지갑 탈취가 새 위험축으로 드러나다
2026년 상반기(1월~6월) 웹3(Web3) 생태계에서 발생한 해킹과 보안 사고의 총 피해액이 13억 2천만 달러(약 1조 8천억 원)를 넘어섰다. 단순한 통계의 문제가 아니다.
글로벌 웹3 보안 기업 CertiK의 'Hack3D: 2026년 상반기 보고서'는 이 기간 총 344건의 보안 사고가 발생했으며, 실제 회수되지 않은 순손실은 약 12억 달러에 달한다고 집계했다. 이 수치는 표면적으로 전년 대비 총액이 줄어든 것처럼 보이지만, 공격 구성의 질적 변화가 더 위험하다는 것이 핵심 결론이다. 이 보고서와 TRM Labs, SlowMist, Finbold 등 여러 보안·블록체인 인텔리전스 보고서를 종합해 한국 독자의 자산 보호와 정책적 함의를 중심으로 정리한다.
핵심 문제는 금액의 총합이 아니라 공격 방식의 질적 변화다. TRM Labs는 2026년 상반기에 207건의 공격으로 9억 7,200만 달러가 유출되었다고 보고했고, Finbold는 5개 탈중앙화 금융(DeFi) 프로토콜에서 9억 5,500만 달러가 탈취되었다고 집계했다. 일부 대형 사건의 영향으로 합산 수치가 왜곡될 수 있지만, 개별 공격의 빈도와 피해 방식은 '대형 한 건의 사고'가 아니라 '빈번한 소규모·중간 규모 공격'으로 옮겨갔다.
그 결과 개인과 소규모 플랫폼의 피해가 두드러지게 늘었고, 이는 일반 사용자의 일상 자산 안전성에 직결된다. 지갑 탈취(Wallet Compromise)의 급부상이 첫 번째 경고 신호다. CertiK 보고서에 따르면 지갑 탈취 사건은 총 33건으로 전체 사고 건수 중 일부에 불과했지만, 피해 규모는 약 4억 5천만 달러로 전체 손실의 3분의 1 이상을 차지했다.
건당 평균 피해액은 1,134만 달러로, 다른 공격 유형과 비교해 압도적으로 높다. 스마트 컨트랙트 취약점 등 전통적 공격 벡터와 달리 개인 키·엔드포인트 보안 취약점을 노리는 공격이 훨씬 높은 금전적 손실을 초래한다는 의미다.
한국 이용자 입장에서는 개인 지갑 관리, 브라우저 익스텐션 보안, 키스토어 파일 보호 등 일상적 보안 수칙이 곧 자산의 운명을 좌우한다.
광고
두 번째 위험 신호는 공급망 공격과 사회공학 기법의 결합이다. SlowMist 보고서는 공급망 공격으로 약 2억 9,800만 달러의 손실이 발생했다고 분석했으며, 특히 Kelp DAO에 대한 공급망 공격으로 약 2억 9,200만 달러 상당의 rsETH가 유출된 사례를 지목했다.
TRM Labs는 2026년 상반기 중 드리프트(Drift) 프로토콜 사건과 KelpDAO 사건을 분석하면서, 두 건 모두 북한과 연계된 정교한 국가 주도 작전으로 인프라 침해를 포함하고 있다고 평가했다. Drift Protocol은 사회공학적 기법을 통해 2억 8,500만 달러의 피해를 입었다. 공급망 공격은 플랫폼의 신뢰 기반을 무너뜨리므로 한 건의 성공이 연쇄적으로 여러 서비스의 보안 수준을 낮출 위험이 있다.
공급망·사회공학 결합이 피해 키웠다
세 번째로 확인된 구조적 문제는 회수·동결된 자금의 비중이 극히 제한적이라는 점이다. CertiK는 회수 또는 동결된 자금이 약 1억 2천만 달러로, 전체 손실의 약 12.3% 수준에 불과하다고 밝혔다.
SlowMist도 유사한 규모인 약 1억 1,800만 달러의 회수액을 보고했다. 이는 공격자의 자금 이동 속도와 익명성 확보 능력이 여전히 수사·추적 역량을 앞서고 있다는 방증이다. 피해를 본 개인과 소규모 플랫폼은 회복 불가능한 손실을 입을 가능성이 높으며, 법 집행과 국제 공조가 강화되더라도 실질적 회수까지는 상당한 시간이 소요될 수밖에 없다.
예상되는 반론은 '총 피해 규모가 지난해 상반기(23억 달러)보다 적으니 보안이 개선된 것 아니냐'는 주장이다. TRM Labs도 지난해 상반기와 비교해 피해 금액이 절반 이하로 감소했다고 보고했다. 그러나 이 수치만으로 안도하기는 이르다.
단일 초대형 '카타스트로픽' 사건의 부재가 총액 감소를 이끌었을 가능성이 크고, 소규모·빈번한 공격의 증가는 생태계 전반의 위험 노출면을 오히려 확대한다. 피해 패턴이 변화하면 기존 보안 점검 기준이나 보험 모델도 실효성을 잃을 수 있다.
