암호화폐 해킹 11.8억 달러, 77%는 보안 감사가 들여다보지 않은 곳에서 나왔다

감사 배지가 있는데 왜 돈이 빠져나갔나

답은 감사가 애초에 그 자리를 보지 않았기 때문이다. 3분기 피해 11.8억 달러 가운데 약 9.06억 달러가 공급업체나 개발 도구 침해, 공개됐는데 설치하지 않은 보안 패치, 최근 점검에서 빠진 구성요소에서 나왔다.

비율로는 약 77%다. 해커는 감사관이 검사한 문을 두드리지 않았다. 검사표에 없던 옆문으로 들어왔다.

블록체인 보안업체 해켄(Hacken)은 보안 검토가 지갑, 서명 시스템, 제삼자 소프트웨어를 종종 제외한다고 지적했다. 공격자가 노리는 곳이 바로 그 셋이다.

감사 범위는 왜 좁아지나, 비용이 정한다

해켄 공동창업자 안드리 마티우힌은 "The problem is always scope."라고 말했다. 돈과 경제 구조에 닿는 모든 구성요소를 감사하면 비싸서, 팀들이 핵심 부분만 감사한다는 설명이다.

고객은 다르게 받아들인다. 새 프로젝트에서 배지를 보면 시스템 전체가 점검됐다고 여긴다. 실제로는 특정 스마트컨트랙트만 봤을 수 있다.

그 틈에서 돈이 샌다. 마티우힌은 고객이 한 번도 시험되지 않은 키, 공급업체, 설정 하나 때문에 돈을 잃는다고 했다.

배지는 영수증에 가깝다. 무엇을 샀는지 품목을 읽지 않으면 전부 산 줄 안다.

감사받은 곳이 도난액 88.44%, 우연이 아니다

3분기 한 번의 이야기가 아니다. 코인게코(CoinGecko)가 2025년 1월부터 2026년 7월까지 집계한 해킹 245건을 보면, 147곳(약 60%)이 이미 외부 감사를 마친 곳이었다.

감사받은 플랫폼이 도난액의 88.44%를 차지했다. 그런데 감사 범위 안의 취약점으로 터진 사고는 약 11%, 3.96억 달러뿐이었다.

감사가 엉터리라는 뜻은 아니다. 감사받은 곳이 전체에서 차지하는 비율과 견준 숫자가 아니기 때문이다. 이 숫자가 말하는 것은 배지가 보증하지 않는 곳에서 돈이 빠져나간다는 사실이다.

전례도 길다. 유러 파이낸스(Euler Finance)는 2023년 6개 업체에서 감사를 10회 받고도 약 1.96억 달러를 잃었다.

키와 공급망, 해커가 실제로 들어온 문

3분기 최대 사건은 9월 비트겟(Bitget)이었다. 해커는 외부 보안 제품의 취약점을 타고 출금 인프라에 들어갔다. 최종 피해는 약 3.88억 달러, 12개 지갑이었고 콜드월렛은 무사했다.

7월에는 크로스체인 프로토콜 세 곳이 6시간 동안 털렸다. AFX Trade는 검증자 키를 빼앗겼다.

하드웨어 지갑도 예외가 아니다. 레저(Ledger)는 동남아 재판매업체가 판 기기에서 승인되지 않은 스파이 장치를 찾았다고 밝혔다.

세 사건 모두 컨트랙트 코드가 아니라 키, 외부 제품, 유통 경로에서 터졌다. 1분기에도 피해 4.826억 달러 중 피싱·사회공학이 3.06억 달러였다.

털리면 누가 메워 주나, 3분의 1은 아무도 없다

3분기 피해 가운데 약 3.87억 달러(약 33%)만 회수되거나 되돌려졌다.

운영사가 자기 돈으로 메운 몫도 있다. 비트겟은 보호기금 3.87억 달러로 이용자 피해를 막았다.

나머지 약 3.84억 달러(약 32%)는 회수도 보전도 없이 남았다. 리퀴드 네트워크(Liquid Network)는 약 3,400 BTC가 돌아왔지만 약 600 BTC는 여전히 공격자 손에 있다.

보험은 얇다. 활성 암호화폐 보험 보장액은 20.2% 줄어 1.302억 달러, 누적 지급은 약 3,300만 달러다.

감사 배지 대신 무엇을 보면 되나

해켄은 고객 자금을 맡은 회사에 책임이 있다고 봤다. 몇 달, 몇 년 전 끝낸 감사에 기대지 말고 취약점을 추적해 패치를 곧바로 깔아야 한다는 것이다.

마티우힌은 팀이 치명적 취약점을 낮은 등급으로 분류해 수정을 미루거나 거절하는 일도 있다고 했다.

해외 거래소나 디파이를 고르는 투자자에게 감사 완료 문구는 출발점일 뿐이다. 무엇을 점검했는지, 서명 키를 어떻게 나눠 쥐는지, 털렸을 때 메울 기금이 있는지가 더 많은 것을 말해 준다.

3분기가 보여 준 결론은 단순하다. 배지는 사고를 막지 못했고, 손실을 막은 것은 보호기금이었다.