암호화폐 산업의 안전 논리가 완전히 재작성되었다

저자: 구위, ChainCatcher

만약 지난 몇 년 동안 암호화 산업이 가장 두려워했던 것이 블록체인 스마트 계약의 버그라면, 지금은 프로젝트 측이 더 걱정해야 할 것은: 어떤 직원이 겉보기에는 정상적인 온라인 면접이나 협력 회의에 참석하고 있으며, 안전하지 않은 소프트웨어를 다운로드하고 있다는 것입니다.

10월 29일, 세계 최대 암호화폐 거래소인 바이낸스는 전례 없는 보안 사건을 겪었습니다. 공격자는 다단계 침투를 통해 결국 거래소 내부 지갑 서명 시스템을 제어하게 되었고, 약 634억 달러 규모의 디지털 자산이 영향을 받았습니다.

이번 공격은 전통적인 의미의 스마트 계약 취약점 이용이 아닙니다. 바이낸스가 11월 3일 발표한 초기 조사 보고서에 따르면, 공격자는 이전에 가짜 채용 면접, 악성 소프트웨어, 해킹된 직원 장비 및 내부 AI 도구를 통해 단계적으로 핵심 시스템에 접근할 수 있는 권한을 얻었습니다.

더욱 주목할 만한 것은, 이것이 단순한 고립 사건이 아니라는 것입니다.

9월, Bitget은 약 3억 8750만 달러의 보안 사건을 겪었고, 공격자는 주요 지갑 인프라 백엔드 시스템에 침입하여 권한 제어를 우회하고 자산을 이전했습니다; 10월, Ledger의 일부 동남아 유통 채널에서 유출된 하드웨어 지갑이 악성 구성 요소로 감염되어 사용자 자산이 도난당했습니다; 올해 상반기에는 Kelp DAO와 Drift Protocol과 같은 프로젝트도 수억 달러 규모의 공격을 당했습니다.

스마트 계약에서 중앙화 거래소, 직원 컴퓨터에서 하드웨어 지갑 공급망에 이르기까지, 암호화 산업은 전체 산업 체인을 아우르는 보안 포위 공격을 겪고 있는 것 같습니다.

1. 손실이 가장 큰 취약점, 이미 코드에 있지 않다

암호화 산업이 탄생한 초기 10년 동안, 암호화 산업이 "안전"에 대해 이야기할 때 대부분의 경우 "체인 상 스마트 계약에 취약점이 있는가"에 대해 이야기했습니다. 이는 블록체인 기술의 근본과 관련이 있지만, 현재 대부분의 공격과 파괴는 스마트 계약 외부에서 발생하고 있습니다.

CertiK의 상반기 보고서에 따르면, 손실이 가장 큰 범주는 지갑 침입입니다: 33건, 4억 4400만 달러, 평균 건당 1300만 달러 이상. 피싱이 두 번째로 많았고, 63건, 3억 6600만 달러. 코드 취약점은 204건 발생했지만, 손실의 11.5%에 불과합니다.

"가장 주목해야 할 것은 총액이 아니라 손실의 형태입니다." CertiK의 공동 창립자이자 CEO인 구롱후이는 《포브스》와의 인터뷰에서 상반기 거의 절반의 손실이 Kelp DAO와 Drift Protocol 두 사건에 집중되어 있으며, 총 약 5억 7700만 달러에 달한다고 말했습니다. "이 두 사건은 운영 및 인프라 측면의 실수에서 비롯된 것이지, 전통적인 의미의 코드 취약점이 아닙니다."

그가 제시한 설명은 매우 직접적입니다: "코드에서 취약점을 찾는 것보다, 키 관리, 다중 서명 거버넌스 및 운영 인프라를 공격하는 것이 훨씬 더 높은 보상을 가져옵니다."

이 경로는 이번 달에 반복적으로 시연되었습니다. Ledger의 문제는 칩이 아니라 유통업체에 있으며, 장치가 사용자에게 전달되기 전에 이미 감염되었습니다; Ngrave의 문제는 지갑이 아니라 푸시 알림 공급자가 해킹당했으며, 이후 피싱이 발생했습니다; Polymarket의 문제는 자신의 시스템이 아니라 영국 웹사이트 성능 모니터링 업체의 스크립트에 있습니다; Bloom Trading의 문제는 제3자 모듈의 원격 코드 실행 취약점에 있습니다; 10월 31일, 최소 12개에서 15개의 DeFi 웹사이트 도메인이 동일한 배치의 DNS 해킹에서 위조 사이트로 변경되었습니다.

