36.3억달러 보안 피해, 감사 통과도 못 막았다

암호화폐 플랫폼에서 2025년 1월부터 2026년 7월까지 36억3000만 달러(약 4조9913억원)가 도난당한 것으로 집계됐다. 보안 감사가 확산된 반면 보험 보장 규모는 줄었고, 공급망 공격, 스마트계약 취약점, 개인키 유출이 대형 피해로 이어졌다는 분석이다.

코인게코(CoinGecko)는 ‘2026 암호화폐 보안 현황 보고서’에서 해당 기간 기록된 보안 사고 245건을 분석해 이같이 밝혔다. 상위 10대 공격은 전체 피해액의 72.5% 이상을 차지해 손실이 소수의 대형 침해 사건에 집중됐다.

가장 큰 피해 축은 인프라와 공급망 취약점이었다. 이 유형의 손실은 18억 달러(약 2조4750억원)를 넘었고, 보고서는 바이비트와 켈프다오(KelpDAO)를 대표 사례로 들었다.

플랫폼 구조별 취약점도 갈렸다. 중앙화 거래소는 개인키 유출에, 탈중앙화 애플리케이션은 스마트계약 취약점에 더 많이 노출된 것으로 분류됐다.

탈중앙화 애플리케이션에서 스마트계약 공격으로 빠져나간 금액은 5억4600만 달러(약 7508억원)였다. 오라클과 시장 조작, 내부 메커니즘 오류도 중앙화·탈중앙화 플랫폼 양쪽에 영향을 준 요인으로 제시됐으며, 보고서는 비트겟(Bitget), 바이낸스, 하이퍼리퀴드를 관련 사례로 언급했다.

오라클은 외부 가격이나 데이터를 블록체인으로 전달하는 장치다. 스마트계약은 블록체인에서 조건이 충족되면 자동 실행되는 프로그램으로, 코드 오류나 외부 데이터 왜곡이 자금 이동으로 곧바로 이어질 수 있다.

보안 감사를 마친 프로젝트도 예외가 아니었다. 전체 245건 중 147건은 침해 전 독립 보안 감사를 받은 프로토콜에서 발생했고, 이들 감사 완료 대상의 피해액은 전체의 88.44%였다.

이는 감사 통과가 위험 제거를 뜻하지 않는다는 점을 보여준다. 감사가 끝난 시스템을 겨냥한 공격 상당수는 외부 인프라, 감사받지 않은 코드 업데이트, 거버넌스 공격을 통한 기능 조작에서 발생했다.

감사 범위 안에 들어간 스마트계약 취약점은 약 11.0%였다. 다만 이 취약점만으로도 3억9600만 달러(약 5445억원)의 손실이 발생해, 낮은 비중이 낮은 피해를 뜻하지는 않았다.

보험 시장은 반대로 줄었다. 주요 암호화폐 보험 프로토콜의 유효 보장 규모는 1억6320만 달러(약 2244억원)에서 1억3020만 달러(약 1790억원)로 20.2% 감소했고, 누적 보험금 지급액은 약 3300만 달러(약 454억원)에 머물렀다.

보고서는 보장 범위가 제한적이라는 점도 지적했다. 온체인 보험은 검증된 스마트계약 취약점이나 인프라 장애에 한정되는 경우가 많고, 인적 오류나 개인키 유출, 시장 변동성에서 비롯된 손실은 보상 대상에서 제외될 수 있다.

2026년 8월 기준 9개 온체인 보험 프로토콜 중 5개는 운영을 중단했거나 다른 분야로 전환했다. 공격 빈도와 피해 규모가 커지는 동안 보험 수요와 보장 능력은 충분히 커지지 못한 셈이다.

중앙화 거래소는 이 공백을 자체 보호기금으로 메우는 방식을 택하고 있다. 코인게코는 중앙화 거래소가 취약점 공격 때 이용자 보호를 위해 보호기금을 내놓고 있다고 설명했다.

국내 이용자에게도 이번 통계는 거래소 선택과 프로젝트 이용 때 확인해야 할 기준을 넓힌다. 감사 통과 여부뿐 아니라 개인키 관리, 코드 업데이트 절차, 외부 인프라 의존도, 사고 이후 보상 구조까지 함께 봐야 한다는 뜻이다.

이번 집계는 코인게코가 공개한 2026년 암호화폐 보안 현황 보고서 내용을 바탕으로 한 것이다. 확인된 분석 기간은 2025년 1월부터 2026년 7월까지다.

보고서는 중앙화 거래소와 탈중앙화 애플리케이션의 위험 요인이 서로 다르다고 짚었다. 감사, 보험, 자체 보호기금은 모두 보안 사고 이후 손실을 줄이기 위한 장치로 제시됐다.