글로벌 최대 규모의 Web3 보안 전문 기업 서티익(CertiK)이 올해 전 세계 가상자산 및 블록체인 생태계의 보안 사고를 종합 분석한 ‘Hack3D: 2026년 상반기 보고서’를 공식 발표했다. 이번에 발간된 보고서에 따르면, 2026년 상반기 동안 Web3 생태계에서 포착된 보안 침해 사고는 총 344건에 달했으며 이로 인한 누적 자금 피해 규모는 약 13억 2000만 달러(한화 약 1조 8000억 원 상당)를 기록한 것으로 집계됐다.
단순 수치상의 전체 피해 액수만 비교하면 지난해 같은 기간과 비교해 약 46.8%가량 감소한 것처럼 보이지만, 서티익은 이를 가상자산 보안 환경의 개선으로 오인해서는 안 된다고 명확히 선을 그었다. 지난 2025년 상반기에 발생했던 글로벌 거래소 바이비트(Bybit)의 14억 5000만 달러 규모 초대형 해킹 사고라는 일시적이고 특수한 변수를 제외하고 통계를 재산출할 경우, 올해 상반기 피해액은 오히려 전년 동기 대비 약 28%나 크게 증가한 것으로 조사됐기 때문이다. 보고서는 사고 발생 건수의 증가와 개별 공격의 파괴력 심화, 고도화된 해킹 기법의 등장 등을 종합적으로 고려할 때, Web3 산업이 과거보다 훨씬 더 정교하고 진화된 전방위적 보안 위협에 직면해 있다고 진단했다.
예외적 수치 착시 지적… 분기별 해킹 활동 기준선 상승세 뚜렷
보고서는 지난해 2월 발생했던 바이비트 해킹 사건이 당시 상반기 전체 누적 피해액의 무려 60%에 육박하는 비중을 차지했기 때문에 기저효과로 인한 통계적 착시가 발생했다고 분석했다. 해당 단일 대형 사건을 제외한 2025년 상반기의 실제 순수 피해액은 약 10억 3000만 달러 수준이었던 반면, 올해 상반기에는 약 13억 2000만 달러로 눈에 띄게 늘었다. 이 중 약 1억 2000만 달러 규모의 탈취 자금이 사후 대응을 통해 동결되거나 회수된 점을 참작하더라도, 최종 조정된 실제 순손실액은 여전히 12억 달러라는 거대한 규모에 달한다.
더욱 심각한 점은 시간이 흐를수록 분기별로 발생하는 해킹 공격의 기준선 자체가 계속해서 높아지고 있다는 사실이다. 실제로 2026년 2분기 동안 기록된 보안 사고 건수는 총 194건으로, 전년 동기(145건) 대비 34%나 급증했다. 여기에 단일 보안 사고가 발생했을 때 입는 피해 규모의 중간값(중앙값) 또한 지난해 같은 기간보다 60.6% 껑충 뛴 약 16만 9000달러를 기록했다. 이는 대형 기관뿐만 아니라 일상적으로 발생하는 중소 규모의 디파이(DeFi) 및 블록체인 프로젝트를 겨냥한 공격조차도 건당 피해 액수가 지속해서 확대되고 있음을 보여주는 방증이다.
스마트 컨트랙트 지고 ‘지갑 탈취’ 부상… 표적형 해킹 전략 변화
지난 수년간 Web3 생태계의 최대 취약점으로 지목되던 스마트 컨트랙트 코드 자체의 허점을 노린 공격을 제치고, 올해 상반기에는 ‘지갑 권한 탈취’가 가장 치명적인 자금 손실을 초래한 주범으로 떠올랐다. 조사 기간 동안 지갑 탈취 사고는 총 33건이 보고됐는데, 누적 피해액은 무려 4억 5000만 달러를 기록하며 상반기 전체 피해액의 3분의 1 이상을 차지하는 기염을 토했다.
발생 건수 자체는 상대적으로 적었지만, 건당 평균 피해 액수가 무려 약 1134만 달러에 달해 다른 공격 유형들을 압도했다. 일례로 지난 4월 발생해 약 2억 8500만 달러의 자금 손실을 낸 드리프트 프로토콜(Drift Protocol) 해킹 사건이 대표적인 지갑 탈취 사례이자 상반기 최대 규모의 악성 사고로 기록됐다. 서티익은 이러한 현상에 대해 해커들이 코딩 오류를 찾는 번거로운 방식에서 벗어나, 막대한 온체인 자산을 보유한 프로토콜이나 기관의 개인키 관리 시스템, 멀티시그(Multi-sig, 다중 서명) 지갑, 기관급 인프라 자체를 직접 조준하는 ‘고가치 표적 공격’으로 전략을 완전히 선회했음을 뜻한다고 설명했다.