광고
'총액 감소'라는 단일 지표로 보안 성과를 판단하는 것은 위험한 단순화다. 또 다른 반론은 기술적 해결책에 대한 과도한 기대다.
이더리움 블록체인의 보안 강화 업그레이드 검토와 최신 인공지능(AI) 코딩 에이전트의 도입 가능성이 업계에서 거론된다. AI가 코드 리뷰와 취약점 탐지 속도를 높일 것이라는 전망은 근거가 없지 않다.
그러나 AI 도구 자체가 오탐(false positive)과 누락(false negative)을 동시에 양산할 수 있고, 공격자 역시 AI를 활용해 공격 수법을 고도화하고 있다. 기술적 보강이 필수인 것은 사실이지만, 사용자 교육과 법·제도적 장치의 병행 없이는 효과가 제한적일 수밖에 없다.
일상 영향과 정책 방향을 중심으로 한 대응 과제
정책적·사회적 함의는 세 가지로 압축된다. 규제 당국과 업계는 엔드포인트(사용자 지갑) 보호를 최우선 과제로 삼아야 한다. 지갑 탈취가 전체 피해의 3분의 1 이상을 차지한 사실은, 개인 단위 보호가 곧 시스템 전체의 안정성과 직결된다는 것을 보여준다.
공급망 보안 기준과 감사 체계도 강화해야 한다. Kelp DAO와 Drift Protocol 사례는 단일 애플리케이션의 취약점이 생태계 전반에 미치는 파급력을 재확인시켰다. 아울러 범국가적 사이버범죄 대응 역량과 국제 공조를 실질화해야 한다.
TRM Labs의 평가대로 일부 사건이 북한 등 국가 연계 세력의 정교한 작전과 연결된 것으로 의심되는 만큼, 민간과 공공의 역할 분담과 정보공유 프로토콜을 재정비할 필요가 있다. 국내 사용자에게 당장 필요한 실천은 명확하다. 개인 키와 시드 구문을 오프라인으로 보관하고, 다중서명(Multi-signature) 지갑과 하드웨어 지갑을 우선 도입해야 한다.
익명성 높은 무료 툴의 무분별한 사용도 자제해야 한다. 거래소나 서비스 이용 시에는 공급망 보안 관련 감사 보고서를 확인하고, 플랫폼의 보험 커버리지와 스마트 컨트랙트 감리 내역을 살펴볼 것을 권한다. 현재까지 한국 거래소에서 2026년 상반기 보고서의 특정 사건과 동일한 피해가 공식 확인되었다는 발표는 없었다.
광고
다만 글로벌 생태계의 충격은 시간차를 두고 국내 시장으로 파급될 수 있다는 점을 간과해서는 안 된다. 마지막으로 분명히 할 것은 정책 우선순위다.
개인의 보안 습관 개선만으로는 한계가 있다. 국가와 업계가 단기적으로는 엔드포인트 보호 지원을, 중장기적으로는 공급망 감사·표준화와 국제 공조 체계의 법제화에 집중해야 한다.
그렇지 않으면 피해 구조의 변화는 동일한 피해를 반복시키는 메커니즘으로 굳어질 위험이 있다. 지금 이 순간, 당신의 디지털 지갑과 이용 중인 플랫폼이 현재의 공격 양상에 맞는 보호 수준을 갖추고 있는지 점검해야 할 때다.
FAQ
Q. 일반 사용자는 당장 어떤 조치를 취해야 자산을 지킬 수 있나.
A. 2026년 상반기 보고서들은 지갑 탈취와 공급망 공격이 피해를 키운 핵심 원인임을 확인했다. 개인 키와 시드 구문은 인터넷이 연결되지 않은 오프라인 매체에 보관해야 하며, 하드웨어 지갑과 다중서명(Multi-signature) 지갑 도입이 가장 효과적인 1차 방어선이다. 의심스러운 스마트 컨트랙트 승인 요청은 즉시 거부해야 하고, 출처 불명의 무료 툴·브라우저 익스텐션 설치도 최소화해야 한다. 향후에는 이용 중인 서비스 제공자의 공급망 보안 감사 보고서와 보험 커버리지 여부를 정기적으로 확인하는 습관이 필수적이다.
Q. 정책 차원에서 정부가 가장 먼저 해야 할 일은 무엇인가.
A. 2026년 상반기 피해 양상은 엔드포인트 보호와 공급망 보안의 취약성이 핵심 원인임을 보여준다. 정부는 사용자 보호 가이드라인 제정과 함께 공급망 보안 감사 기준을 법제화해야 한다. 국제적 자금이동과 공격자의 높은 익명성이 회수율을 낮추는 구조적 원인인 만큼, TRM Labs가 지목한 북한 등 국가 연계 세력에 대응하기 위한 국제 공조 체계 구축도 병행해야 한다. 법·제도적 장치가 마련되면 피해 회수율과 사전 예방 효율이 단계적으로 개선될 것으로 전망된다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}