감사 이력 확인 디파이 사건, 손실 94.4%는 감사 범위 밖

2026년 상반기 사전 보안감사 이력이 확인된 디파이(DeFi·탈중앙화금융) 공격 사건에서 손실의 94.4%가 감사 범위 밖 공격 경로에서 발생한 것으로 나타났다.

ack3와 체코공과대학교 연구진은 프리프린트에서 2026년 1월 1일부터 6월 29일까지 발생한 디파이 보안사고 135건을 분석했다고 밝혔다. 전체 피해액은 9억3986만달러(약 1조2622억원)였고, 이 가운데 사전 감사 이력이 확인된 사건은 68건이었다.

감사 이력이 확인된 68건 중 공격 경로가 모든 감사 범위 밖에 있었던 사건은 46건이었다. 최소 한 개 감사 범위 안에서 발생한 사건은 20건, 판단이 유보된 사건은 2건으로 집계됐다. 사건 수 기준으로 감사 범위 밖 공격은 67.6%를 차지했다.

손실 규모의 격차는 더 컸다. 감사 이력이 확인된 사건의 총 손실 7억2124만달러(약 9686억원) 가운데 감사 범위 밖 손실은 6억8097만달러(약 9145억원)였다. 감사 범위 안 손실은 3521만달러(약 473억원), 판단 유보 사건의 손실은 507만달러(약 68억원)였다.

연구진은 두 대형 사건이 결과에 큰 영향을 줬다고 설명했다. 켈프다오의 2억9200만달러(약 3922억원)와 드리프트 프로토콜의 2억8500만달러(약 3828억원)를 제외하면 감사 범위 밖 손실 비중은 72.1%로 낮아졌다.

감사는 특정 시점의 특정 코드와 구성요소를 대상으로 이뤄진다. 프록시, 브리지, 오라클, 권한 키, 프런트엔드, 릴레이어, 클라우드 인프라, 이후 배포된 코드가 대상에서 빠졌다면 감사 결과를 해당 영역에 그대로 적용할 수 없다.

아이콘 네트워크에서는 8월 27일 정상적으로 서명된 출금 메시지 2개가 1492회 재사용됐고, 이 중 1490건이 성공했다. 아이콘 재단은 사후 보고서에서 재단 보유 자산에서 1억1986만 ICX와 53만1600 bnUSD가 이동했다고 밝혔다.

아이콘 재단은 해당 계약이 제3자 감사를 받았고 권고사항도 반영했지만, 메시지 고유성 확인에 사용된 값과 서명에 포함된 값 사이의 불일치가 감사 결과의 범위를 벗어났다고 설명했다. 모니터링 경보는 공격 시작 후 7분 안에 작동했지만, 기술진이 계약을 중단하기까지 약 105분이 걸렸다.

확인된 순손실은 약 150.2 ETH와 3만1204 유에스디코인(USDC)이었다. 53만1600 bnUSD와 136만6000 SODA는 전액 회수됐고, 탈취된 ICX 가운데 1억1650만 ICX는 거래소로 이동한 뒤 동결 조치가 진행 중이다. 아이콘 네트워크는 8월 28일 근본 원인을 수정한 뒤 재개됐다.

에이엘프(aelf)의 8월 사건은 감사 범위 안팎을 단정하기 어려운 사례다. 에이엘프는 8월 26일 진행 상황 보고서에서 악성 활동과 연관된 거래 155건과 고유한 .NET 페이로드 5개를 확인했다고 밝혔다.

무단 스마트계약은 인코딩된 .NET 어셈블리와 명령을 노드 실행 경로로 전달할 수 있었다. 에이엘프는 런타임 리플렉션과 동적 로딩 검사, 계약 실행부와 노드·인프라 자원 사이의 격리에서 공백이 드러났다고 설명했다.

다만 에이엘프는 페이로드에 특정 기능이 포함됐다는 사실만으로 모든 노드에서 실행됐거나 자격증명이 탈취됐다고 볼 수 없다고 밝혔다. 공개된 감사 문서와 해당 런타임 경로의 직접적인 연결도 확인되지 않아 이 사건을 감사 실패로 분류하기는 어렵다.

이번 연구는 감사가 무의미하다는 의미가 아니라 감사 대상의 적용 범위를 구체적으로 확인해야 한다는 점을 보여준다. 저장소와 커밋, 배포 주소, 제외된 구성요소, 권한 주체, 의존성, 업그레이드 내역, 키 관리와 사고 대응 체계를 함께 살펴야 현재 운영 중인 시스템의 보안 상태를 판단할 수 있다.

한국 투자자와 이용자도 디파이 서비스의 감사 보고서를 확인할 때 감사 완료 여부만 볼 것이 아니라 대상 버전과 배포 주소, 제외 범위, 권한 키, 외부 연동 영역을 따져야 한다. 본지는 앞서 같은 연구의 ‘감사 범위 밖’ 손실 비중을 다룬 바 있다.

프리프린트가 제시한 핵심 수치는 전체 분석 손실 9억3986만달러(약 1조2622억원), 감사 이력 확인 사건의 손실 7억2124만달러(약 9686억원), 감사 범위 밖 손실 6억8097만달러(약 9145억원), 대형 사건 제외 후 72.1%다. 원문 제목에 제시된 8억8500만달러의 산출 근거는 이 수치들과 일치하지 않아 확인되지 않는다.