감사 밖 공급망이 손실 77%를 만들었다
2026년 3분기 암호화폐 해킹 피해는 107건, 총 11억8천만 달러(한화 약 1조6천억 원)로 집계됐다. 전 분기 대비 55% 증가한 수치다. 더 중요한 사실은 전체 손실의 77%인 9억600만 달러가 외부 보안 감사 범위 밖의 공급망 취약점에서 비롯됐다는 점이다.
Hacken이 2026년 10월 15일 발표한 보고서가 이를 공식 확인했다. 코드 감사와 콜드월렛 분리만으로는 대형 손실을 막을 수 없다는 사실이 숫자로 드러났다.
공급망 취약점이 어떤 방식으로 작동하는지는 2026년 9월 24일 Bitget 거래소 사고가 구체적으로 보여줬다. 공격자는 Bitget의 핵심 시스템을 정면으로 겨냥하는 대신 서드파티 보안 제품에 존재하던 제로데이(zero-day) 취약점을 진입로로 삼았다.
이후 내부 관리 시스템에 접근해 고권한 자격 증명을 탈취했고, 위조 출금 명령을 주입해 약 3억8천800만 달러를 빼냈다. Chainalysis는 이 공격을 북한과 연계된 행위자의 소행으로 추정했다. 이는 확인된 수사 결과가 아니라 분석 기관의 추정이라는 점을 분명히 해야 한다.
공격 주체를 떠나, 거래소가 자체 서버와 지갑만 점검하는 방식으로는 이 경로를 차단할 수 없었다. 비트코인 사이드체인(sidechain)인 Liquid Network에서도 사고가 발생했다.
36분 만에 거액이 빠져나갔고, 이후 일부 자금이 반환됐다. 정확한 순손실 규모와 반환 경로는 현재 제공된 자료만으로 확인되지 않는다.
그럼에도 36분이라는 시간은 금융 인프라 관점에서 치명적이다. 전통 금융에서 이상거래 탐지와 지급정지 체계가 분 단위로 작동하는 이유는 한번 외부로 나간 자산을 되찾기 어렵기 때문이다. 블록체인 환경에서는 그 압박이 한층 강하다.
두 사건 모두 공급망 내 취약점이 악용된 사례로 분석됐다. 피해 규모를 연간 흐름으로 보면 산업 전체의 부담은 더 커진다. TRM Labs 집계에 따르면 2026년 현재까지 암호화폐 해킹 총액은 Liquid 공격을 포함해 333건, 약 17억3천만 달러에 이르렀다.
사건 수는 이미 역대 최고치를 기록했다.
광고
Chainalysis가 Facebook을 통해 공유한 별도 집계에서는 2026년 9월까지 해킹 피해가 26억8천만 달러로 나타났다. 두 수치는 집계 기준과 포함 범위가 달라 단순 비교는 어렵지만, 공통된 흐름은 명확하다.
공격 빈도와 피해 규모가 동시에 커졌고, 그 비용을 누가 부담하느냐가 산업의 다음 쟁점으로 올라섰다. Bitget 피해가 산업에 던진 메시지는 거래소 리스크의 성격 변화다.
고권한 자격 증명 탈취와 위조 출금 명령 주입이라는 공격 방식은 기술 장애가 아니라 재무 리스크로 직결된다. 거래소 입장에서는 해킹 피해액 자체도 부담이지만, 이후 유동성 방어, 고객 보상, 규제기관 대응, 평판 하락까지 동시에 감당해야 한다. 한 번의 사고가 자본을 훼손하는 속도는 수익 모델이 거래 수수료에 의존하는 구조에서 특히 위험하다.
거래소 보안은 기술비용에서 신용비용으로 이동했다
암호화폐 기업은 그동안 스마트계약(smart contract) 코드 감사, 콜드월렛(cold wallet) 분리, 내부 접근권한 통제에 투자해 왔다. 그러나 2026년 3분기 수치는 공격 범위가 기업 경계 밖으로 확장됐다는 사실을 수치로 증명한다. 개발 도구 하나, 협력사 보안 솔루션 하나, 아직 운영 환경에 반영하지 않은 패치 하나가 수억 달러 손실의 진입로가 됐다.
내부 통제 중심 보안 모델은 자사 시스템을 성벽처럼 관리한다는 전제 위에 세워졌지만, 현재의 블록체인(blockchain) 서비스는 거래소·지갑·브리지·오라클·보안 제품·클라우드·외주 개발망이 촘촘히 연결된 구조로 운영된다. 이 연결망 어딘가에서 패치가 지연되면 성벽은 무의미해진다.
