Yellow.com

겉으로 보이는 숫자만 보면 참담하다. 2026년 들어 공식 집계된 288건의 공격으로 암호화폐 업계는 이미 22억달러를 잃었다. 절도, 취약점 악용, 사회공학 공격을 모두 합친 규모로, 역대 최악의 해가 재연될 수 있는 궤도에 올라섰다는 평가가 나온다.

그러나 이 headline 속에 거의 주목받지 못한 역설적인 변화가 숨어 있다. 2021~2023년 해킹 이슈의 중심이었던 디파이(DeFi) 프로토콜이 더 이상 해커들의 ‘1순위 사냥터’가 아니라는 점이다.

위협 지형 자체가 이동했다. 중앙화 인프라, 크로스체인 브리지, AI(인공지능)를 활용한 사회공학 공격이 이제 개별 사건 기준으로 가장 큰 손실을 내는 영역이 됐다. 반면 스마트 컨트랙트 개발·검증 툴이 고도화되면서 전통적인 재진입(reentrancy), 플래시론(Flash Loan)형 공격은 뚜렷이 감소세다.

22억달러가 실제로 어디에서, 어떤 방식으로 유출됐는지를 이해하는 일은 2026년 말 이 시장을 통과해야 하는 기관 투자자, 프로토콜 팀, 개인 투자자 모두에게 핵심적인 의미를 갖는다.

핵심 포인트(TL;DR)

2026년 288건의 해킹으로 22억달러가 유출됐지만, 손실 구성이 ‘순수 디파이 스마트 컨트랙트 취약점’ 중심에서 뚜렷이 벗어나고 있다.
중앙화 거래소 인프라, 크로스체인 브리지 취약점, AI 기반 사회공학이 올해 단일 사건 기준 최대 손실의 주된 원인으로 부상했다.
정형 검증(formal verification) 도입 확산, 다중 감사, 온체인 모니터링으로 2021~2023년을 지배했던 전형적인 디파이 공격 유형의 빈도가 실질적으로 줄었다.
누적 손실이 커질수록 규제 당국의 관심도 급격히 높아지며, 보안 실패와 규제·컴플라이언스 강화 사이에 피드백 루프가 형성되고 있다.
새로운 체인·크로스체인 메시징·AI 생성 코드가 늘면서 방어 기술의 확산 속도보다 공격 표면의 확장이 더 빠르게 진행 중이다.

22억달러, 과거와 비교하면

22억달러라는 숫자를 역사적 맥락에서 보려면 집계 방식 차이를 먼저 짚어야 한다. 체이널리시스(Chainalysis)는 사기(scam) 수익까지 포함해 ‘암호 범죄’ 피해를 정의하는 반면, CryptoRank, PeckShield 등 온체인 분석·모니터링 업체는 주로 취약점 악용(exploit) 위주로 집계한다.

이번 분석에서 사용하는 22억달러는 피싱, 러그풀, 투자 사기 등을 제외한 ‘프로토콜 및 인프라 직접 공격’ 피해액만을 의미한다. 이 기준으로 보면 2026년은 이미 2025년 연간 피해를 상회하는 흐름이며, 체이널리시스 기준 2023년 한 해 집계된 27억달러에 근접하고 있다.

사건 건수 측면에서도 변화가 뚜렷하다. 2026년 9월 말까지 집계된 288건의 공격은 CryptoRank 데이터베이스 기준 2024년 연간 약 230건을 이미 넘어섰다.

평균 피해액도 커졌다. 2026년 사건당 평균 손실은 약 760만달러로, 2023년 전체 평균 약 520만달러 대비 크게 뛰었다. 잦은 ‘소액 털이’는 여전히 이어지고 있지만, 사건당 평균 심각도(severity)가 명백히 높아졌다는 의미다.

이는 공격자의 구조적 수준이 한 단계 올라갔음을 시사한다. 잘못 설정된 컨트랙트를 노린 소규모 스크립트형 기회주의 공격은 여전히 존재하지만, 더 이상 전체 피해 규모를 좌우하지 않는다. 2026년 주요 사건들은 수주~수개월에 걸친 정찰(reconnaissance), 다단계 공격 체인, 그리고 여러 사례에서 정형 감사(formal audit)를 통과한 코드의 ‘엣지 케이스’를 찾아내기 위한 AI 기반 코드 분석이 동원된 것으로 나타났다.