피싱 건수는 줄었지만 사회공학 기법 결합해 파괴력은 극대화
이메일이나 가짜 웹사이트를 활용한 피싱 공격의 경우, 발생 건수 자체는 예년에 비해 절반 이상(50% 감소) 줄어든 총 63건에 그쳤다. 그러나 전체 피싱 누적 피해액은 약 3억 7000만 달러로 전년 대비 고작 10.8% 감소하는 데 머물렀다. 건수는 줄었지만 한 번 뚫릴 때마다 발생하는 파괴력은 상상을 초월할 정도로 커진 셈이다.
이 역시 불특정 다수를 노리던 과거의 전술에서 벗어나 고액 자산가나 대기업, 기관 투자자를 정밀 타깃팅하는 사회공학(Social Engineering) 기법이 결합했기 때문이다. 보고서에 따르면 이 같은 사회공학 기반의 고도화된 집중 피싱 공격은 단 4건밖에 발생하지 않았음에도 불구하고 무려 3억 1000만 달러의 피해를 입히며 전체 피싱 피해액의 85%를 독식했다. 특히 올해 1월 발생한 크로스체인 기반의 사회공학 사기 공격은 단 한 번의 사고로 약 2억 9000만 달러를 탈취당하며 최근 수년간 발생한 피싱 범죄 중 가장 치명적인 사례로 남게 됐다.
방치된 ‘레거시 코드’와 ‘초대형 사건’이 업계 피해 주도
다른 한편으로는 수년간 별다른 사고 없이 장기간 운영되어 온 이른바 ‘레거시(구형) 스마트 컨트랙트 코드’들이 새로운 공격 표적으로 급부상하고 있다. 상반기 중 코드 취약점을 악용한 보안 사고는 모든 유형을 통틀어 가장 많은 204건이 발생했으며, 누적 피해액은 약 1억 5000만 달러를 기록했다. 특히 1분기(78건) 대비 2분기(126건)에 관련 사고가 가파르게 폭증하는 추세를 보였다. 이는 최근 AI 기반 코드 분석 기술과 자동화된 보안 툴이 해커들에게도 보급되면서, 과거에는 찾아내기 어려웠던 오래된 코드 속 잠재적 취약점을 매우 낮은 비용으로 손쉽게 발굴할 수 있게 되었기 때문이다. 서티익은 프로젝트 출시 당시 보안 검사를 받았더라도 장기간 재감사(Auditing) 없이 방치된 프로토콜 체계는 주기적인 재검증이 필수적이라고 조언했다.
한편, 상반기 전체 피해액의 절반에 육박하는 44%의 지분(약 5억 7700만 달러)은 단 두 건의 초대형 해킹 사건에서 발생했다. 앞서 언급한 드리프트 프로토콜 사건(약 2억 8500만 달러)과 더불어, 지난 4월 발생한 켈프 DAO(Kelp DAO)의 RPC 인프라 해킹 공격이 약 2억 9100만 달러의 피해를 내며 시장에 큰 충격을 안겼다.
세탁 수법의 고도화 및 북한 연계 해커의 지속적인 위협
해킹 이후 탈취한 자금을 음성적으로 숨기는 자금세탁 수법 역시 진화하고 있다. 전통적인 가상자산 믹싱 서비스인 토네이도 캐시(Tornado Cash)가 여전히 강세를 보이고 있으나, 최근에는 수억 달러 규모의 믹싱 수요를 감당하기 위해 서로 다른 블록체인 네트워크를 넘나드는 크로스체인 프로토콜 기반의 다중 경로 자금세탁 기법이 급격히 증가하는 추세다.
더불어 북한과 연계된 것으로 추정되는 국가 단위 해킹 조직은 여전히 Web3 생태계 전체를 위협하는 가장 강력한 위험 요인으로 지목됐다. 서티익은 이들의 해킹 반경이 단순 코드 탈취를 넘어 개발자 업무 환경 침투, 공급망(Supply Chain) 공격, 주요 운영 인력을 직접 겨냥한 정밀 사회공학 공격으로 정교하게 확장되고 있으며, 거래 플랫폼 및 멀티시그 관리 시스템의 핵심부를 집요하게 공략하고 있어 업계 전반의 최고 수준 경각심과 상시 보안 인프라 구축이 요구된다고 강조했다.