기업 전략 측면에서 이번 수치는 보안 감사 시장의 수요 지형을 바꾼다. 지금까지 암호화폐 프로젝트는 토큰 발행 전 스마트계약 감사를 마케팅 자료처럼 제시하는 경우가 많았다. 앞으로는 감사 범위를 코드에서 공급망 전체로 넓히는 기업이 자금 조달과 거래소 상장 협상에서 유리한 위치를 차지할 것이다.
본지 분석으로는 거래소와 커스터디(custody) 사업자가 서드파티 보안 제품의 소프트웨어 구성 명세서(SBOM), 패치 적용 시간, 접근권한 위임 구조, 사고 대응 훈련 기록을 계약 조건에 포함하는 압력을 받을 것으로 판단된다.
광고
실제로 SBOM 공개 여부와 최근 1년 내 침투 테스트 이력은 이미 일부 기관투자자가 거래소 실사 체크리스트에 포함하기 시작했다. 보안은 개발 마지막 단계의 체크리스트가 아니라 조달과 파트너십 설계의 기준으로 자리를 옮겼다.
투자자 관점에서도 평가 방식이 달라져야 한다. 토큰 가격, 예치 규모, 거래량만으로 플랫폼 경쟁력을 판단하면 공급망 리스크를 놓친다.
2026년 3분기 피해액 11억8천만 달러 중 77%가 감사 범위 밖에서 발생했다는 사실은 재무제표 밖 우발채무가 실제 손실로 전환되는 속도가 빨라졌다는 의미다. 보험 가입 여부, 준비금 공시 비율, 콜드월렛 보관 비중, 협력사 보안 검증 체계는 이제 투자자가 확인해야 할 기본 항목이다. 특히 중앙화 거래소와 브리지, 사이드체인 운영사는 수익 모델이 거래 수수료에 의존하는 반면 사고 발생 시 손실은 단번에 자본을 훼손한다.
고수익 예치 상품일수록 사고 발생 시 유동성 회수 순위가 불리할 수 있어 약관과 운영 주체를 먼저 살펴야 한다. 한국 시장에도 직접적인 함의가 있다.
국내 투자자는 해외 거래소, 해외 탈중앙화금융(DeFi) 프로토콜, 글로벌 브리지를 함께 사용하는 경우가 적지 않다. 원본 자료만으로 한국 이용자 피해 규모는 확인되지 않았지만, 공급망 공격은 국경을 가리지 않는다. 국내 가상자산사업자(VASP)가 자체 보안 인증을 갖췄더라도 해외 지갑 인프라, 오라클, 개발 도구, 위탁 솔루션에서 사고가 발생하면 고객 자산 이동과 유동성 관리가 흔들릴 수 있다.
금융당국과 사업자가 개별 기업 단위 점검을 넘어 외부 의존도 지도를 요구받는 이유다. 해외 인프라 의존도가 높은 서비스에 대한 별도 공시 의무화도 검토할 필요가 있다.
투자자는 수익률보다 운영 리스크를 먼저 봐야 한다
반론도 있다. 암호화폐 산업은 투명한 온체인(on-chain) 기록을 통해 자금 흐름을 추적할 수 있고, 일부 사건에서는 탈취 자금이 반환되기도 한다는 주장이다.
Liquid Network 사건에서 일부 자금이 반환됐다는 점은 이 반론의 근거가 된다.
광고
그러나 반환 가능성은 손실 발생 가능성을 낮추지 않는다. 해킹 이후 추적과 협상은 사후 대응에 불과하며, 공급망 취약점이 열어 놓은 공격 경로를 차단하지 않으면 같은 구조의 사고는 반복된다. 투자자와 기업이 확인해야 할 지표는 자금 회수율보다 침투까지 걸린 시간, 권한 상승 경로, 패치 지연 기간이다.
산업 생태계는 이 사건들을 계기로 세 방향으로 재편될 가능성이 있다. 첫째, 보안 기업은 단일 코드 감사에서 지속적 공급망 모니터링으로 사업 모델을 확장할 것이다.