함께 읽기: 폴리마켓 버그, 비밀번호 없이 계정 접속 허용했다

돈은 어디로 갔나: 공격 벡터별 쪼개보기

2026년 해킹 지형에서 가장 중요한 구조 변화는 대형 손실이 개별 스마트 컨트랙트 버그에서 인프라 레벨 침해로 이동하고 있다는 점이다.

PeckShield의 분기별 트래킹에 따르면 2026년 1~3분기 기준 전체 손실액의 약 34%가 중앙화 거래소 인프라와 커스터디 지갑 시스템에서 발생한 것으로 추정된다. 2023년 연간 약 18% 수준이었던 것과 비교하면 큰 폭의 상승이다.

두 번째로 큰 공격 벡터는 여전히 크로스체인 브리지다. 로닌(Ronin), 노마드(Nomad) 사태 이후 수년간 분석이 이어졌음에도, 브리지 보안의 경제학은 근본적으로 개선되지 못했다. 브리지는 막대한 가치를 소수의 스마트 컨트랙트에 집중시키는 구조다. 이 컨트랙트들은 암호학적 증명 검증, 멀티시그 서명 임계값 로직, 유동성 관리까지 동시에 처리하면서도, 누구나 접근 가능한 퍼미션리스 시스템을 유지해야 한다.

DeFiLlama 데이터에 따르면, 브리지 관련 손실은 2026년 3분기까지 4억8천만달러를 넘어 전체 해킹 손실의 약 22%를 차지했다.

크로스체인 브리지는 2021년 이후 누적 기준으로 단일 카테고리 중 가장 큰 금액을 잃은 영역이 됐다. 관련 사건들을 모두 합치면 브리지에서만 38억달러 이상이 유출됐다.

반면 ‘스마트 컨트랙트 취약점’ 자체를 노린 공격, 다시 말해 인프라나 키 관리 실패가 아니라 프로토콜 레벨 코드 논리상의 버그를 겨냥한 공격은 2026년 전체 손실에서 차지하는 비중이 줄었다. 배포되는 컨트랙트 수가 계속 늘어나는 만큼 건수 기준으로는 여전히 다수이지만, 전체 피해액에서의 기여도는 감소하는 추세다. 바로 이 점이 22억달러라는 숫자만 봐서는 놓치기 쉬운, 역설적인 변화다.

함께 읽기: “상원, Clarity Act 부결한 날 크립토가 승리했다”는 세일러

왜 디파이 스마트 컨트랙트 해킹은 줄었나

디파이 스마트 컨트랙트 해킹 피해 감소를 ‘보안 문화 성숙’만으로 설명하는 것은 과장이다. 보다 정확히는 몇 가지 구체적인 툴·시장 구조 변화가 잘 자본화된 프로토콜을 상대로 한 ‘순수 코드 공격’의 비용을 꾸준히 끌어올린 결과다.

첫째, 정형 검증(formal verification) 도입이 의미 있게 가속했다. Certora Prover, Runtime Verification의 K 프레임워크 같은 도구는 한때 학술·니치 영역에 머물렀지만, 이제 기관 자금을 유치하려는 프로토콜에 사실상 ‘출시 전 필수 절차’로 자리잡고 있다.

2025년 Electric Capital 개발자 리포트에 따르면 TVL 5천만달러 이상 디파이 프로토콜 가운데 최소 한 차례 이상 정형 검증을 진행한 비율은 2022년 약 12%에서 2025년 말 40%를 넘겼고, 2026년 들어서도 꾸준히 상승 중이다.

정형 검증과 최소 두 곳 이상의 독립 감사까지 마친 프로토콜은 동일 TVL 기준 비검증·비감사 프로토콜 대비 성공적인 스마트 컨트랙트 해킹이 약 70% 적게 발생한 것으로, DeFiLlama의 사건 데이터베이스에서 확인된다.

