2026년 상반기 동안 암호화폐 해커들은 사상 가장 많은 207건의 개별 침해 사건을 일으켜, 사건 수가 두 배 이상 늘어난 가운데 총 9억7,200만 달러를 탈취했다.
핵심 요점
- 2026년 상반기 암호화폐 해킹은 207건으로 사상 최대를 기록했지만, 총 손실액은 9억7,200만 달러로 지난해의 절반 이하로 감소했다.
- 북한 연계 해커들은 2억9,200만 달러 규모의 KelpDAO 익스플로잇과 2억8,500만 달러 규모의 Drift Protocol 도난 사건을 포함해, 탈취 자금의 66%와 연관됐다.
- 인프라와 키 탈취는 전체 사건의 15%에 불과했지만 손실액의 약 76%를 차지해, 업계 전반의 취약한 운영 보안을 드러냈다.
암호화폐 해킹 급증
블록체인 보안 회사 TRM Labs는 2026년 첫 6개월 동안 207건의 암호화폐 해킹을 기록했으며, 이는 해당 회사가 추적한 어느 반기보다도 많은 수치다. 스마트 컨트랙트 익스플로잇이 급증세를 주도해 전체 침해 207건 중 125건, 즉 약 60%를 차지했다. 사건당 손실의 중앙값은 약 21만9,000달러였고, 평균 손실액은 470만 달러를 상회했는데, 이는 소수의 초대형 침해 사례 때문이었다.
그럼에도 총 손실액은 9억7,200만 달러로 줄어, 2025년 같은 기간에 탈취된 23억 달러의 절반 이하에 그쳤다.
공격은 해가 진행될수록 더 거세졌다. 2분기에만 123건의 사건이 발생해 분기 기준 신기록을 세웠으며, 이미 높은 수준이던 1분기를 잇는 흐름이었다.
관련 기사: OpenAI와 Anthropic, SpaceX급 IPO를 원하지만 월가가 부담스러워할 수도
북한이 손실 대부분 주도
TRM Labs에 따르면, 북한 연계 해커들은 상반기 동안 탈취된 약 9억7,200만 달러 가운데 약 66%를 책임졌다.
이는 연초 76%에서 소폭 낮아진 수치이지만, 2020년 전 세계 해킹 손실의 10%도 안 되던 수준에서 꾸준히 증가해 온 흐름의 연장선이다.
4월에 발생한 두 건의 공격, 즉 리스테이킹 프로토콜 KelpDAO와 거래 플랫폼 Drift Protocol을 겨냥한 공격은 합쳐서 5억7,700만 달러를 유출시켜, 해당 그룹에 귀속된 손실 대부분을 차지했다.
KelpDAO 침해만으로도 2억9,200만 달러의 손실이 발생했다. 공격자들은 크로스체인 브리지에서 검증 데이터를 위조해 실질 담보가 없는 토큰을 발행했으며, 블록체인 조사관들에 따르면 탈취 자산은 이후 크로스체인 플랫폼 THORChain을 통해 이동한 뒤 비트코인 (BTC)으로 교환되었다.
이렇게 만들어진 사기성 토큰은 이후 대출 플랫폼 Aave에서 담보로 맡겨졌고, 이 과정에서 Aave의 예치 자산 규모(TVL)는 이틀 만에 수십억 달러가 폭락했다. 이번 익스플로잇으로 플랫폼은 손실이 더 확산되기 전에 관련 시장을 동결해야 했으며, 이 사건은 이미 약세이던 디파이(탈중앙화 금융) 시장의 분위기를 더욱 악화시켰다.
TRM Labs는 스마트 컨트랙트 버그보다 인프라와 커스터디(수탁) 실패가 전체 손실액의 약 4분의 3을 차지한다며, 온체인 복잡성은 커지는 반면 운영 보안은 그에 미치지 못하고 있다고 지적했다.
해킹은 디파이의 어려운 시기를 더욱 가중시켰다. 디파이 프로토콜 전반의 예치 자산(TVL)은 1월 약 1,150억 달러에서 6월 말 약 700억 달러 수준으로 하락해 2년 만의 저점을 기록했다. 트론을 포함한 소수의 주요 블록체인만이 이 기간 가치가 증가했을 뿐, 대부분의 상위 네트워크는 두 자릿수 감소를 기록했다. 같은 기간 비트코인은 28% 이상, 이더 (ETH)는 40% 넘게 떨어져, 예치금 감소에 이미 시달리던 프로토콜에 추가 압력을 가했다.