둘째, 거래소와 커스터디 사업자는 협력사 선정 과정에서 기술 성능보다 보안 이력과 사고 대응 능력을 더 강하게 검토할 것이다. 셋째, 투자자는 고수익 상품보다 운영 리스크를 정량화한 플랫폼에 더 높은 신뢰 프리미엄을 부여할 것이다.
이는 단순히 보안 예산을 늘리는 문제가 아니다. 디지털자산 기업이 어떤 외부 시스템에 의존하는지 공개하고, 그 의존 구조를 줄이거나 통제하는 기업만이 장기 자본을 유치할 수 있다는 뜻이다.
2026년 3분기 암호화폐 해킹 증가는 일시적 사고의 집합이 아니다. 107건, 11억8천만 달러, 공급망 기인 손실 77%라는 조합은 시장이 성숙할수록 공격도 더 산업화된다는 사실을 입증한다. 암호화폐 기업의 경쟁력은 빠른 상장, 높은 예치금, 낮은 수수료만으로 설명되지 않는다.
보이지 않는 협력사와 개발 도구까지 통제하는 운영 역량이 신뢰를 만들고, 그 역량이 부족한 기업은 다음 상승장에서도 보안 사고 비용을 치를 것이다. 투자자는 이제 어떤 코인을 살지보다 그 코인이 어떤 보안 구조 위에서 움직이는지를 먼저 물어야 한다.
SBOM 공개 여부, 준비금 공시 비율, 최근 침투 테스트 이력이 그 판단의 출발점이다.
FAQ
Q. 개인 투자자는 이번 공급망 해킹을 어떻게 받아들여야 하나
A. 개인 투자자가 거래소나 블록체인 프로젝트의 모든 협력사 보안 수준을 직접 검증하기는 현실적으로 어렵다. 그러나 자산을 한 플랫폼에 집중하지 않고 장기 보유분을 개인 지갑과 콜드월렛으로 분산하는 방식은 공급망 사고의 파급을 줄이는 실질적인 대응책이다. 거래소를 선택할 때는 준비금 공시 비율, 사고 보상 이력, 출금 지연 공지 체계, 보안 인증 자료를 함께 확인해야 한다. 고수익 예치 상품은 보안 사고 발생 시 유동성 회수 순위가 불리할 수 있어 약관과 운영 주체를 사전에 살피는 것이 중요하다.
Q. 보안 감사를 받은 프로젝트도 왜 해킹을 당하나
A. 보안 감사는 특정 시점의 코드와 시스템 범위를 점검하는 절차다. 2026년 3분기 피해액의 77%가 감사 범위 밖 공급망에서 발생했다는 사실은 기존 감사가 모든 위험을 포괄하지 못한다는 것을 보여준다. 프로젝트가 배포 이후 새 도구를 추가하거나 외부 보안 제품을 교체하면 위험 구조도 달라지기 때문이다. 따라서 일회성 감사보다 지속적인 패치 관리, 협력사 검증, 권한 분리, 이상거래 대응 훈련이 더 실효적인 방어 수단이 된다. SBOM(소프트웨어 구성 명세서)을 정기적으로 갱신하고 외부에 공개하는 관행이 향후 업계 표준으로 자리 잡을 것이다.
Q. 국내 가상자산사업자는 무엇을 우선 바꿔야 하나
A. 국내 사업자는 내부망과 지갑 보안 점검에 더해 외부 공급망 목록을 상시 관리해야 한다. 보안 제품, 클라우드, 개발 도구, 오라클, 위탁 운영사별로 접근권한과 패치 적용 시간을 문서화해야 사고 확산 범위를 줄일 수 있다. 규제 대응 측면에서도 단순 인증 보유보다 실제 침해 대응 시간과 고객 자산 보호 절차를 구체적으로 설명하는 능력이 중요해진다. 해외 인프라 의존도가 높은 서비스에 대해서는 별도 위험 공시를 도입하는 방안도 금융당국 차원에서 검토할 필요가 있다.
※ 이 기사는 Altcoin Buzz가 Hacken 보고서를 인용해 보도한 2026년 10월 15일자 암호화폐 해킹 피해 관련 기사와 Chainalysis가 Facebook을 통해 공유한 관련 집계를 참조하여 작성하였다.
광고
TRM Labs 수치는 원본 자료에 포함된 집계 범위 안에서 인용하였다. 원본 자료에 없는 시장 해석과 한국 시장 관련 평가는 본지 분석으로 구분하였다.
▶ 법률 고민이 있다면 → 김연순법률노트 무료상담 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}