둘째, 온체인 실시간 모니터링이 상위 프로토콜의 사실상 기본 옵션이 됐다. Forta Network, OpenZeppelin Defender, Gauntlet의 실시간 파라미터 관리 같은 서비스는 온체인 상에서 의심 거래가 멤풀에 등장한 직후 수 초 안에 컨트랙트를 일시 중단하거나 이상 징후를 포착하는 ‘자동 서킷 브레이커’를 구현한다.

2025년 벌어진 여러 대형 사건에서 자동 일시중단 트리거 덕분에 이론적 최대 손실의 일부만 실제로 실현되는 사례가 반복됐다. 500만달러 규모 버그 바운티와 30초 이내 일시중단 메커니즘이 있는 프로토콜을 공격하는 경제성은, 공격자 입장에서 뚜렷이 악화됐다.

함께 읽기: Sui 1달러 접근… 거래량·미결제약정은 경고등 켰다

새 공격 표면: AI 보조형 취약점 발굴

2026년 사건 보고서에서 가장 두드러진 ‘신종’ 위협은 대형 언어모델(LLM)을 활용한 취약점 탐색 단계의 자동화·규모 확대다. 이는 단순한 가정이 아니라, 이미 현실에서 관측된 현상이다.

2026년 온체인 포스트모템과 보안 커뮤니티에 공개된 분석 다수는 AI 보조 정적 분석 패턴과 일치하는 공격 양상을 보여줬다. 사람이 수일은 들여야 할 수준의 코드 범위를 단시간에 스캔하고, 여러 잠재적 취약 경로를 동시에 탐지한 정황이 포착된 것이다.

스마트 컨트랙트 감사 전문 업체 트레일 오브 비츠(Trail of Bits)는 2026년 2분기 연구 노트를 통해 LLM 기반 코드 분석 도구가 퍼블릭 모델을 파인튜닝한 형태만으로도 솔리디티(Solidity) 코드 내 특정 유형의 정수 오버플로, 접근 제어 취약점을 자사 인력보다 빠른 속도로 대량 탐지할 수 있음을 보여줬다. 방어 측 보안 연구자들이 쓰는 도구는, 동시에 공격자에게도 동일하게 개방돼 있다.

AI 보조 취약점 스캐닝은 분당 수만 줄의 솔리디티 코드를 처리하며, 사람이 며칠은 걸릴 취약 경로 탐색을 단시간에 끝낸다. 취약점 발굴 단계의 경제학을 근본적으로 뒤집는 변화다.

이 때문에 ‘감사 완료 = 안전’이라는 스냅샷형 보안 모델은 점점 설득력을 잃고 있다. 2026년 1월 완벽에 가까운 감사를 통과한 코드베이스라도, 9월에는 AI를 활용한 공격자가 같은 코드를 몇 시간 만에 재분석해 당시 감사에서 놓친 엣지 케이스를 찾아낼 수 있다.

업계의 방어 전략인 상시 모니터링과 정형 검증 확대는 방향성은 옳지만, 아직 충분히 널리 도입되지 못했다. 보안 툴 체계가 최소한인 상태로 출시되는 신규 체인·프로토콜은 여전히 고위험 상태에 놓여 있다.

함께 읽기: 비탠서, 300달러 돌파… AI 테마 다시 쏠리는 시선

중앙화 거래소 보안: 과소평가된 약한 고리

(이후 내용은 원문이 여기서 중단된 관계로 생략됨) 2026년 한 해 동안 발생한 사건들을 돌아보면, 탈중앙 프로토콜이 유독 위험하고 중앙화 거래소(CEX)는 “기관급 보안”을 제공한다는 내러티브는 완전히 힘을 잃었다. 올해 CEX 관련 손실은 전통적인 핫월렛 해킹을 넘어, 임직원 계정 탈취, 서드파티 API 연계, 대형 거래소의 콜드월렛 관리에 쓰이는 커스터디 인프라까지 정교하게 파고드는 공격이 두드러졌다.

2026년 9월 발생한 Polymarket 벤더 침해 사례는 새로운 CEX 위협 모델을 상징적으로 보여준다. 당시 공격자는 프로토콜 자체의 취약점을 노린 것이 아니라 서드파티 연계를 통해 피싱으로 약 290만 달러를 이용자 지갑에서 탈취했다. 침해를 당한 것은 거래소 본체가 아니라 외부 공급업체였다. 이처럼 3자 서비스 제공업체라는 ‘외곽 경계’를 발판으로 플랫폼 내부로 진입하는 패턴은 2026년 여러 대형 사건에서 반복되며, 수십 년간 전통 금융 인프라를 괴롭혀온 공급망 공격(supply chain attack)과 닮은꼴 양상을 보이고 있다.