거버넌스도 예외가 아닙니다. X100은 플래시 론과 함께 거버넌스를 통해 485만 달러를 빼앗겼습니다; Hifi Finance는 Tornado Cash가 자금을 지원하는 주소가 악성 제안을 제출하여 약 100만 달러의 손실을 입었습니다; Yapeswap의 거버넌스 공격은 더욱 간단했습니다—법정 인원을 0으로 설정했습니다.

데이터는 공격 형태의 이동 방향을 드러냅니다: TRM Labs의 글로벌 정책 책임자인 아리 레드보드는 인프라 및 키에 대한 공격이 전체 사건의 15%에 불과하지만, 76%의 손실을 초래했다고 지적했습니다.

하지만 "돈이 어디서 사라졌는가"보다 더 문제인 것은, 사라진 후입니다. 대부분의 프로젝트에 대해 공격을 당하면 사용자와 시장의 신뢰가 회복하기 어려울 정도로 상실됩니다. 심지어 오래된 유명 프로젝트도 예외는 아닙니다.

작년 11월, Balancer는 v2 조합 안정 풀의 반올림 오류로 인해 30분도 안 되는 시간에 1억 2800만 달러를 잃었고, 6개의 체인에 걸쳐 있었습니다. 올해 8월, 한때 700억 달러를 관리했던 이 오래된 프로토콜은 점진적으로 폐쇄를 발표했습니다. 팀은 공개 서한에서 취약점이 발생한 지 거의 1년이 지났지만, 여전히 그것이 후속 채택률에 미치는 영향을 과소평가했다고 인정했습니다: 이후의 모든 협력 커뮤니케이션은 그 취약점을 설명하는 것부터 시작해야 했고, 결과적으로 의사 결정 주기가 더 길어지고 협력 규모가 더 작아졌습니다.

한 번의 취약점으로 인한 비용은 도난당한 금액에 그치지 않습니다. 문제는 다음과 같습니다: 이렇게 명확한 대가가 있음에도 불구하고, 왜 방어선이 함께 두꺼워지지 않았을까요?

2. 기술은 발전하고 있지만, 공격은 더 빨리 달린다

이렇게 심각한 상황은 깊은 생각을 하게 만듭니다: 기술이 발전함에 따라 암호화 산업은 점점 더 안전해져야 하는데, 왜 점점 더 불안해지고 있는 걸까요?

AI는 그 중 가장 주목할 만한 요소입니다. 지난 1년 동안 AI의 발전은 눈부신 속도로 진행되었고, 다양한 모델이 등장했습니다. 수많은 암호화 회사가 AI를 일상 업무 흐름에 통합하는 동안, 해커 집단은 AI를 더욱 능숙하게 활용하고 있습니다.

마이크로소프트는 10월 29일 평가에서 추적한 8개의 북한 해커 조직 중 3개가 AI를 일상 행동에 통합했으며, 4개는 사용 범위를 빠르게 확대하고 있다고 밝혔습니다. 그들은 생성 모델을 사용하여 대량으로 채용 회사를 위조하고, 맞춤형 면접 대화를 만들며, 심지어 직접적으로 취약점 탐지에 도움을 주고 있습니다.

슬로우무브의 창립자인 유시안은 한 사례를 언급했습니다: Moonwell이 178만 달러를 도난당했으며, 문제가 된 코드는 "Co-Authored-By: Claude Opus 4.6"라는 표시가 붙어 있었고, 이는 AI가 생성하여 직접 생산 환경에 병합된 것입니다.

보안 연구원 스테이시 무르는 "암호화 보안은 완전히 망가졌다"고 단언하며, "우리는 상당히 심각한 사이버 보안 군비 경쟁에 들어가고 있다"고 경고했습니다; Bankless의 공동 창립자인 라이언 시안 아담스는 AI가 해커에게 "어두운 초능력"을 부여하고 있으며, "우리에게 남은 시간은 많지 않다"고 경고했습니다. CZ도 "AI 산업은 현재 방어 능력이 공격 능력보다 먼저 출시되지 못하고 있다"고 말하며, 산업은 "AI로 AI에 맞서 싸워야 한다"고 강조했습니다.

더 전방위적인 위험은 에이전트입니다. 구롱후이의 판단은: "지갑 접근 권한을 가진 AI 에이전트는 본질적으로 새로운 고권한 키 소유자입니다. 다른 점은, 그 결정 과정이 외부 입력에 의해 조작될 수 있으며, 이러한 비정상적인 인간은 감지할 수 있을지도 모릅니다. 충분한 보안 제약이 없는 에이전트는 인식하지 못할 수도 있습니다." CertiK는 한 사례를 기록했습니다: 6월, 유명한 차익 거래 봇인 JaredFromSubway가 공격자가 배치한 위조 차익 거래 풀에 유도되어 악성 계약을 자동으로 승인하여 약 750만 달러의 손실을 입었습니다.

