감사 완료도 못 막았다…상반기 암호화폐 해킹 94%는 범위 밖서 발생

암호화폐 시장에서 2026년 상반기 동안 약 9억4,000만 달러(약 1조3,600억 원)가 해킹으로 사라졌지만, ‘보안 감사’는 이를 막지 못한 것으로 나타났다. 형식적인 감사가 실제 위협을 가리지 못했다는 지적이다.

감사 통과해도 94%는 ‘사각지대’에서 발생

보안 리서치 업체 ack3에 따르면 1월부터 6월까지 총 135건의 공격이 확인됐으며, 피해 규모는 9억3,986만 달러(약 1조3,590억 원)에 달했다. 건당 평균 피해액은 약 696만 달러다.

가장 충격적인 통계는 감사받은 프로젝트에서도 피해의 94.4%가 ‘감사 범위 밖’에서 발생했다는 점이다. 스마트컨트랙트 코드는 점검됐지만, 실제 공격은 검증되지 않은 인프라나 키 관리 구조를 통해 이뤄졌다.

상반기 피해 61%는 단 두 건에서 발생

가장 큰 피해는 켈프 DAO의 rsETH에서 발생했다. 4월, 공격자는 LayerZero 메시지 검증 시스템을 장악해 약 2억9,200만 달러(약 4,220억 원)를 탈취했다. 단일 검증자 구조가 취약점으로 작용했다.

이어 솔라나 기반 파생상품 플랫폼 드리프트는 약 2억8,500만 달러(약 4,120억 원)를 잃었다. 조사에 따르면 북한 연계 조직이 수개월에 걸쳐 내부 접근 권한을 확보한 뒤 공격을 실행했다.

두 사건만으로 전체 피해의 약 61%가 발생했다. 코드 결함보다 ‘키 관리’와 ‘신뢰 구조’ 붕괴가 핵심 원인이었다.

개발자·인프라 공격이 핵심 취약점으로 부상

이 같은 패턴은 다른 프로젝트에서도 반복됐다. 스텝 파이낸스(4,000만 달러), 휴머니티 프로토콜(3,200만 달러), 리졸브 스테이블코인(2,450만 달러) 모두 개인 키 탈취와 서명 인프라 공격으로 피해를 입었다.

크로스체인 브리지 역시 주요 타깃이었다. 베루스(1,150만 달러), 시스코인(800만 달러), 타이코(170만 달러) 등에서 공격이 이어졌다.

대형 프로젝트도 예외는 아니었다. 폴리마켓은 5월 내부 지갑 해킹(70만 달러)에 이어 6월에는 프론트엔드 공급망 공격으로 310만 달러를 추가로 탈취당했다. 이용자가 접속하는 웹사이트 자체가 공격 도구로 변했다.

코우스왑은 도메인 탈취를 당했고, 유명 MEV 봇 ‘jaredfromsubway.eth’조차 750만 달러 규모의 허니팟 공격에 피해를 입었다.

감사 시점도 문제…절반 이상 ‘구형 보고서’

감사가 실제 공격을 막지 못하는 또 다른 이유는 ‘시점’이다. 공격이 발생한 프로젝트 중 관련성이 높은 20건의 감사 보고서를 분석한 결과, 17건이 최소 6개월 이상 지난 ‘구형 감사’였다.

ack3의 요제프 가터마이어 CEO는 “감사받은 프로젝트에서 6억8,100만 달러가 감사 범위 밖 공격으로 유출됐다”며 “AI 도구 발전으로 복합적인 취약점 결합 공격이 쉬워지고 있어, 이제 보안은 전체 시스템 단위로 봐야 한다”고 말했다.

‘감사 완료’는 더 이상 안전을 의미하지 않는다

이번 보고서는 ‘감사 완료’라는 문구가 사실상 마케팅에 가깝다는 점을 보여준다. 중요한 것은 무엇이 검토됐는지, 언제 검토됐는지, 그리고 현재 키를 누가 통제하는지다.

2026년 상반기 사례는 분명하다. 공격자는 코드가 아니라 사람과 운영 구조를 노렸고, 감사는 그 지점을 비껴갔다. 암호화폐 시장에서 보안의 기준이 근본적으로 바뀌고 있다.