2026년 CEX 손실에서 서드파티·공급망 공격이 차지하는 비중은 전통적인 핫월렛 직접 해킹을 앞질렀다. 2024년 이전까지와는 정반대의 구도가 형성된 것이다.

기관 커스터디 체계도 구조적으로 유사한 도전에 직면해 있다. 다자간 연산(MPC) 지갑과 HSM(하드웨어 보안 모듈)은 키 강탈의 난이도를 높였지만, 승인 워크플로, 키 세리머니 참여, 비상 복구 절차를 둘러싼 ‘인간의 프로세스’는 여전히 사회공학 공격에 취약하다. 마스터카드가 인수한 사이퍼트레이스(CipherTrace)는 2025년 업계 브리핑에서, 거래소 운영 인력을 표적으로 한 사회공학 공격이 중앙화 플랫폼 침해 가운데 가장 빠르게 늘어나는 유형이라고 지적했다.

브리지 보안: 스스로 해결되지 않을 4억8천만 달러짜리 난제

크로스체인 브리지는 업계에서 가장 풀기 어려운 보안 과제로 남아 있다. 그 이유는 브리지가 시장에서 평가받는 핵심 가치—탈신뢰성(trustless), 무허가성(permissionless), 자본 효율적인 체인 간 자산 이동—이 보안성에 필요한 속성과 근본적으로 충돌하기 때문이다. 멀티시그 위원회가 언제든 멈출 수 있는 브리지는 보안성은 높지만 탈중앙성은 떨어진다. 반대로 검증인 위원회 대신 암호학적 라이트 클라이언트 증명을 쓰는 브리지는 신뢰 가정이 강해지는 대신, 그 복잡한 검증 로직 자체가 새로운 공격면을 형성한다.

2026년 시장을 양분한 두 가지 브리지 아키텍처—임계치 서명(threshold signature)을 쓰는 외부 검증형 브리지와 영지식증명(ZK) 기반 유효성 증명 브리지—는 모두 굵직한 해킹을 겪었다. 외부 검증형 모델은 검증인 세트의 담합 또는 일부 검증인 계정 탈취에 취약하고, ZK 브리지 모델은 전통적 도구로 감사하기 매우 어려운 복잡한 회로(verification circuit) 버그가 치명적 약점으로 드러났다.

어느 브리지 구조도 대규모 손실에서 자유롭지 못했다. 2021년 이후 발생한 15건의 최대 규모 브리지 사고 가운데 8건은 외부 검증형 시스템, 5건은 ZK 또는 옵티미스틱 증명 시스템에서 발생했다. 나머지 2건은 하이브리드 설계였다.
LayerZero, Wormhole, Axelar는 2025~2026년 기간 동안 총 1,500만 달러를 웃도는 현상금 프로그램, 서드파티 회로 감사, 모니터링 고도화 등 대규모 보안 투자에 나섰다.

DeFiLlama의 사고 추적 데이터에 따르면 이들 주요 브리지에서는 2026년 들어 대형 손실이 보고되지 않았다. 투자 효과가 가시화되고 있다는 신호로 해석된다. 반면, 신생 체인을 겨냥한 중소형 브리지 생태계에는 이 같은 수준의 보안 투자가 거의 이뤄지지 않았고, 해당 소형 브리지들이 2026년 전체 사고 건수에서 과도한 비중을 차지하고 있다.

온체인 회수율: 실제로 얼마나 회수되고 있나

총 22억 달러라는 숫자보다 훨씬 적게 조명되는 지표가 바로 ‘회수율’이다. 탈취된 가상자산이 모두 영영 사라지는 것은 아니다. 온체인 추적 가능성—범죄자에게는 불편하지만 현금 대비 압도적으로 투명한—이라는 역설적 특성 덕분에, 상당 비율의 공격 자금이 동결되거나 협상, 화이트햇 보상 구조를 통해 회수되고 있다.

