36억달러 보안손실, 감사받은 곳에 88% 몰렸다

크립토 플랫폼이 2025년 1월부터 2026년 7월까지 보안 사고 245건으로 36억3000만 달러(약 5조167억원)를 잃은 것으로 집계됐다. 사전 감사를 받은 프로토콜에서도 손실이 집중되면서 감사 통과만으로 실제 공격면을 막기 어렵다는 분석이 나온다.

코인게코(CoinGecko)는 2026년 암호화폐 보안 현황 보고서에서 이같이 밝혔다. 상위 10건의 공격은 전체 도난액의 72.5% 이상을 차지했다.

보고서의 핵심은 공격 지점의 변화다. 손실은 순수 스마트컨트랙트 버그에 머물지 않고 인프라, 공급망, 프런트엔드, 거버넌스, 인적 오류로 번졌다. 중앙화 거래소에서는 개인키 탈취가 주요 실패 지점으로 꼽혔고, 탈중앙 애플리케이션에서는 스마트컨트랙트 익스플로잇으로 약 5억4600만 달러(약 7546억원)가 빠져나갔다.

감사 이력도 안전을 보장하지 못했다. 코인게코는 245건 중 147건이 이미 독립 보안 감사를 거친 프로토콜에서 발생했고, 이들이 전체 손실의 88.44%를 차지했다고 적었다. 다만 이 수치는 감사가 손실을 일으켰다는 뜻이 아니라 감사 범위 밖의 외부 인프라, 미감사 코드 업데이트, 거버넌스 공격, 개인키 관리 실패가 실제 손실의 큰 축이었다는 의미에 가깝다.

스마트컨트랙트 익스플로잇은 블록체인에 배포된 프로그램의 취약점을 이용해 자산을 빼내는 공격이다. 감사는 통상 특정 시점의 코드와 설계를 점검하지만, 배포 뒤 바뀐 코드나 서명 권한, 운영 서버, 프런트엔드 침해까지 모두 보장하지는 않는다. 공격면이 코드 밖으로 넓어질수록 감사 보고서만으로는 위험을 판단하기 어려워진다.

보험 쪽은 반대로 축소됐다. 코인게코는 주요 온체인 보험 프로토콜의 활성 커버리지가 1억6320만 달러(약 2255억원)에서 1억3020만 달러(약 1799억원)로 20.2% 감소했다고 밝혔다. 누적 지급액은 약 3300만 달러(약 456억원)에 머물렀다.

추적 대상 9개 온체인 보험 프로토콜 가운데 5개는 비활성화했거나 다른 영역으로 전환했다. 이 수치는 코인게코가 추적한 온체인 보험 프로토콜 기준으로, 전통 보험 전체나 모든 암호자산 보장을 대표하는 값은 아니다.

보장 범위도 제한적이었다. 일부 보험형 상품은 검증된 스마트컨트랙트 익스플로잇이나 인프라 장애만 보장하고, 인간 오류나 개인키 탈취, 일반적인 시장 변동성은 제외하는 경우가 많았다. 해킹 빈도는 늘었지만 보험 커버리지가 줄어든 배경이다.

티알엠랩스(TRM Labs)의 상반기 집계도 같은 흐름을 보였다. 티알엠랩스는 2026년 상반기 해킹과 익스플로잇이 207건 발생했고, 손실액은 9억7200만 달러(약 1조3433억원)였다고 밝혔다. 사고 수는 티알엠랩스 기준 역대 6개월 최고치였지만, 손실액은 2025년 상반기 23억 달러(약 3조1786억원)보다 낮았다.

티알엠랩스는 2026년 상반기 사고 중 스마트컨트랙트 익스플로잇이 125건으로 가장 많았다고 밝혔다. 반면 인프라와 운영 통제 실패는 사고 수의 약 15%였지만 손실액의 약 76%를 차지했다. 공격 빈도는 소규모 코드 취약점에서 늘고, 큰 손실은 개인키와 운영 인프라에서 발생한 셈이다.

코인게코와 티알엠랩스의 집계 기간은 다르다. 코인게코 수치는 2025년 1월부터 2026년 7월까지 누적이고, 티알엠랩스 수치는 2026년 상반기다. 두 수치를 단순 비교하기보다 사고가 잦아지는 가운데 손실 구조가 코드 결함에서 운영 보안과 인프라 쪽으로 함께 이동했다는 흐름을 봐야 한다.

업계의 방어 방식도 바뀌고 있다. 넥서스뮤추얼(Nexus Mutual)은 2026년 7월 보고서에서 업계가 스마트컨트랙트 보안에 비해 운영 보안과 공유 방어 인프라에는 덜 투자했다고 짚었다. 하우든(Howden)은 2026년 5월 보험뿐 아니라 예방, 복구, 포렌식, 자산 추적을 묶은 웹3 리스크 생태계를 내놨다.

한국 투자자에게도 거래소와 디파이 서비스의 보안 공시를 볼 때 감사 여부만 확인해서는 부족하다는 점을 보여준다. 감사 보고서가 존재하더라도 개인키 관리, 서명 권한, 프런트엔드 운영, 외부 연동 서비스의 통제 범위는 별도 확인 대상이다.

본지는 앞서 코인게코의 36억3000만 달러 손실 집계를 전한 바 있다. 이번 보고서와 티알엠랩스 집계를 함께 보면, 보안 사고의 쟁점은 단일 코드 결함보다 운영 체계 전반의 통제력으로 옮겨가고 있다.

코인게코 보고서는 2026년 8월 27일 업데이트됐다. 보고서가 제시한 9개 온체인 보험 프로토콜 중 5개는 비활성화하거나 다른 영역으로 전환한 상태다.