글로벌 최대 규모의 Web3 보안 전문 기업 서티익(CertiK)이 올해 전 세계 가상자산 및 블록체인 생태계의 보안 사고를 종합 분석한 ‘Hack3D: 2026년 상반기 보고서’를 공식 발표했다. 이번에 발간된 보고서에 따르면, 2026년 상반기 동안 Web3 생태계에서 포착된 보안 침해 사고는 총 344건에 달했으며 이로 인한 누적 자금 피해 규모는 약 13억 2000만 달러(한화 약 1조 8000억 원 상당)를 기록한 것으로 집계됐다.
단순 수치상의 전체 피해 액수만 비교하면 지난해 같은 기간과 비교해 약 46.8%가량 감소한 것처럼 보이지만, 서티익은 이를 가상자산 보안 환경의 개선으로 오인해서는 안 된다고 명확히 선을 그었다. 지난 2025년 상반기에 발생했던 글로벌 거래소 바이비트(Bybit)의 14억 5000만 달러 규모 초대형 해킹 사고라는 일시적이고 특수한 변수를 제외하고 통계를 재산출할 경우, 올해 상반기 피해액은 오히려 전년 동기 대비 약 28%나 크게 증가한 것으로 조사됐기 때문이다. 보고서는 사고 발생 건수의 증가와 개별 공격의 파괴력 심화, 고도화된 해킹 기법의 등장 등을 종합적으로 고려할 때, Web3 산업이 과거보다 훨씬 더 정교하고 진화된 전방위적 보안 위협에 직면해 있다고 진단했다.
예외적 수치 착시 지적… 분기별 해킹 활동 기준선 상승세 뚜렷
보고서는 지난해 2월 발생했던 바이비트 해킹 사건이 당시 상반기 전체 누적 피해액의 무려 60%에 육박하는 비중을 차지했기 때문에 기저효과로 인한 통계적 착시가 발생했다고 분석했다. 해당 단일 대형 사건을 제외한 2025년 상반기의 실제 순수 피해액은 약 10억 3000만 달러 수준이었던 반면, 올해 상반기에는 약 13억 2000만 달러로 눈에 띄게 늘었다. 이 중 약 1억 2000만 달러 규모의 탈취 자금이 사후 대응을 통해 동결되거나 회수된 점을 참작하더라도, 최종 조정된 실제 순손실액은 여전히 12억 달러라는 거대한 규모에 달한다.
더욱 심각한 점은 시간이 흐를수록 분기별로 발생하는 해킹 공격의 기준선 자체가 계속해서 높아지고 있다는 사실이다. 실제로 2026년 2분기 동안 기록된 보안 사고 건수는 총 194건으로, 전년 동기(145건) 대비 34%나 급증했다. 여기에 단일 보안 사고가 발생했을 때 입는 피해 규모의 중간값(중앙값) 또한 지난해 같은 기간보다 60.6% 껑충 뛴 약 16만 9000달러를 기록했다. 이는 대형 기관뿐만 아니라 일상적으로 발생하는 중소 규모의 디파이(DeFi) 및 블록체인 프로젝트를 겨냥한 공격조차도 건당 피해 액수가 지속해서 확대되고 있음을 보여주는 방증이다.
스마트 컨트랙트 지고 ‘지갑 탈취’ 부상… 표적형 해킹 전략 변화
지난 수년간 Web3 생태계의 최대 취약점으로 지목되던 스마트 컨트랙트 코드 자체의 허점을 노린 공격을 제치고, 올해 상반기에는 ‘지갑 권한 탈취’가 가장 치명적인 자금 손실을 초래한 주범으로 떠올랐다. 조사 기간 동안 지갑 탈취 사고는 총 33건이 보고됐는데, 누적 피해액은 무려 4억 5000만 달러를 기록하며 상반기 전체 피해액의 3분의 1 이상을 차지하는 기염을 토했다.
발생 건수 자체는 상대적으로 적었지만, 건당 평균 피해 액수가 무려 약 1134만 달러에 달해 다른 공격 유형들을 압도했다. 일례로 지난 4월 발생해 약 2억 8500만 달러의 자금 손실을 낸 드리프트 프로토콜(Drift Protocol) 해킹 사건이 대표적인 지갑 탈취 사례이자 상반기 최대 규모의 악성 사고로 기록됐다. 서티익은 이러한 현상에 대해 해커들이 코딩 오류를 찾는 번거로운 방식에서 벗어나, 막대한 온체인 자산을 보유한 프로토콜이나 기관의 개인키 관리 시스템, 멀티시그(Multi-sig, 다중 서명) 지갑, 기관급 인프라 자체를 직접 조준하는 ‘고가치 표적 공격’으로 전략을 완전히 선회했음을 뜻한다고 설명했다.