체이널리시스(Chainalysis)는 2026년 중간 보고서에서 스마트컨트랙트 버그를 노린 프로토콜 레벨 공격(즉, 프라이빗 키 탈취가 아닌 경우)의 회수율이 22~27% 수준까지 개선됐다고 밝혔다. 2021년 8~12% 수준에서 두 배 넘게 오른 수치다.

이 개선 뒤에는 구조적 변화가 있다.
– 전체 탈취액의 10~20%를 ‘무조건 지급’하는 화이트햇 보상 관행 확산
– 믹서 경유 자금 추적 역량을 갖춘 수사당국의 증가
– 2023년 토네이도캐시(Tornado Cash) 제재로 대규모 온체인 세탁 수단의 가용성이 축소된 점 등이 꼽힌다.

체이널리시스의 방법론을 공개 사고에 적용하면, 2026년 발생한 22억 달러 손실 가운데 약 4억8천만~6억 달러는 회수 가능하거나 이미 동결된 것으로 추정된다.

반면, 중앙화 사업자의 프라이빗 키가 유출된 사건에서는 회수율이 극단적으로 낮다. 탈취 자금이 규제 밖 오프체인 레일을 통해 재빨리 이동해버리기 때문에, 자금 동결 명령이 내려질 시간적 여유 자체가 부족하다. 이 차이는 생태계의 ‘순손실’을 이해하는 데 핵심적이다. 22억 달러라는 총액은 회수분을 감안하면 실현 손실을 과장하는 면이 있다. 그러나 개별 피해자 입장에서는, 수개월~수년 걸릴지 모를 회수 절차를 기다릴 여력이 없다는 점에서, 이 ‘총액’이 곧 체감 손실이기도 하다.

규제의 반격: 22억 달러가 바꾸는 컴플라이언스 기준선

이 정도 규모의 보안 손실은 규제 공백 상태에서 발생하지 않는다. 연준(Fed)이 2026년 9월 제안한 전액 준비금(full-reserve) 스테이블코인 규제안에는 스테이블코인 인가를 원하는 모든 기관에 대한 보안 감사 의무가 명시됐다. 2026년 해킹 피해액이 강화된 운영 리스크 기준의 근거로 직접 인용된 것이다. SEC와 CFTC 역시 암호화폐 거래소 등록 요건 범위를 논의하는 과정에서 2026년 사고 통계를 여러 차례 언급했다.

EU에서는 2024년 말 전면 시행된 암호자산시장규제(MiCA)가 플랫폼 보안 기준을 사실상 재정의했다.
MiCA 70조는 인가 받은 암호자산 서비스 제공자(CASP)에 대해, 리스크에 비례하는 충분한 기술·조직적 통제 수단을 요구하며, 구체적으로는 핫월렛 익스포저 상한, 24시간 이내 사고 보고, 서드파티 보안 평가 등을 의무화했다. 유럽은행감독청(EBA)은 2026년 1분기 발표한 가이드라인에서 CASP가 최소 연 1회 외부 침투 테스트를 실시하고, 문서화된 사고 대응 매뉴얼을 유지해야 한다고 못 박았다.

MiCA 준수 요건은 유럽 이용자를 대상으로 하는 모든 플랫폼에 사실상의 ‘최저 보안 기준’을 설정했다. 이 기준은 이제 미국 규제당국이 향후 국내 규제 설계 시 참고할 벤치마크로 거론되고 있다.
규제의 방향성은 분명하다. 22억 달러 손실은 보안 감사 의무화, 빠듯한 사고 공시 기한, 나아가 디파이와 중앙화 플랫폼 모두에 대한 최소 준비금·보험 의무 도입을 재촉할 것이다. 이미 이 기준을 선제적으로 상회하는 프로토콜은 규제 리스크가 상대적으로 낮지만, 보안을 ‘출시 후 최적화 과제’로 보는 프로젝트는 향후 규제와 마찰을 피하기 어렵다.

