11억 8천만 달러 손실 후 암호화폐 감사 결과: “문제는 항상 범위에 있다”

거래소나 프로토콜 웹사이트에 있는 감사 배지는 마치 보증처럼 보입니다. 하지만 보안 회사 해켄(Hacken)은 정작 중요한 순간에 그 배지가 얼마나 부족한지를 밝혀냈습니다. 2026년 3분기 암호화폐 시장 공격으로 107건의 사건에서 총 11억 8천만 달러의 손실이 발생했는데, 그중 9억 680만 달러는 지난 보안 감사에서 전혀 다뤄지지 않았던 요소와 관련된 것이었습니다. 이는 해당 분기 손실의 77%에 해당합니다. 공동 창립자인 안드리 마티우킨(Andrii Matiukhin)은 코인데스크(CoinDesk)와의 인터뷰에서 “문제는 항상 감사 범위에 있다”고 말했습니다.

투자자들에게 감사 보고서가 무의미하다는 의미는 아닙니다. 다만, 감사 인증서는 투자자들이 묻는 질문과는 다른 답을 제시할 뿐입니다. 투자자들은 자신의 자산이 안전한지 알고 싶어합니다. 하지만 일반적으로 감사 보고서는 특정 시점에 특정 스마트 계약이 문제없이 작동했는지 여부만을 검토합니다. 이 글에서는 이러한 격차가 수치상으로 어떻게 드러나는지, 지난여름 이 격차를 극명하게 보여준 사례들은 무엇인지, 그리고 의미 있는 감사 보고서와 형식적인 감사 보고서를 어떻게 구분하는지 살펴봅니다.

107건의 사건에서 11억 8천만 달러의 손실 발생: 해켄이 3분기에 집계한 내용

이 수치는 코인데스크가 2026년 10월 18일에 보도한 감사 회사

해켄 의 분기 보고서에 나와 있습니다 . 107건의 개별 사건으로 인한 피해액은 11억 8천만 달러에 달하며, 이는 2분기보다 55% 증가한 수치입니다. 이러한 증가는 소규모 공격의 수가 늘어난 것이 아니라, 몇몇 매우 큰 규모의 공격 때문입니다.

여기서 감사

란 외부 업체가 프로그램 코드에 대한 보안 검토를 수행하는 것을 의미합니다. 감사자는 소스 코드를 읽고 논리적 오류를 찾고, 예외적인 상황을 테스트한 후 심각도별로 발견 사항을 나열한 보고서를 작성합니다. 최종 보고서에 포함되는 내용은 전적으로 고객이 검토한 내용에 따라 달라집니다. 바로 이 부분이 비판의 핵심입니다.

손실액의 77%는 지난번 감사에서 다뤄지지 않았습니다.

Hacken은 9억 680만 달러의 손실을 세 가지 원인으로 분류했습니다. 첫째, 공급업체 및 개발자 도구의 보안 문제, 둘째, 이미 공개되었지만 아무도 설치하지 않은 보안 수정 사항, 셋째, 마지막 보안 검사에서 범위에 포함되지 않았던 구성 요소입니다.

이 세 가지 경로 모두 감사 대상 계약을 통하지 않습니다. 툴 제공업체의 개발자 계정을 탈취한 공격자는 스마트 계약을 해킹할 필요가 없습니다. 감사에서 검토하지 않은 경로를 통해 접근 권한을 얻기 때문입니다. 마티우킨은 코인데스크와의 인터뷰에서 감사 범위를 작게 유지하는 이유에 대해 “자금과 상호 작용하는 모든 구성 요소의 범위를 엄청나게 크게 설정하는 것은 비용이 많이 든다”고 설명했습니다. 게다가 감사를 받는 회사는 감사 비용을 직접 부담합니다.

공급망 및 개발자 도구: 9억 680만 달러 규모의 공격 경로

이번 분기 최대 규모의 사례에서 이러한 패턴이 드러납니다. 해켄 보고서에 따르면, 공격자들이 타사 보안 제품의 취약점을 악용하여 출금 시스템에 접근한 후, 거래소 비트겟(Bitget) 사용자들은 최소 3억 5200만 달러의 손실을 입었습니다. 공격 대상이 된 제품은 다름 아닌 보안 구성 요소였습니다.

Liquid Network의 피해액은 3억 1,900만 달러, Tectonic은 최소 7,500만 달러로 추산됩니다. Coldcard의 지갑 소프트웨어에서도 약 1억 1,400만 달러의 손실이 발생했습니다. 지난 7월에는 6시간 동안 진행된 공격으로 3개의 브리지와 크로스 블록체인 프로토콜에서 총 3,500만 달러 이상의 손실이 발생했으며, 그중 2,400만 달러는 AFX Trade에서 발생했습니다. 공격자들은 AFX Trade의 검증자 키를 탈취한 것으로 알려졌습니다.

