36억3000만달러 해킹 피해…60% 플랫폼은 보안감사

암호화폐 플랫폼들이 2025년 1월부터 2026년 7월까지 사이버공격으로 36억3000만달러(약 4조8824억원)를 잃었다. 피해 플랫폼의 약 60%는 사전에 독립 보안감사를 마친 곳이었다.

코인게코는 8월 27일 발표한 ‘2026 암호화폐 보안 현황 보고서’에서 이 기간 245건의 공격으로 36억3000만달러가 탈취됐다고 밝혔다. 코인게코 보고서에 따르면 상위 10건이 전체 피해액의 72.5% 이상을 차지했다.

감사를 받은 뒤 공격당한 프로토콜은 147곳으로 집계됐다. 이들 플랫폼에서 발생한 피해액은 전체의 88.44%를 차지했다.

다만 감사 대상 스마트계약의 결함이 공격의 직접 원인이 된 사건은 전체의 약 11%에 그쳤다. 해당 공격으로 발생한 피해액은 3억9600만달러(약 5326억원)였다.

보고서는 기존 보안감사가 외부 인프라와 감사 이후 변경된 코드, 거버넌스 공격 같은 영역을 충분히 다루지 못한다고 분석했다. 감사가 이뤄졌다는 사실만으로 실제 운영 환경의 모든 위험이 제거되는 것은 아니라는 의미다.

중앙화 거래소에서는 개인키 탈취가 주요 취약점으로 나타났다. 탈중앙화 애플리케이션에서는 스마트계약 결함에 따른 피해가 상대적으로 컸다.

가장 큰 피해를 본 플랫폼은 바이비트였다. 2025년 2월 발생한 14억달러(약 1조8830억원) 규모 탈취 사건이 전체 피해액을 키웠다.

엘립틱은 해당 공격을 북한과 연계된 해킹으로 지목했다. 켈프다오는 2억9200만달러(약 3927억원), 드리프트 프로토콜은 2억8500만달러(약 3833억원)의 손실을 기록했다.

공격 방식은 스마트계약 코드 결함에만 국한되지 않았다. 공급망 공격과 개인키 탈취도 주요 손실 원인으로 제시됐다.

중앙화 거래소와 탈중앙화 플랫폼 모두 오라클 및 시장 조작, 내부 메커니즘 오류에 노출된 것으로 조사됐다. 오라클은 블록체인 밖의 가격이나 외부 데이터를 스마트계약에 전달하는 장치다.

보안사고가 이어지는 동안 암호화폐 보험의 보장 규모는 오히려 줄었다. 주요 온체인 보험 프로토콜의 보장액은 1억6320만달러(약 2195억원)에서 1억3020만달러(약 1751억원)로 20.2% 감소했다.

온체인 보험의 활성 보장액이 줄어든 흐름과 비교하면 공격으로 발생한 손실과 실제 보장 가능한 규모 사이의 격차가 커진 셈이다. 누적 보험금 지급액은 3300만달러(약 444억원) 수준에 머물렀다.

코인게코는 보험상품이 스마트계약 해킹이나 인프라 장애 등 일부 사고만 보장하는 경우가 많다고 설명했다. 개인키 유출과 인적 오류는 상품에 따라 보장 대상에서 제외될 수 있다.

2026년 8월 기준 9개 온체인 보험 프로토콜 가운데 5곳은 운영을 중단했거나 다른 분야로 전환했다. 해킹 위험은 커졌지만 보험시장의 대응 범위는 오히려 좁아진 모습이다.

이번 집계는 독립 보안감사 자체가 모든 공격을 막는 수단은 아니라는 점을 보여준다. 감사 범위와 실제 운영 환경 사이의 차이를 줄이고 개인키와 외부 인프라, 코드 변경, 거버넌스 구조를 함께 점검하는 일이 과제로 남았다.