데이터가 말해주는 ‘실제’ 안전한 프로토콜

프로토콜의 보안을 홍보 문구가 아닌 실적 기반으로 평가하려면 데이터 중심의 프레임워크가 필요하다. 2025~2026년 사이 여러 온체인 분석 플랫폼이 각기 다른 방법론의 보안 점수 체계를 내놨지만, 어떤 요인이 익스플로잇 리스크를 가장 잘 예측하는지에 대해서는 대체로 비슷한 결론에 수렴한다.

가장 포괄적인 공개 1차 데이터로 평가받는 DeFiLlama의 해킹 데이터베이스에 따르면, TVL(락업 자산) 집중도, 코드 복잡도, 마지막 감사 시점 경과 기간이 TVL 1달러당 손실 빈도를 설명하는 핵심 변수로 꼽힌다. 단일·소수(5개 미만) 스마트컨트랙트에 5억 달러 이상 TVL이 몰려 있고, 마지막 감사 이후 18개월 이상 경과한 프로토콜은, TVL이 분산돼 있고 모듈형 아키텍처를 채택하며 상시 감사 관계를 유지하는 프로토콜보다 손실 발생률이 유의미하게 높았다.

감사 빈도와 형식 검증(formal verification) 적용률이 상위 10%에 속하는 프로토콜은 2026년 3분기까지 DeFiLlama가 집계한 사고 가운데 100만 달러 이상 규모의 스마트컨트랙트 익스플로잇을 단 한 건도 기록하지 않았다.

단, 감사의 ‘질’은 천차만별이다. Trail of Bits, OpenZeppelin, Halborn처럼 평판이 검증된 업체의 단 한 번의 감사가, 경험이 부족한 감사사 세 곳의 보고서보다 훨씬 높은 예측력을 지닌다. 암호화폐 보안 감사 시장은 여전히 규제 사각지대에 놓여 있고, 표준화된 자격 제도도 없어, 프로젝트 입장에서는 감사사의 트랙레코드와 전문성을 직접 검증해야 하는 숙제가 남아 있다.마케팅 자료에 ‘감사(audited)’ 문구를 내세우는 프로토콜이라 해도, 실제로는 정교한 포멀 베리피케이션(형식 검증)을 거쳤을 수도 있고, 단순 자동 스캐닝 수준의 점검만 받았을 수도 있다. 기관 투자자들은 프로토콜 실사 과정에서 감사의 수준과 범위를 점점 더 세분화해 평가하고 있으며, 규제 당국이 감사 품질 기준을 제도화할수록 이 구분은 더욱 뚜렷해질 가능성이 크다.

Also Read: 비트코인, 결정적 구간에 접근하다: 새로운 강세장이 시작될까?

앞으로의 전망: 다음 10억 달러는 어디서 새어 나올까

2026년 연간 최종 해킹 피해 규모가 어디에 수렴할지, 그리고 2027년의 핵심 공격 벡터가 어디에서 출현할지를 가늠하려면, 구조적 요인 가운데 어떤 것은 개선되고 있고 어떤 것은 악화되고 있는지부터 짚어봐야 한다. 낙관론자와 비관론자 어느 쪽도 현재의 복합적인 그림을 온전히 반영하지 못하고 있다.

긍정적인 변화로는 포멀 베리피케이션 도입률 상승, 상시 모니터링 툴 고도화, 버그바운티 제도 표준화, 그리고 탈취 자금의 추적·동결에 나서는 사법 당국의 역량 강화 등이 꼽힌다. 다만 이런 개선은 주로 시장 상단부에 집중돼 있다. 막대한 재무 자산과 기관급 고객 기반을 보유하고, 평판을 지키기 위해 보안에 자본을 투입할 유인이 있는 프로토콜들이다. TVL 기준 상위 20개 디파이 프로토콜은 지난 3년 동안 운용 자산 대비 해킹 손실 비중이 꾸준히 감소하는 흐름을 보여 왔다.

