코드보다 키·거버넌스… 크립토 해킹 경로 바뀌었다

올해 크립토 시장에서 발생한 대형 피해는 ‘스마트컨트랙트 취약점’보다 운영과 거버넌스 허점에서 비롯되고 있다. 코드보다 ‘키 관리’와 ‘의사결정 구조’가 새로운 약점으로 떠올랐다는 분석이다.

투표와 키 하나로 무너진 수천억 규모 자산

최근 봉크(BONK) DAO에서는 약 400만 달러(약 58억 원)를 들인 공격자가 낮은 참여율을 노려 거버넌스 투표를 장악했고, 그 결과 약 2000만 달러(약 290억 원)가 유출됐다. 스마트컨트랙트는 정상적으로 작동했지만 ‘규칙 자체’가 공격 경로가 된 사례다.

6월에는 휴머니티 프로토콜에서 3000만 달러(약 435억 원) 이상의 피해가 발생했다. 프로젝트 측에 따르면 팀원의 개인 키가 탈취되면서 사고가 발생했고, 이 역시 코드 결함과는 무관했다.

올해 крип토 시장 누적 피해액은 약 9억7200만 달러(약 1조4100억 원)에 달한다. 사건 수는 증가하고 있지만, 자금 유출 경로는 점점 ‘비코드 영역’으로 이동하고 있다.

해킹의 절반 이상, 거래소와 키 관리에서 발생

2021년부터 2025년까지 425건의 해킹을 분석한 결과, 소수의 운영 실패가 전체 피해액의 대부분을 차지했다. 특히 2024~2025년 사이 191건의 해킹 중 54.6%는 중앙화 거래소의 키 관리, 커스터디, 서명 구조에서 발생한 것으로 나타났다.

이는 단순 코드 감사만으로는 ‘보안’이 완성되지 않는다는 점을 보여준다. 실제로 한 프로토콜은 11차례 감사를 받았음에도 1억2800만 달러(약 1860억 원)를 잃었다.

코드는 여전히 취약… 그러나 방어 방식은 진화

그렇다고 스마트컨트랙트 문제가 해결된 것은 아니다. 5년 이상 운영된 프로젝트의 93.9%에서 ‘치명적 취약점’이 발견됐고, 전체 보고 중 약 20%가 최고 위험 등급으로 분류됐다.

다만 변화도 있다. 상시 운영되는 버그바운티 프로그램과 실시간 모니터링 체계가 공격자보다 먼저 취약점을 발견하는 구조를 만들고 있다. 평균 약 2만 달러(약 2900만 원)의 보상으로 약 2500만 달러(약 363억 원) 규모 해킹을 예방할 수 있어 업계에서 ‘가장 효율적인 보안 투자’로 평가된다.

‘감사 완료’는 안전의 증거가 아니다

전문가들은 이제 보안을 코드에 국한해선 안 된다고 지적한다. 키 보관 방식, 서명 권한, 거버넌스 구조, 인적 요소까지 모두 ‘공격 표면’으로 봐야 한다는 것이다.

결국 중요한 것은 단발성 감사가 아니라 지속적인 검증과 인센티브 구조다. 코드, 키, 사람, 거버넌스를 동시에 점검하지 않는 한, 대형 해킹은 계속 반복될 가능성이 크다.

---

기사요약 by TokenPost.ai
🔎 시장 해석
최근 크립토 해킹은 스마트컨트랙트 코드 취약점보다 키 관리 실패와 거버넌스 구조 악용에서 더 많이 발생하고 있다. 공격자는 ‘코드’ 대신 ‘규칙’과 ‘권한’을 노리는 방향으로 진화 중이다.

💡 전략 포인트
- 거버넌스 투표 구조: 낮은 참여율은 공격 표면이 될 수 있음
- 개인키 및 서명 권한: 단일 실패 지점(SPOF) 제거 필수
- 코드 감사 이후: 지속적 모니터링과 버그바운티 병행 필요
- 중앙화 요소 점검: 거래소 및 커스터디 구조 리스크 관리 중요

📘 용어정리
- 거버넌스 공격: 토큰 또는 권한을 이용해 의사결정을 조작하는 공격 방식
- 개인키(Private Key): 자산 접근 및 거래 서명을 가능하게 하는 핵심 암호 값
- 버그바운티: 취약점 발견 시 보상을 지급하는 보안 프로그램
- 커스터디(Custody): 암호자산을 대신 보관·관리해주는 서비스

💡 자주 묻는 질문 (FAQ)

Q. 왜 요즘 해킹은 코드보다 운영 문제에서 더 많이 발생하나요? 최근 공격자들은 스마트컨트랙트 자체보다 키 관리, 권한 구조, 거버넌스 규칙 같은 운영 요소를 집중적으로 노리고 있습니다. 이는 코드보다 사람과 시스템 운영에서 발생하는 실수가 더 쉽게 악용될 수 있기 때문입니다. Q. 거버넌스 투표만으로도 자산이 탈취될 수 있나요? 가능합니다. 공격자가 충분한 토큰을 확보하거나 낮은 참여율을 이용하면 정상적인 투표 절차를 통해 자금 이동을 승인받을 수 있습니다. 이는 코드 오류가 아닌 설계된 규칙 자체가 공격 경로가 되는 사례입니다. Q. 감사(Audit)를 받았는데도 왜 해킹이 발생하나요? 감사는 특정 시점의 코드 안전성을 검증하는 절차일 뿐, 이후 발생하는 키 유출, 내부 권한 남용, 운영 실수까지 막아주지는 못합니다. 따라서 감사 이후에도 지속적인 보안 관리가 필요합니다. TP AI 유의사항 TokenPost.ai 기반 언어 모델을 사용하여 기사를 요약했습니다. 본문의 주요 내용이 제외되거나 사실과 다를 수 있습니다.