1055건 접수한 1인치, 취약점 32건 보상

1인치(1inch)가 2026년 상반기 버그바운티에서 취약점 제보 1055건을 접수하고 이 가운데 32건에 보상했다. 디파이(DeFi) 거래 인프라가 복잡해지는 가운데 출시 전후 보안 검증을 외부 연구자에게 개방한 사례다.

해켄프루프(HackenProof)는 공개 보고서 ‘1inch Bug Bounty Report: Aqua Edition, H1 2026’에서 2026년 1~6월 1인치의 6개 버그바운티 프로그램 운영 결과를 밝혔다. 대상은 △아쿠아(Aqua) △스마트계약 △월렛 △웹 △비즈니스 △인프라 프로그램이다.

핵심은 아쿠아였다. 해켄프루프는 아쿠아 버그바운티에 보안 연구자 217명이 참여해 472건을 제출했고, 9건이 보상과 공식 해결 절차를 거쳤다고 밝혔다.

아쿠아 프로그램의 보상 사례에는 고위험 1건과 중·저위험 취약점이 포함됐다. 관련 문제는 논리 불일치, 단위 불일치, 실행 경계 조건, 도구 관련 오류에 걸쳐 있었고 모두 수정된 것으로 제시됐다.

아쿠아는 1인치가 공개한 공유 유동성 계층이다. 1인치는 2026년 7월 아쿠아를 공개 출시했지만, 버그바운티 프로그램은 상반기부터 운영돼 연구자들이 출시 전 프로토콜을 검토할 수 있었다. 앞서 본지는 1인치가 멀티체인 공유 유동성 프로토콜 아쿠아를 공개했다고 보도했다.

버그바운티는 외부 보안 연구자가 취약점을 찾아 제출하면 프로젝트가 검토 뒤 보상하는 제도다. 디파이에서는 스마트계약 코드뿐 아니라 주문 실행, 가격 계산, 유동성 배분, 라우팅 구조가 맞물리기 때문에 사전 감사만으로 모든 운영 조건을 확인하기 어렵다.

보고서에서 확인된 고위험 취약점은 상반기 아쿠아 프로그램의 유일한 고위험 보상 사례였다. 해켄프루프는 해당 취약점도 수정이 완료된 사례에 포함된다고 밝혔다.

중·저위험 취약점은 아쿠아의 실행 로직과 도구 운용 과정에서 확인된 문제로 제시됐다. 보고서는 이들 문제가 보상과 해결 절차를 거쳤다고 설명했다.

저위험 취약점도 거래 실행 구조와 맞닿아 있었다. 보고서가 제시한 문제 범주는 단순 표시 오류보다 논리 처리, 단위 비교, 실행 조건 점검처럼 프로토콜 운용 안정성과 연결된 영역에 가까웠다.

일부 취약점은 단순 표시 오류가 아니라 주문 실행, 가격 감쇠, 수수료 계산, 라우팅 안정성과 연결됐다. 거래 조건이 자동으로 계산되고 여러 경로를 거쳐 체결되는 구조에서는 낮은 심각도의 오류도 누적될 경우 실행 품질에 영향을 줄 수 있다는 의미다.

아쿠아 외 프로그램에서도 제보가 이어졌다. 1인치 스마트계약 프로그램은 267건을 받아 3건을 보상했고, 월렛 프로그램은 85건 중 6건을 보상했다. 웹 프로그램은 68건 중 1건, 비즈니스 프로그램은 111건 중 9건, 인프라 프로그램은 52건 중 4건이 보상됐다.

해켄프루프는 아쿠아와 스왑VM(SwapVM)이 오픈제플린(OpenZeppelin), 헥센스(Hexens), 디큐리티(Decurity)의 감사를 받았다고 밝혔다. 감사가 사전 검증에 가깝다면 버그바운티는 공개 연구자 기반의 사후·상시 검증 절차에 가깝다.

이번 보고서는 1인치의 신규 유동성 인프라가 기능 출시를 넘어 실행 로직 검증까지 공개 범위에 올렸다는 점을 보여준다. 보고서가 제시한 수치는 보상과 해결 절차를 거친 제보 기준이다.