해킹 피해 17억달러 전망…상반기 207건, TRM 집계 최다

2026년 가상자산 해킹 피해액이 17억 달러(약 2조4310억원)에 그쳐 2017년 이후 가장 낮은 수준을 기록할 수 있다는 전망이 나왔다. 다만 상반기 공격 건수는 207건으로 역대 최다를 기록했다.

크립토브리핑(Crypto Briefing)은 그레이스케일이 3일 공개한 리서치 노트에서 올해 가상자산 업계의 사이버 보안 손실을 전체 시가총액의 약 0.1%로 전망했다고 보도했다. 그레이스케일 리서치 노트의 공개 URL은 확인되지 않았다.

TRM랩스(TRM Labs)는 7월 1일 보고서에서 2026년 상반기 가상자산 해킹 피해액이 9억7200만 달러(약 1조3900억원)로 집계됐다고 밝혔다. 2025년 상반기 23억 달러(약 3조2890억원)의 절반 이하로 줄어든 규모다.

피해액과 달리 공격 건수는 늘었다. 상반기 해킹은 207건으로 전년 동기 83건의 두 배를 넘었으며, TRM랩스가 집계한 6개월 단위 기록 가운데 가장 많았다.

공격 유형별로는 스마트컨트랙트 공격이 125건으로 전체의 60%를 웃돌았다. 그러나 피해액은 개인키와 서명 인프라, 승인 절차, 커스터디 관리 등 인프라·운영 체계 침해에 집중됐다.

인프라·운영 체계 침해는 전체 사건의 약 15%였지만 피해액의 약 76%를 차지했다. 공격 횟수가 많은 스마트컨트랙트 취약점보다 키와 승인 권한을 노린 침해가 대형 손실로 이어진 셈이다.

대형 사고의 발생 여부도 연도별 피해액을 좌우했다. 체이널리시스(Chainalysis)는 2026년 보고서에서 2025년 북한 연계 해커의 탈취액이 20억 달러(약 2조8600억원)였으며, 이 가운데 바이비트 사고가 약 15억 달러(약 2조1450억원)를 차지했다고 밝혔다.

TRM랩스는 올해 상반기 피해액 감소가 공격자의 역량 약화를 의미하지는 않는다고 분석했다. 지난해 바이비트 사고와 같은 초대형 피해가 반복되지 않은 영향이 크다는 설명이다.

콜드카드(Coldcard) 하드웨어 지갑 사고는 개인 보관 영역의 위험을 드러냈다. 코인카이트(Coinkite)는 7월 30일 보안 공지에서 일부 콜드카드 펌웨어로 생성된 시드가 위험에 노출될 수 있으며, 업데이트만으로 기존 시드가 복구되지는 않는다고 밝혔다.

영향을 받은 사용자는 기존 자산을 새 시드로 옮겨야 한다. 이번 사고는 비트코인(BTC) 네트워크의 합의 규칙이 뚫린 것이 아니라 지갑의 복구문구 생성·보관 체계에서 발생한 문제로 다뤄지고 있다.

크립토브리핑은 콜드카드 취약점으로 1367~1400 BTC가 유출됐으며 피해액을 8800만~9000만 달러(약 1258억~1287억원)로 추산했다. 이후 본지는 피해 추산액이 1억1600만 달러로 늘었다고 보도했으며, 별도 집계에서는 탈취 규모가 1596 BTC로 제시되는 등 집계 시점에 따라 차이가 났다.

그레이스케일은 리서치 노트에서 비트코인 ETP와 ETF가 보험과 자산 분리, 다중서명 보안 등을 갖춘 기관급 커스터디를 제공한다고 설명했다. 올해 수치는 대형 사고에 따른 피해액은 줄었지만 키와 승인 절차를 겨냥한 공격은 이어지고 있음을 보여준다.