기관투자자들, 크립토 심사 기준 바꾼다…감사보다 운영 보안 본다

13일 해켄(Hacken)에 따르면 기관투자자들이 이제 스마트컨트랙트 감사만으로는 크립토 프로젝트의 안전성을 판단하지 않고 있다. 지난 몇 년간 축적된 감사 이력보다 실제 ‘운영 보안’이 더 중요한 신호로 떠오르면서, 투자 심사 기준도 한층 까다로워지는 분위기다.

해켄이 공개한 ‘2026년 2분기 보안·컴플라이언스 보고서’에 따르면 추적한 1427개 프로젝트 중 제3자 모니터링을 도입한 곳은 9%에 불과했다. 여기에 활성 버그바운티와 보안 감사까지 함께 운영한 비율은 4%에 그쳤다. 같은 분기 발생한 약 7억6400만달러 규모의 피해 가운데 88.3%는 개인키 유출, 서명자(signer), 인프라 취약점에서 발생한 것으로 집계됐다.

보고서는 이런 흐름이 기관의 판단 기준을 바꾸고 있다고 분석했다. 과거에는 감사 통과 여부가 주요 참고 지표였지만, 이제는 서명자 구성 변경, 담보 구조, 제3자 의존도, 사고 대응 체계, 감사의 범위와 최신성까지 들여다보는 식이다. 아브락사스 캐피탈의 페데리코 바지오티는 “위험에 비해 보안이 충분하지 않다는 점이 가장 자주 투자 제외 신호로 작용한다”고 말했다. 무디스 인베스터스 서비스의 라제브 밤라는 운영 복원력이 기관이 보안·컴플라이언스·거버넌스를 평가하는 ‘실질적 기준’이 됐다고 설명했다.

이 변화는 규제와 업계 전반에서도 감지된다. 앞서 7월 10일 코인텔레그래프 보도에서는 비트고 COO 조디 메틀러가 유럽의 디지털 운영 복원력법(DORA) 점검이 이어지면서 기관 고객들이 수탁사의 접근 통제, 사고 대응, 사업 연속성에 대해 더 세부적인 질문을 던지고 있다고 전했다.

해켄은 2분기 해킹 피해를 입은 14개 프로젝트가 이미 감사를 받은 이력이 있었다고 밝혔다. 다만 실제 손실은 스마트컨트랙트 자체보다 서명 장치, 브리지 검증자, 백엔드 인프라, 관리자 키, 폐기됐지만 여전히 살아 있던 구형 계약 등 감사 범위를 벗어난 부분에서 주로 발생했다. 표면적으로는 ‘감사 완료’로 보이더라도, 자금 이동과 운영 구조가 허술하면 대형 사고로 이어질 수 있다는 뜻이다.

보고서는 시가총액 100만달러 이상, 코인게코 트러스트 스코어 기준 상위 50개 중앙화 거래소에 상장된 자산 가운데 1427개 프로젝트를 대상으로 집계했다. 래핑 자산, 스테이블코인, 실물자산 토큰화(RWA)는 제외했다. 해켄은 공개적으로 확인 가능한 통제 장치만 반영했기 때문에, 외부에 드러나지 않은 내부 계약이나 별도 보호 장치는 통계에 잡히지 않을 수 있다고 설명했다.

결국 이번 보고서는 크립토 시장에서 보안이 단순한 기술 점검을 넘어 ‘투자 가능성’을 가르는 조건으로 바뀌고 있음을 보여준다. 스마트컨트랙트 감사보다 운영 보안과 복원력이 더 중요한 평가 항목으로 떠오르면서, 기관투자자들의 선별 기준은 앞으로도 더 촘촘해질 가능성이 크다.