하지만 모든 것을 AI 탓으로 돌리면 또 다른 반쪽의 답을 놓칠 수 있습니다. 산업 보안 투자 구조의 부족도 핵심 요소 중 하나입니다. 암호화 프로젝트는 일반적으로 마케팅에 집중하고 보안은 소홀히 하며, 감사 보고서는 종종 체인 업그레이드 후 신속하게 무효화됩니다. "감사를 보고, TVL을 확인하고, APY를 비교하는" 게으른 선별 논리는 완전히 파산했습니다.

Dragonfly의 파트너인 하세브 쿠레시는 또 다른 관점을 제공합니다: 2026년 DeFi에서 도난당한 금액은 연간 약 189억 달러로, 2025년보다 낮아졌지만, 공격 수는 증가했지만 단일 규모는 더 빠르게 감소했습니다—공격자는 더 많은 소형 프로토콜과 폐기된 프로젝트로 전환하고 있으며, 대형 프로토콜은 더 많은 보강을 완료했습니다. 이는 위협이 줄어든 것이 아니라 방어 자원이 고도로 불균형하다는 것을 의미합니다: 상위 기관은 자본을 통해 방어선을 구축할 수 있지만, 긴 꼬리 프로젝트는 맨몸으로 뛰고 있습니다.

방어 자원의 불균형은 그 한 측면일 뿐이며, 다른 측면의 적은 창업 회사의 비용 구조를 따르지 않고, 국가 기계 형태로 운영되는 북한 해커입니다.

Chainalysis의 통계에 따르면, 북한 관련 해커는 2025년에 약 202억 달러를 도난당했으며, 역대 누적 약 675억 달러에 달합니다. 이는 무작위의 군중이 아니라 국가 예산이 있고, 인내심을 가지고 월 단위로 계획하는 행동 체계입니다—UN 전문가 그룹의 보고서는 암호화 도난과 북한의 탄도 미사일 및 핵무기 개발 자금을 연결짓고 있습니다. 공격자가 국가 행위체이고 방어 측이 창업 회사라면, 이 전쟁의 성격은 이미 변화했습니다.

또한 새로운 기준이 새로운 공격 면을 만들어내고 있습니다. 바이낸스 사건에서 공격자는 EIP-7702 계정 추상화 권한 메커니즘을 이용하여 핫 월렛이 악성 계약에 실행 논리를 위임하도록 했습니다—혁신이 한 걸음 나아갈 때마다 공격 면이 한 바퀴 더 확대됩니다.

방어선이 보완해야 할 곳은 점점 더 많아지고 있으며, 보완할 수 있는 창구는 종종 사건이 발생한 후에만 존재합니다.

3. 산업이 "안전"에 대해 다시 논의하다

바이낸스의 11월 3일 초기 조사 보고서는 내부 문제를 드러내며 해커가 사회 공학 공격을 전개한 구체적인 방법을 상세히 공개했습니다. 보고서는 또한 2026년 이후 바이낸스 보안 팀이 57건의 북한 관련 사이버 위협을 탐지하고 차단했으며, 수법은 가짜 채용, 인기 개발 도구로 위장한 악성 소프트웨어, 변조된 소프트웨어 패키지 및 가짜 화상 회의 애플리케이션에 이른다고 밝혔습니다.

산업 논의는 곧 "누가 했는가"에서 또 다른 질문으로 전환되었습니다: 한 직원이 속고, 한 대의 컴퓨터가 무너진 후, 어떤 방어선이 손실 확대를 막을 수 있을까요? 같은 질문은 이번 달의 다른 사건에도 적용됩니다—Ledger의 유통업체, Polymarket의 제3자 스크립트, 10월 31일의 DNS 해킹 사건 등, 진입점은 자신의 시스템에 있지 않았습니다.

CoinEx의 창립자인 양하이포는 이를 세 가지 본래 피할 수 있었던 실수로 귀결했습니다: 개발 및 운영 환경이 충분히 분리되지 않았고, 생산 작업에 두 번째 검증이 없으며, 서명 참여자가 독립적으로 검증되지 않았습니다. 그가 가장 날카롭게 지적한 것은, 만약 각자가 상류 요청을 단순히 신뢰한다면, "다중 서명 구조를 채택하더라도 단일 서명과 다를 바 없을 수 있다"는 것입니다—이러한 조치는 복잡한 기술이 필요하지 않으며, 부족한 것은 규율입니다. AltLayer의 창립자인 YQ의 판단도 유사합니다: 이러한 공격은 스마트 계약 감사의 범위를 초과했으며, 방어자는 직원 단말기, 내부 도구 및 생산 클러스터 간의 전체 작업 흐름을 이해해야 합니다.

