가상자산 해킹 피해 87억 달러, 올해 온체인 수익 넘었다

올해 해킹 피해는 어떻게 업계 연간 수익을 앞질렀나

장부로 보면 이렇다. 올해 들어 지금까지 암호화폐 업계가 해킹으로 잃은 돈이 87억 달러다. 같은 업계가 올해 한 해 동안 온체인에서 벌 것으로 추산되는 돈은 56억 달러다. 한 해가 끝나기도 전에 잃은 돈이 벌 돈을 넘어섰다.

이 비교를 내놓은 사람은 ARK Investment Management의 디지털 자산 리서치 디렉터 로렌조 발렌테다. 그는 목요일 X에 차트를 올리며 "Security is the bottleneck"이라고 썼다. 보안이 성장의 병목이라는 말이다.

피해가 연간 온체인 수익을 넘어서는 것은 2020년 이후 처음이다. 올해가 끝날 때까지 이 격차가 더 벌어질 일만 남았다는 점에서, 이 숫자는 한 번 읽고 넘길 일회성 뉴스가 아니라 업계 원가 구조를 다시 보게 하는 신호다.

57센트는 무엇을 무엇으로 나눈 숫자인가

57센트는 올해 숫자가 아니다. 발렌테는 2017년 이후 업계가 해킹으로 잃은 돈이 약 269억 달러, 같은 기간 번 온체인 수익이 470억 달러라고 했다. 약 9년치 누적끼리 견준 값이 온체인 수익 1달러당 57센트다.

반면 87억 달러 대 56억 달러는 올해 한 해의 피해와 올해 한 해의 예상 수익을 맞댄 것이다. 같은 ARK 차트에서 나왔지만 분자와 분모의 기간이 다르다. 두 주장을 한 문장으로 합쳐 읽으면 올해 1달러당 피해가 1달러를 훌쩍 넘는다고 오해하기 쉽다.

그래서 이 숫자들을 읽을 때는 먼저 어느 기간, 어느 분모인지부터 확인해야 한다. 누적은 업계의 평균 체질을, 올해 값은 올해의 이례적 사고를 보여 준다. 둘은 다른 질문에 답한다.

바이낸스 한 건이 왜 계산 전체를 흔드는가

최근 바이낸스 해킹에서 빠져나간 돈이 63억 달러다. 이 한 건만으로 발렌테가 잡은 올해 연간 온체인 수익 추정치 56억 달러를 넘는다. 올해 87억 달러 안에 이 사건이 들어 있다고 보는 것이 자연스럽다.

해킹 피해는 평소 연 30억 달러대에서 대형 사고 한 건이 좌우하는 구조다. 체이널리시스 집계로 2025년 도난액은 34억 1천만 달러였고, 그중 약 15억 달러, 약 44%가 바이비트 한 건이었다. 2024년은 33억 8천만 달러였다.

올해 다른 사고도 작지 않았다. 9월 비트겟 해킹이 3억8,700만 달러, 리퀴드 네트워크 공격이 3억2,000만 달러, 4월 드리프트 프로토콜 공격이 2억9,500만 달러였다. 그러나 이 세 건을 합쳐도 바이낸스 한 건에 한참 못 미친다. 올해의 역전은 사고가 잦아서라기보다 초대형 사고가 한 번 터져서 생겼다.

분모와 분자는 같은 범위를 재고 있나

여기서 이 비율의 약점이 보인다. 바이낸스 사건은 이용자가 디파이 프로토콜에 맡긴 돈이 아니라 중앙화 거래소의 지갑에서 나왔다. TRM Labs는 약 20분 만에 10개 체인에서 지갑이 비워졌다고 보고했다.

분모인 온체인 수익이 프로토콜이 번 수수료 중심이라면, 거래소 지갑 도난을 분자에 넣는 순간 두 숫자는 서로 다른 범위를 재게 된다. 발렌테가 두 값을 어떤 기준으로 맞췄는지는 공개된 보도에 나오지 않는다. 그 기준이 맞는지가 이 비율이 말해 주는 크기를 결정한다.

그렇다고 메시지가 사라지지는 않는다. 업계가 1년에 버는 돈이 56억 달러인데 한 거래소에서 며칠 만에 63억 달러가 나갔다는 사실은, 범위를 어떻게 맞추든 보안 사고의 크기가 업계 경제 규모에 비해 감당하기 어렵다는 점을 보여 준다.

63억 달러 손실은 누가 떠안았나

바이낸스는 손실 전액을 회사 자금으로 보전하겠다고 밝혔다. 2018년 만든 보호기금 SAFU는 전액 비트코인이고 규모가 약 10억 달러다. 도난액 63억 달러 앞에서 부족분은 회사 재무가 메워야 한다.

되찾을 수 있는 돈도 블록체인만으로 정해지지 않았다. 약 30억 달러가 동결됐는데, 그중 23억 달러 이상을 테더와 서클이 묶었다. 회수 가능성이 민간 스테이블코인 발행사의 동결 권한에 달려 있었다는 얘기다.

TRM Labs와 체이널리시스는 북한 연계 해킹 조직 TraderTraitor를 높은 확신으로 지목했다. 바이낸스는 아직 귀속을 밝히지 않았다. 바이비트 때도 FBI가 같은 조직을 지목했다.

디파이 해킹은 사정이 다르다. 프로토콜 이용자와 유동성 공급자가 손실을 지는 경우가 많다. 다만 이번에 거론된 개별 건의 비용 부담은 따로 확인된 바 없다.

국내 이용자는 무엇을 확인하면 되나

사고의 파장은 숫자로 이미 나타났다. DefiLlama 기준 디파이 총예치자산은 바이낸스 공격 직후인 10월 29일 859억 달러에서 목요일 774억 달러로 약 10% 줄었다. JP모건 애널리스트들은 4월 보고서에서 브리지 보안을 업계의 오랜 과제로 꼽았고, 반복되는 사고가 기관의 디파이 참여 의욕을 누르고 있다.

쓰는 거래소 입장에서 확인할 것은 구체적이다. 손실이 나면 누구 돈으로 메우는지, 보호기금이나 준비금 규모가 공개돼 있는지, 사고 때 출금이 얼마나 멈췄는지다. 바이낸스 사례는 이용자가 아니라 거래소 재무가 손실을 졌지만, 그 재무가 63억 달러를 감당할 수 있었는지는 사고가 난 뒤에야 시험대에 올랐다.

결국 이번 숫자가 가르쳐 준 것은 하나다. 57센트는 업계가 해킹에 쓰는 평균 비용이고, 올해의 역전은 그 평균 위에 초대형 사고 하나가 얹힌 결과다. 두 값을 같은 기준으로 읽지 않는 한, 어느 쪽도 내 자산이 얼마나 안전한지는 말해 주지 않는다.