- 'Hack3D' 보고서 발표…초대형 해킹 제외하면 실제 피해 전년 대비 28% 증가
글로벌 웹3 보안 기업 CertiK이 'Hack3D: 2026년 상반기 보고서'를 발표했다. 올해 상반기 웹3 생태계에서는 344건의 보안 사고로 약 13억2000만달러의 피해가 발생했다. 전체 피해 규모는 지난해 같은 기간보다 46.8% 감소했지만, 2025년 상반기 바이비트(Bybit) 해킹 사건을 제외하면 실제 피해 규모는 전년 동기보다 약 28% 증가한 것으로 나타났다. CertiK은 사고 건수와 공격 방식, 개별 사고의 피해 규모를 종합하면 웹3 생태계의 실제 보안 위험은 오히려 커졌다고 분석했다.
지갑 탈취가 최대 피해 유형으로 부상
수년간 주요 보안 위협으로 꼽혔던 스마트 컨트랙트 취약점 대신 지갑 탈취가 가장 큰 자금 손실을 발생시킨 공격 유형으로 나타났다. 상반기에는 33건의 관련 사고가 발생했으며, 누적 피해액은 약 4억5000만달러로 전체 피해액의 3분의 1 이상을 차지했다. 건당 평균 피해액도 약 1134만달러에 달했다. 특히 4월 발생한 드리프트 프로토콜(Drift Protocol) 해킹은 약 2억9000만달러의 피해를 기록하며 상반기 최대 규모 사고 가운데 하나로 집계됐다. CertiK은 공격자들이 스마트 컨트랙트 취약점 대신 개인키 관리 체계와 멀티시그 지갑, 기관급 인프라를 집중적으로 노리는 추세라고 분석했다.
피싱 줄었지만 사회공학 공격 피해는 확대
상반기 피싱 공격은 63건으로 지난해 같은 기간보다 절반 이상 감소했지만, 피해액은 약 3억7000만달러를 기록했다. 사회공학 공격은 4건에 그쳤지만 약 3억1000만달러의 피해를 발생시켜 전체 피싱 피해액의 약 85%를 차지했다. CertiK은 공격자들이 불특정 다수를 겨냥하는 방식에서 벗어나 고액 자산가와 기관 투자자, 대규모 온체인 자산을 보유한 조직을 집중적으로 노리고 있다고 분석했다.
레거시 코드와 대형 해킹 위험 커져
코드 취약점으로 발생한 사고는 상반기 204건으로 전체 공격 유형 가운데 가장 많았다. 특히 2분기에는 관련 사고가 1분기 78건에서 126건으로 증가했다. CertiK은 자동화된 보안 분석 도구와 AI 기반 코드 분석 기술이 발전하면서 장기간 운영됐지만 재감사를 받지 않은 레거시 코드가 새로운 공격 대상으로 떠오르고 있다고 분석했다.상반기에는 켈프 DAO(Kelp DAO) RPC 인프라 공격과 드리프트 프로토콜 해킹 두 건으로 약 5억7700만달러의 피해가 발생해 전체 피해액의 44%를 차지했다. CertiK은 고액 피해를 동반한 공격이 늘어나고 있으며 단일 사고의 경제적 파급력도 커지고 있다고 분석했다.
북한 연계 해커와 자금세탁 수법 고도화
보고서는 탈취 자금의 이동 방식도 복잡해지고 있다고 분석했다. 토네이도 캐시(Tornado Cash)를 비롯한 익명화 도구와 함께 크로스체인 프로토콜, 다중 경로 자금세탁 기법 활용이 늘어나고 있으며, 대형 해킹에서는 크로스체인 인프라가 새로운 자금세탁 경로로 활용되는 사례가 증가하고 있다고 설명했다. 북한 연계 해커 조직은 여전히 웹3 생태계의 주요 위협으로 꼽혔다. CertiK은 공급망 공격과 개발 환경 침투, 사회공학 공격, 기관 인프라 공격이 늘어나고 있으며, 거래 플랫폼과 멀티시그 관리 체계, 핵심 운영 인력을 집중적으로 노리고 있다고 분석했다.
#CertiK #Hack3D #Web3 #블록체인보안 #지갑탈취 #스마트컨트랙트 #사회공학 #암호화폐 #사이버보안