하지만 사고를 "몇 가지 저급한 실수"로 단순화하는 것도 위험합니다. 슬로우무브의 창립자인 유시안은 진정한 공격을 당한 후에야 정보 수집, 악성 코드 면역, 신뢰 체인 이용, 수평 투약 및 리스크 관리를 우회하는 방식이 어떻게 결합되는지를 볼 수 있다고 경고했습니다. 이는 APT 과정입니다; "보기에는 조잡한 수단이지만, 적절한 목표와 작업 환경에서 여전히 심각한 결과를 초래할 수 있습니다." BitsLab의 공동 창립자인 루이스는 더 직접적으로 말합니다: 잠금 화면은 이미 감염된 장치의 백그라운드 악성 소프트웨어를 막을 수 없으며, 공격과 방어의 비용은 본래 불균형하며, AI는 이러한 비대칭을 계속 확대할 것입니다.

두 진영은 결론적으로 일치한다: 안전은 더 이상 출시 전 감사 보고서가 제공할 수 있는 것이 아니다. 구융후이는 업계가 이제 "개별 취약점이 악용되는 것을 방지하는 방법"이 아니라 자산의 전체 생애 주기를 아우르는 보호 시스템에 직면해 있다고 말했다. 특정 단계가 침해되더라도 손실을 국소적으로 통제해야 한다. 위가닝은 배포 전 감사를 중심으로 한 관리 모델이 더 이상 적응하기 어렵다고 지적하며, 지속적인 평가, 실시간 모니터링 및 비상 대응이 일상적인 관리에 포함되어야 한다고 강조했다.

한 단계 더 나아가, 이번 사고에서 유일하게 긍정적인 소식이 있다. FBI는 10월 31일 공격을 북한의 TraderTraitor 작전으로 귀속시키고, 비밀경호국 및 국세청 형사 조사부와 함께 수백 개의 관련 주소를 공개하며 THORChain 노드 운영자, 즉시 교환 플랫폼, DeFi 프로토콜 및 블록체인 분석 회사에 관련 거래를 차단할 것을 촉구했다; Tether, Circle 등 발행자는 총 약 30억 달러를 동결했다. 한 거래소에서 사건이 발생하자, 전체 업계의 청산 및 발행 과정이 수십 시간 내에 가동되었다.

하지만 협력이 변화시키는 것은 손실 이후의 분배이지 손실 발생 확률이 아니다. CertiK의 통계에 따르면, 상반기 전체 업계에서 동결되거나 반환된 자금은 1억 1500만 달러로, 13억 1600만 달러 손실의 8.8%를 차지한다; 바이낸스는 이번에 회수 비율이 놀라울 정도로 높았는데, 이는 도난당한 것이 주로 스테이블코인이었고, 발행자가 없는 비트코인과 이더리움이 아니었기 때문이다. 공격자는 여전히 약 240억 달러를 쥐고 있다.

결론

스마트 계약의 취약점에서 직원 장비의 침해, 제3자 서비스 제공자의 침해에서 AI 보조 침투, 거버넌스 공격에서 북한 해커 조직의 장기적 배치까지, 암호화폐 업계는 공격 방식의 심각한 변화를 겪고 있다.

AI는 공격 준비 비용을 더욱 낮추고, 전문화된 공격 조직은 공격의 규모와 지속성을 지속적으로 높이며, 프로젝트 측의 장기적인 보안 투자 부족은 이러한 공격에 더 많은 기회를 제공하고 있다.

어떤 프로젝트의 출금은 즉시 중단될 수 있고, 어떤 비정상 거래는 스테이블코인 발행자에 의해 동결될 수 있으며, 어떤 공격은 사용자 데이터 유출과 내부 시스템 권한 침해만 초래할 수 있다. 하지만 이러한 사건들은 거의 모든 암호화 프로젝트가 안전 경계에 대한 통제를 잃었다는 것을 의미한다.

블록체인은 거래 기록이 변조되지 않도록 보장할 수 있지만, 거래를 시작한 사람이 사기를 당하지 않았다는 것을 보장할 수 없으며, 거래를 서명한 키가 도난당하지 않았다는 것을 보장할 수 없다. 공격자가 코드를 우회하고 사람과 조직을 직접 공격하기 시작할 때, 암호화폐 업계는 진정한 안전이 무엇인지 다시 이해해야 한다.

지난 10년 동안 암호화폐 업계에서 가장 중요한 혁신이 신뢰할 수 없는 제3자를 필요로 하지 않는 가치 이전 시스템을 구축한 것이라면, 앞으로 10년 동안 업계는 또 다른 질문에 답해야 한다: 신뢰할 수 없는 참여자로 가득한 환경에서 사용자 자산과 신뢰를 어떻게 진정으로 보호할 것인가?