보안감사 통과한 프로토콜이 오히려 해킹 피해 88.44% 차지…19개월간 36억 달러 증발

가상자산 플랫폼들이 2025년 1월부터 2026년 7월까지 19개월간 해킹 등 보안 사고로 36억 3,000만 달러(약 5조 200억 원, 1달러 1,382원 기준)를 잃었다. 코인게코(CoinGecko)가 8월 27일(현지시각) 공개한 “2026 크립토 보안 현황 보고서(State of Crypto Security Report 2026)”에 담긴 수치다. 245건의 사고 가운데 상위 10건이 전체 피해액의 72.5% 이상을 차지했고, 최대 피해는 바이빗(Bybit) 해킹에서 나왔다. 보고서에 따르면 사전에 독립 보안감사를 통과했던 프로토콜들이 오히려 전체 피해액의 88.44%를 차지한 것으로 나타났다. 같은 기간 온체인 보험의 활성 보장 규모는 20.2% 줄어 1억 3,020만 달러로 축소됐다.

245건 해킹에 36억 달러 증발…최대 피해는 바이빗

코인게코 보고서에 따르면 19개월간 발생한 245건의 보안 사고 중 인프라·공급망 취약점이 가장 피해가 큰 유형으로 꼽혔다. 중앙화 거래소와 탈중앙화 플랫폼을 합쳐 18억 달러(약 2조 4,900억 원) 넘는 손실이 이 범주에서 발생했다.

피해 규모가 가장 큰 사고는 바이빗 해킹으로 14억 3,600만 달러(약 1조 9,800억 원)에 달했다. 크립토뉴스(crypto.news)는 이 공격이 2025년 2월 발생했으며 거래소 스마트컨트랙트 결함이 아니라 거래 서명(transaction-signing) 인프라가 뚫린 사건이라고 설명했다. 이어 켈프다오(KelpDAO) 2억 9,200만 달러, 드리프트 프로토콜(Drift Protocol) 2억 8,500만 달러, 세투스(Cetus) 2억 2,300만 달러, 밸런서(Balancer) 1억 2,800만 달러 순으로 피해가 컸다.

플랫폼 유형별로 공격 양상도 달랐다. 중앙화 거래소(CEX)에서는 개인키 탈취가 가장 흔한 위협으로 꼽혔고, 탈중앙화 애플리케이션(dApp)에서는 스마트컨트랙트 취약점을 노린 공격으로 약 5억 4,600만 달러(약 7,546억 원)의 손실이 발생했다. 오라클 조작과 시세 조작성 공격은 두 유형 모두에서 나타났는데, 비트겟(Bitget)·바이낸스(Binance)·하이퍼리퀴드(Hyperliquid) 등 대형 플랫폼도 피해를 봤다. 코인게코는 북한과 연계된 해킹 조직 등 조직적 범죄 그룹의 개입이 커지고 있다고 지목했다. 특히 북한 연계 공격 2건은 사회공학적 기법과 브릿지 인프라 침해를 통해 약 5억 7,700만 달러(약 7,974억 원)를 빼갔다.

감사받은 프로토콜이 피해 88% 차지…보안감사는 왜 못 막았나

보고서가 가장 강조한 부분은 전통적 보안감사의 한계다. 245건의 사고 중 147건, 약 60%는 공격 전 이미 독립 보안감사를 통과한 플랫폼에서 발생했다. 그런데 이들 플랫폼이 입은 피해가 전체 도난 자금의 88.44%를 차지했다.

감사 범위 안에 있는 스마트컨트랙트 취약점이 직접 원인이 된 사고는 전체의 약 11%에 불과했다. 이 유형의 공격만으로도 약 3억 9,600만 달러(약 5,473억 원)의 손실이 났지만, 나머지 대다수 사고는 외부 인프라, 감사 이후 배포된 코드 업데이트, 거버넌스 메커니즘, 사회공학적 공격 등 감사 범위 밖에서 발생했다. 크립토뉴스는 감사가 특정 시점의 코드 버전을 점검한 “스냅샷”에 불과하며, 감사 이후 변경된 코드는 새로운 취약점을 만들 수 있다고 지적했다. 감사의 실효성은 범위·방법론·감사인의 경험, 개발팀이 발견된 문제를 실제로 해결했는지에 따라 달라진다는 설명도 나왔다.