해당 보고서가 발표된 같은 주에 또 다른 사건이 공개되었습니다. Ledger와 CryptoBilis에 연결된 무단 하드웨어 삽입으로 약 9,300만 달러의 피해가 발생한 사건입니다. CoinDesk는 해당 사건이 집계 마감일 이후에 드러났기 때문에 분기별 총액과 별도로 관리하고 있습니다.

감사받은 계약 자체가 문제가 된 것이 아니라, 그 옆에 적힌 내용이 문제였습니다. 해당 분기 손실의 4분의 3이 공급업체, 도구 및 패치가 적용되지 않은 소프트웨어와 관련된 것이었습니다.

스마트 계약 감사에서 다루는 내용과 다루지 않는 내용은 무엇인가?

일반적인 감사에서는 스마트 계약, 즉 예금, 교환 또는 출금을 관리하는 블록체인 상의 프로그램을 살펴봅니다. 검토 대상은 커밋 ID로 특정된 소스 코드의 특정 상태입니다.

일반적으로 브라우저 인터페이스, 그 뒤에 있는 서버, 키를 관리하는 수탁 솔루션, 서명 절차, 가격 오라클, 다른 블록체인과의 연결, 그리고 외부에서 구매한 소프트웨어는 포함되지 않습니다. Hacken은 보고서에서 오라클, 연결, 수탁 시스템 및 서명 권한까지 범위를 넓힐 것을 명시적으로 권고합니다. 이러한 권고가 필요하다는 사실 자체가 일반적인 상황이 어떠했는지를 보여줍니다.

다음으로 시간적 요소가 있습니다. 감사는 특정 날짜의 상태를 설명합니다. 그 이후의 모든 코드 변경 사항은 감사 범위 밖에 있습니다. 따라서 날짜가 없는 배지는 평가하기가 매우 어렵습니다.

네 가지 핵심 요소, 세 가지 서명: Hacken은 12개의 파생상품 거래소를 검토했습니다.

해켄은 보고서를 위해 12개의 파생상품 거래소와 예측 시장을 조사했습니다. 주요 결과는 수탁 구조에 관한 것으로, 보고서에 따르면 두 대형 거래소에서 7억 달러 이상의 담보 가치가 4개의 키 중 3명이 서명해야 하는 방식이나 소유자가 공개되지 않은 관리자 키에 보관되어 있는 것으로 나타났습니다.

마티우킨은 한 가지 점을 분명히 했습니다. “검토 대상 거래소 시스템에서 실제로 작동하는 버그는 발견되지 않았습니다.” 이번 조사의 핵심은 특정 결함이 아니라 시스템 제어의 집중입니다. 거래소에 자금을 맡겨두면 소수의, 어쩌면 알려지지 않은 핵심 관계자들이 올바르게 행동하고 스스로 공격받지 않는다는 사실에 의존하게 되는 것입니다.

심각도 하향 조정: 심각한 결함이 낮은 수준으로 분류될 때

감사 보고서는 권고사항일 뿐 지시사항이 아닙니다. 마티우킨은 코인데스크와의 인터뷰에서 실제 상황에 대해 다음과 같이 설명했습니다. “때때로 심각한 취약점이 팀에 의해 중요도가 낮은 것으로 분류되어 수정 구현이 지연되거나 심지어 거부되기도 합니다.”업계에서는 이러한 조치를

심각도 하향 조정 이라고 부릅니다 . 이는 이미 공개되었고 사용 가능했던 수정 사항들이 해켄의 실패 원인 세 가지에 포함된 이유를 설명합니다. 해당 격차는 이미 알려져 있었고, 감사인은 이를 지적했지만, 설치되지 않았습니다.

실질적인 감사 보고서와 장식용 감사 보고서를 구분하는 기준은 무엇일까요?

제대로 된 감사 보고서에는 네 가지 사항이 명시되어 있어야 합니다. 첫째, 검토 대상 코드의 날짜와 버전 ID. 둘째, 검토 범위에 포함된 구성 요소와 포함되지 않은 구성 요소를 상세히 기술한 목록. 셋째, 심각도별로 분류된 문제점(고객이 수정하지 않은 사항 포함). 넷째, 주요 문제점이 실제로 해결되었는지 확인하는 후속 검토 보고서.

저 중 하나라도 빼면 로고만 남습니다. “감사 완료”와 “보안”은 전혀 다른 의미이며, 해켄의 회계 장부에는 이 둘 사이의 차이가 거의 10억 달러에 달합니다. 보고서의 작성일자가 현재 버전과 일치하는지도 확인해야 합니다. 2년 전 보고서에는 더 이상 존재하지 않는 형태의 소프트웨어가 설명되어 있을 수 있습니다.