피싱 건수는 줄었지만 사회공학 기법 결합해 파괴력은 극대화
이메일이나 가짜 웹사이트를 활용한 피싱 공격의 경우, 발생 건수 자체는 예년에 비해 절반 이상(50% 감소) 줄어든 총 63건에 그쳤다. 그러나 전체 피싱 누적 피해액은 약 3억 7000만 달러로 전년 대비 고작 10.8% 감소하는 데 머물렀다. 건수는 줄었지만 한 번 뚫릴 때마다 발생하는 파괴력은 상상을 초월할 정도로 커진 셈이다.
이 역시 불특정 다수를 노리던 과거의 전술에서 벗어나 고액 자산가나 대기업, 기관 투자자를 정밀 타깃팅하는 사회공학(Social Engineering) 기법이 결합했기 때문이다. 보고서에 따르면 이 같은 사회공학 기반의 고도화된 집중 피싱 공격은 단 4건밖에 발생하지 않았음에도 불구하고 무려 3억 1000만 달러의 피해를 입히며 전체 피싱 피해액의 85%를 독식했다. 특히 올해 1월 발생한 크로스체인 기반의 사회공학 사기 공격은 단 한 번의 사고로 약 2억 9000만 달러를 탈취당하며 최근 수년간 발생한 피싱 범죄 중 가장 치명적인 사례로 남게 됐다.
방치된 ‘레거시 코드’와 ‘초대형 사건’이 업계 피해 주도
다른 한편으로는 수년간 별다른 사고 없이 장기간 운영되어 온 이른바 ‘레거시(구형) 스마트 컨트랙트 코드’들이 새로운 공격 표적으로 급부상하고 있다. 상반기 중 코드 취약점을 악용한 보안 사고는 모든 유형을 통틀어 가장 많은 204건이 발생했으며, 누적 피해액은 약 1억 5000만 달러를 기록했다. 특히 1분기(78건) 대비 2분기(126건)에 관련 사고가 가파르게 폭증하는 추세를 보였다. 이는 최근 AI 기반 코드 분석 기술과 자동화된 보안 툴이 해커들에게도 보급되면서, 과거에는 찾아내기 어려웠던 오래된 코드 속 잠재적 취약점을 매우 낮은 비용으로 손쉽게 발굴할 수 있게 되었기 때문이다. 서티익은 프로젝트 출시 당시 보안 검사를 받았더라도 장기간 재감사(Auditing) 없이 방치된 프로토콜 체계는 주기적인 재검증이 필수적이라고 조언했다.
한편, 상반기 전체 피해액의 절반에 육박하는 44%의 지분(약 5억 7700만 달러)은 단 두 건의 초대형 해킹 사건에서 발생했다. 앞서 언급한 드리프트 프로토콜 사건(약 2억 8500만 달러)과 더불어, 지난 4월 발생한 켈프 DAO(Kelp DAO)의 RPC 인프라 해킹 공격이 약 2억 9100만 달러의 피해를 내며 시장에 큰 충격을 안겼다.
세탁 수법의 고도화 및 북한 연계 해커의 지속적인 위협
해킹 이후 탈취한 자금을 음성적으로 숨기는 자금세탁 수법 역시 진화하고 있다. 전통적인 가상자산 믹싱 서비스인 토네이도 캐시(Tornado Cash)가 여전히 강세를 보이고 있으나, 최근에는 수억 달러 규모의 믹싱 수요를 감당하기 위해 서로 다른 블록체인 네트워크를 넘나드는 크로스체인 프로토콜 기반의 다중 경로 자금세탁 기법이 급격히 증가하는 추세다.
더불어 북한과 연계된 것으로 추정되는 국가 단위 해킹 조직은 여전히 Web3 생태계 전체를 위협하는 가장 강력한 위험 요인으로 지목됐다. 서티익은 이들의 해킹 반경이 단순 코드 탈취를 넘어 개발자 업무 환경 침투, 공급망(Supply Chain) 공격, 주요 운영 인력을 직접 겨냥한 정밀 사회공학 공격으로 정교하게 확장되고 있으며, 거래 플랫폼 및 멀티시그 관리 시스템의 핵심부를 집요하게 공략하고 있어 업계 전반의 최고 수준 경각심과 상시 보안 인프라 구축이 요구된다고 강조했다.