같은 보도는 리플(Ripple)의 보안 점검 사례를 대조군으로 들었다. 리플은 문제가 될 코드가 사용자에게 배포되기 전 96건의 이슈를 발견해 조치했는데, 감사가 활성화 이전에 이뤄질 경우 손실을 막을 수 있음을 보여주는 사례로 소개됐다. 다만 감사가 상시 모니터링이나 운영 보안을 대체할 수는 없다는 점도 함께 언급됐다. 중앙화 거래소는 탈중앙화 프로토콜식 감사보다는 컴플라이언스 점검과 준비금증명(Proof-of-Reserves) 같은 재무 검증 수단에 의존하는데, 이런 장치는 개인키 탈취나 사회공학적 공격을 막는 데는 큰 효과가 없다고 보고서는 짚었다.

보험은 줄고 해킹은 늘고…거래소는 자체 기금으로 방어

해킹이 늘어나는 사이 온체인 보험 시장은 거꾸로 축소됐다. 주요 크립토 보험 프로토콜의 활성 보장 규모는 1억 6,320만 달러에서 1억 3,020만 달러로 20.2% 줄었다. 누적 보험금 지급액은 약 3,300만 달러(약 456억 원) 수준에 머물렀다. 2026년 8월 기준 추적 대상 9개 온체인 보험 프로토콜 중 5개가 사업을 중단하거나 다른 영역으로 방향을 틀었다. 크립토뉴스는 그 원인으로 높아진 리스크, 비싼 보험료, 자본 제공자 유치의 어려움을 꼽았다.

이런 흐름 속에 중앙화 거래소들은 외부 보험 대신 자체 보호기금을 확대하는 쪽으로 움직이고 있다. 인크립티드(incrypted.com) 보도에 따르면 바이낸스의 세이프자산기금(Binance SAFU) 규모는 약 11억 6,000만 달러(약 1조 6,031억 원), 비트겟 프로텍션 펀드(Bitget Protection Fund)는 약 4억 2,360만 달러, 빙엑스 실드 펀드(BingX Shield Fund)는 약 1억 2,670만 달러, 멕스씨 가디언 펀드(MEXC Guardian Fund)는 약 1억 150만 달러, 위엑스 프로텍션 펀드(WEEX Protection Fund)는 약 7,710만 달러, 투빗 실드 펀드(Toobit Shield Fund)는 약 4,020만 달러 규모로 나타났다.

다만 크립토뉴스는 보호기금이 규제된 보험과 자동으로 동일시될 수는 없다고 짚었다. 보장 범위는 거래소의 약관, 준비금 보관 방식, 자산 구성, 지급 여부에 대한 재량에 따라 달라진다는 것이다. 준비금증명 역시 거래소가 고객 자산에 상응하는 자산을 보유하고 있음을 보여줄 뿐, 안전한 키 관리나 모든 부채의 공시를 증명하지는 않는다고 덧붙였다.

다른 보안업체 집계와 비교하면

코인게코 외 다른 보안 조사기관의 집계도 비슷한 규모의 피해를 보여준다. 서틱(CertiK)은 2025년 한 해 동안 공격자들이 33억 달러(약 4조 5,606억 원)를 훔쳐 갔다고 집계했고, 글로벌레저(Global Ledger)는 2025년 크립토 해킹 손실이 40억 달러를 넘는다고 보고했다. 다만 이들 집계는 조사 대상 기간과 방식이 코인게코 보고서와 다르다.

크립토뉴스는 코인게코가 제시한 36억 3,000만 달러라는 수치가 회수되거나 동결된 자산을 모두 제외한 값인지 명확히 밝히지 않았다고 지적했다. 이 때문에 해당 수치는 확정된 순손실이 아니라 코인게코가 집계한 “피해 추정치”로 봐야 한다는 설명이다. 1억 3,020만 달러 규모의 보험 보장액 역시 특정 시점의 스냅샷 수치인 반면 36억 3,000만 달러는 19개월치 누적 피해액이어서, 두 수치를 단순히 보장 비율로 견줄 수는 없다고 크립토뉴스는 덧붙였다.