독일에서의 보관: 본인 소유 열쇠에 대한 환전 잔액

이 보고서의 실질적인 의미는 여러분의 코인이 어디에 있는지에 관한 것입니다. 거래소 잔액은 해당 회사에 대한 청구권이며, 거래소가 모든 권한을 쥐고 있습니다. 거래소의 인프라가 마비되거나 공격을 받을 경우, 코인을 되찾는 것은 제공업체의 지급 능력과 위기 관리 능력에 달려 있습니다. 바로 그 인프라가 이번 분기 감사 범위에서 제외된 부분입니다.반대 개념은 자체 보관 방식입니다.

하드웨어 지갑 , 즉 개인 키를 오프라인에 저장하고 거래에 직접 서명하는 장치를 사용하면 키가 장치에서 절대 벗어나지 않습니다. 어떤 모델이 어떤 자산에 적합한지, 그리고 관리 및 복구 방식이 어떻게 다른지는

하드웨어 지갑 비교 에서 확인할 수 있습니다 . 같은 주에 발생한 레저(Ledger) 사례에서 알 수 있듯이 이 방식에도 주의가 필요합니다. 기기는 제조업체 또는 제조업체가 지정한 공식 판매점에서만 구매해야 하며, 중고품이나 온라인 마켓플레이스 판매자를 통해서는 절대 구매해서는 안 됩니다.정기적으로 자금을 이체하는 경우라면 거래소를 이용하는 것이 여전히 실용적입니다. 그렇다면 이제 어떤 거래소를 선택하느냐가 관건입니다. EU의 MiCA 규정에 따른 라이선스는 자본 관리, 고객 자산 분리, 그리고 고객 불만 접수 채널을 보장합니다. 독일에서 MiCA 라이선스를 보유한 거래소 목록은

규제 대상 암호화폐 거래소 개요에서 확인할 수 있습니다 . 라이선스가 보안 감사를 대체할 수는 없지만, 문제가 발생했을 때 도움을 받을 수 있는 기준을 제공합니다.

열쇠 네 개, 서명 세 개: 해켄의 말에 따르면, 두 곳의 대형 경매장에서 이러한 방식에 7억 달러 이상이 걸려 있었다.

다음 구매 전에 잠깐 시간을 내어 확인해 볼 세 가지 항목

필요한 노력은 크지 않습니다. 서비스 제공업체 웹사이트에서 감사 보고서를 찾아보고 날짜와 범위가 명시되어 있는지 확인하세요. 해당 날짜를 플랫폼의 마지막 주요 업데이트 날짜와 비교해 보세요. 또한 서비스 제공업체가 보관 방식, 보유 키의 개수 및 소유자를 공개하는지 확인하세요.세 가지 항목 중 어느 하나라도 확인되지 않는다면 그 자체로 중요한 정보입니다. 이는 제공업체가 안전하지 않다는 의미가 아니라, 해당 정보를 검증할 수 없다는 뜻이며, 따라서 해당 거래소에 보관할 잔액을 적절히 조절해야 한다는 것을 의미합니다.

비트코인 이나 기타 자산을 장기간 보유하는 경우, 거래소에 보관하는 것은 바람직하지 않습니다.

4분기의 방향을 결정하는 것은 무엇일까요?

4분기 손실액 감소 여부는 두 가지 상황에 달려 있습니다. 첫째는 감사 범위입니다. 감사가 계약 전체를 대상으로 하고 보관 관련 사항은 제외하는 한, 손실의 77%를 발생시킨 경로는 그대로 유지됩니다. 둘째는 알려진 문제점들을 어떻게 처리하는가입니다. 손실의 일부는 이미 해결책이 마련되어 있던 부분에서 발생했습니다.

둘 다 외부에서 관찰할 수 있습니다. 제공업체가 범위를 넓힌 보고서를 게시하면 확실한 신호입니다. 이전 보고서와 이전 날짜를 그대로 유지한다면, 배지 모양과 관계없이 상황은 아무것도 변하지 않은 것입니다.

암호화 감사: 날짜나 범위가 명시되지 않은 배지는 아무런 정보도 제공하지 않습니다.

해켄 보고서의 교훈을 자신의 포트폴리오에 적용하는 세 가지 단계:

1. 보유 자산을 분산하세요. 일상적인 거래에 필요한 금액만 거래소에 예치하고 나머지는 자체 보관 계좌로 옮기세요. 기기별 차이점은 하드웨어 지갑 비교 에서 확인할 수 있습니다 .
2. 해당 플랫폼을 검토하세요. 고정된 부분에 대해서는 제공업체의 라이선스와 감사 날짜를 확인하세요. 규제 대상 암호화폐 거래소 개요를 통해 독일 MiCA의 감독을 받는 거래소를 확인할 수 있습니다.
3. 공급 경로를 확보하세요. 보관 장치는 제조업체 또는 지정된 판매점에서만 구입하고 직접 설정하세요. 장치와 앱을 비교할 때는 소프트웨어 지갑 비교를 활용하면 도움이 됩니다.