에는 오모 주소도 포함)를 대상으로 발행한 토큰 이체였으며, 오모가 주장한 ‘매수’는 존재하지 않았다.
관련 기사: Tesla Robotaxis Get An 11 P.M. Cutoff, And Musk Has A Pet Problem To Solve
스니드의 ‘키’ 진단
스니드는 논문에서 오모가 사용한 암호학적 메커니즘 자체는 설계대로 작동했으며, 그가 발견한 모든 문제는 오모 코드 어딘가에 이미 드러나 있었다고 평가했다. 고의적인 허위 표시 정황도 찾지 못했다고 밝혔다. 174건 중 0건이라는 충격적인 수치는 모두 오모가 공개해둔 데이터 페이지에서 도출된 것이다.
그가 지적한 취약 지점은 ‘수탁(custody)’ 구조다. 오모는 휴대폰 앱에서 복사해 온 프라이빗 키를 서버에 저장해 사용했고, 주문과 체결을 매칭하는 코드에는 서명 검증 절차가 아예 빠져 있었다는 설명이다.
스니드는 해결책으로 세 가지 개선안을 제시했다. 핵심은 에이전트가 직접 통제하고, 하드웨어에 물리적으로 격리된 서명 키를 도입하는 것이다. 이는 Ledger가 제공하는 하드웨어 지갑 제품군과도 맞닿은 제안이다. 다만 그는 논문에서, 하드웨어 키를 썼더라도 오모의 7.1%에 그친 승률이나 며칠 동안 제대로 작동하지 않았던 웹 검색 기능 문제까지 잡아내지는 못했을 것이라고 선을 그었다.
자율 에이전트 트레이딩 리스크
올해 들어 대형 플랫폼들이 잇따라 AI·자율 트레이딩 에이전트에 문을 열고 있다. 글로벌 거래소 **바이낸스(Binance)**는 8월 20일 AI 에이전트의 거래를 허용했으며, 프로덕트 부문 부사장 **제프 리(Jeff Li)**는 인터뷰에서 “회사로서는 이들 주문 뒤에 있는 의사결정 과정을 사실상 들여다볼 수 없다”고 말했다.
미국 온라인 브로커리지 로빈후드(Robinhood) 역시 9월 29일 기준 15만개 이상 AI 에이전트 계좌를 운영 중이라고 공개하면서, 에이전트의 전략을 사전 심사하거나 별도로 감찰하지 않는다고 밝혔다.
미 금융산업규제국(FINRA)의 2026년 연례 감독 보고서 역시 지적했다. 보고서는 AI·자율 에이전트의 ‘자율성(autonomy)’과 ‘감사 가능성(auditability)’ 부족을 핵심 리스크로 꼽으며, 투자자 보호를 위한 새로운 규제 프레임워크 필요성을 시사했다.
다음 읽을 거리: Robinhood, Binance And Coinbase Now Take Orders From AI Agents: What To Know