반대로 악화되고 있는 지점도 분명하다. 보안 인프라가 거의 갖춰지지 않은 신규 체인의 난립, 방어자와 공격자 모두가 활용 가능한 AI 기반 취약점 탐지 도구의 확산, 크로스체인 메시징 프로토콜이 만들어내는 공격 표면의 확대, AI 에이전트가 관리하는 지갑과 자동화된 디파이 전략의 증가로 인한 새로운 키 관리 리스크 등이 그것이다. **블랙록(BlackRock)**이 2026년 9월 보고서에서 AI 에이전트가 스테이블코인 수요를 견인할 것이라고 진단한 방향성은 타당하지만, 동시에 이들 에이전트가 온체인에서 자율적으로 트랜잭션을 실행하는 환경 자체가, 현행 보안 툴링이 전제하지 않았던 새로운 공격 표면이라는 점은 여전히 충분히 이해되지 못하고 있다.

현재 추세가 이어질 경우, 2026년 연간 해킹 피해액은 28억~32억 달러 사이에서 마감될 가능성이 크다. 특히 4분기에는 브리지와 중앙화 거래소(CEX) 인프라 관련 사고가 단일 사건 기준으로 가장 큰 피해를 야기할 공산이 크다.

AI가 생성한 코드, 멀티체인 배포 복잡성, 그리고 프로토콜 생태계 ‘롱테일’ 구간에서 만성적으로 부족한 보안 검토 자원이 겹치는 지점이야말로 다음 대형 시스템 리스크가 터져 나올 가장 설득력 있는 진원지다. 상위권 디파이 프로토콜의 구조적 보안 수준이 실제로 개선되고 있다는 점은 분명하고, 그 점은 인정할 필요가 있다. 그러나 생태계 전체의 성장 속도가 보안 문화의 성숙 속도를 앞지르고 있고, 2026년 9월까지 집계된 22억 달러의 피해액은 그 격차를 보여주는 가장 직관적인 데이터다.

리스크의 무게중심이 이동했다

2026년 들어 집계된 22억 달러 규모의 암호화폐 해킹 피해는 단순히 과거 패턴의 연장이 아니다. 이는 산업 전반의 취약 지점이 구조적으로 이동하고 있음을 보여준다. 전통적인 개별 스마트컨트랙트 버그보다는 인프라 레벨의 침해, AI를 활용한 공격, 그리고 크로스체인 연결성이 만들어낸 넓어진 공격 표면으로 리스크의 축이 옮겨가고 있다. 2021~2023년 사이 최악의 헤드라인을 장식했던 디파이 프로토콜들은, 전체적으로 보면 보안 태세를 눈에 띄게 끌어올렸다. 취약한 고리는 이제 다른 곳에서 나타나고 있다.

투자자, 프로토콜 팀, 규제 당국이 함께 주목해야 할 핵심 메시지는 ‘전통적인 디파이 해킹의 빈도가 줄고 있다’는 사실이 곧 생태계 전체가 더 안전해졌다는 의미는 아니라는 점이다. 리스크는 단지 기술 스택의 다른 레이어로 옮겨갔을 뿐이며, 그 레이어는 방어 체계가 상대적으로 덜 성숙했고, 경우에 따라서는 초기 디파이보다 더 많은 가치가 집중돼 있다. 브리지, 중앙화 인프라, AI 에이전트 실행 환경, 그리고 적절한 보안 툴링 없이 매년 수백 개씩 등장하는 신규 체인들이 2027년의 공격 표면을 구성하고 있지만, 실제 보안 투자는 리스크가 축적되는 속도를 따라가지 못하고 있다.

2026년의 손실에 대한 규제 대응은 이미 가시화되기 시작했다. 미카(MiCA) 준수 의무, 연준의 스테이블코인 보안 관련 제안, 미 SEC·CFTC의 집행 기조 변화 등이 그것이다. 이 같은 압박은 규제 준수권 시장 참여자들의 보안 투자를 가속시키겠지만, 규제의 사각지대에서 운영되는 비준수 프로토콜 이용자를 보호하는 데에는 거의 도움이 되지 않을 것이다. 22억 달러라는 숫자는 2026년 12월 31일까지 더 커질 가능성이 거의 확실하다. 남은 질문은 산업의 방어 인프라, 포멀 베리피케이션, 상시 모니터링, 그리고 기관급 보안 문화가 다음 시스템 쇼크가 오기 전에 이 궤적을 뒤집을 만큼 빠르게 확장될 수 있느냐는 것이다.

2026년 암호화폐 해킹 피해 22억달러… 디파이 스마트 컨트랙트 해킹은 오히려 줄었다