DeFi의 6억 600만 달러가 사라진 4월: 2026년 최악의 해킹이 스마트 컨트랙트 때문이 아닌 이유
2026년 4월의 첫 18일 동안, 공격자들은 12개 이상의 DeFi 프로토콜에서 15억 달러 규모의 Bybit 해킹 이후 암호화폐 도난이 가장 심각했던 달이었으며, 특히 DeFi 분야에서는 2022년 브리지 익스플로잇 시대 이후 가장 큰 피해를 입은 시기였습니다.
하지만 2022년과는 달리, 이번 사건 중 스마트 컨트랙트 버그로 인해 발생한 것은 거의 없었습니다.
Kelp DAO 브리지 탈취 ( 2억 8,500만 달러), 그리고 3월 말 Resolv Labs의 AWS 탈취 ($ 2,500만 달러)는 조용하지만 더 곤혹스러운 공통점을 공유합니다. 이 사건들은 모두 프로토콜 팀이 자체적인 신뢰 가정 (기본 설정, 사전 서명된 거버넌스 마이그레이션, 단일 클라우드 키 등)을 변경함으로써 가능해졌으며, 이는 어떤 스마트 컨트랙트 감사자도 경고할 이유가 없는 사항들이었습니다. 2026년 4월은 Solidity에 대한 이야기가 아닙니다. 이는 코드, 인프라, 그리고 거버넌스 사이의 운영상의 틈새 (operational seams)에 대한 이야기이며, '업그레이드'가 새로운 공격 표면 (attack surface)이 되었을 때 어떤 일이 벌어지는지에 대한 이야기입니다.
1분기보다 심각했던 18일간의 기록
4월이 얼마나 이례적이었는지 이해하려면 수치를 분석해 볼 필요가 있습니다.
CertiK은 2026년 1분기 총 손실액을 145건의 사건에 걸쳐 약 3억 7,000만 달러 규모 피싱 파도에 의해 부풀려진 수치였습니다. 2026년 2월은 약 5,200만 달러로 다시 상승했으며, 이로 인해 PeckShield는 소규모 DeFi 플랫폼 전반에 걸쳐 반복적인 공격 패턴이 나타남에 따라 '그림자 전염 (shadow contagion)'을 경고했습니다.
그러다 2026년 4월 1일 — 만우절 — 당시 올해 최대 규모의 해킹이었던 Drift 익스플로잇으로 문을 열었습니다. 18일 후, Kelp DAO 탈취 사건이 이를 넘어섰습니다. 이 두 사건만 합쳐도 6억 600만 달러 이상의 손실액에 도달하게 됩니다.
참고로, Chainalysis는 2025년 전체 암호화폐 도난액을 총 $ 34억 달러로 보고했으며, 그 대부분은 Bybit 침해 사고에 집중되어 있었습니다. 2026년 4월의 속도가 유지된다면 연말이 되기 전에 그 기준점을 쉽게 넘어설 것입니다. 위협은 양적으로만 성장한 것이 아니라, 집중도와 공격자의 정교함 측면에서도 성장했습니다.
세 가지 해킹, 세 가지의 본질적으로 다른 실패 모드
4월의 해킹 공세가 단지 암울한 것을 넘어 분석적으로 흥미로운 이유는, 세 가지 주요 사건이 세 가지 뚜렷한 공격 유형으로 명확하게 분류되기 때문입니다. 각 공격은 스택의 서로 다른 계층을 겨냥하며, 이는 전통적인 스마 트 컨트랙트 감사자가 포착하도록 설계되지 않은 유형의 실패들입니다.
유형 1: 새로운 단일 장애점으로서의 브리지 구성 (Kelp DAO, $ 2억 9,200만 달러)
4월 18일, 공격자는 Kelp DAO의 LayerZero 기반 브리지에서 약 $ 2억 9,200만 달러에 해당하는 116,500 rsETH를 탈취했습니다. CoinDesk와 LayerZero의 포렌식 팀이 재구성한 바에 따르면, 이 기법은 Solidity 버그를 악용한 것이 아니라 구성 (configuration) 선택을 악용했습니다.
Kelp의 브리지는 단일 검증인 (1-of-1 DVN) 설정으로 운영되었습니다. 공격자들은 해당 검증인을 지원하는 두 개의 RPC 노드를 침해하고, 조직적인 DDoS 공격을 사용하여 검증인이 페일오버 (장애 조치) 모드로 전환되도록 강제한 다음, 침해된 노드를 사용하여 허위 크로스체인 메시지가 도착했음을 인증했습니다. 브리지는 신호에 맞춰 rsETH를 방출했습니다. LayerZero는 이번 작전의 배후로 북한의 라자루스 그룹 (Lazarus Group)을 지목했습니다.
그 뒤를 이은 공개적인 책임 공방은 운영 계층이 얼마나 취약해졌는지를 잘 보여줍니다. LayerZero는 Kelp가 멀티 검증인 구성을 사용하도록 경고받았다고 주장했습니다. Kelp는 1-of-1 DVN 모델이 새로운 OFT 통합을 위한 LayerZero 자체 배포 문서의 기본 설정이었다고 반박했습니다. 두 입장 모두 기술적으로는 사실입니다. 더 중요한 점은 CertiK, OpenZeppelin, Trail of Bits와 같은 어떤 감사 법인도 "메시징 계층 DVN 구성이 브리징하려는 자산의 가치에 적합한가?"에 대한 검토를 상품화하여 제공하지 않는다는 것입니다. 이러한 논의는 결과물이 아닌 두 팀 간의 Slack 채널에서 이루어집니다.
유형 2: 잠재적 백도어로서의 사전 서명된 거버넌스 권한 부여 (Drift, $ 2억 8,500만 달러)
4월 1일, Solana 최대 규모의 퍼펫추얼 DEX인 Drift Protocol에서 약 $ 2억 8,500만 달러 가 12분 만에 탈취되었습니다. 이 공격은 세 가지 벡터를 연결했습니다:
- 가짜 오라클 타겟: 공격자는 약 7억 5,000만 개의 가짜 "CarbonVote Token" (CVT)을 발행하고, 약 1 달러 근처에서 자전 거래 (wash-trade)를 하여 가격 이력을 조작했습니다.
- 오라클 데이터 수집: 시간이 지나면서 조작된 가격이 오라클 피드에 수집되었고, CVT가 합법적인 견적 자산인 것처럼 보이게 만들었습니다.
- 특권 접근: 가장 치명적인 점은, 공격자가 이전에 Drift의 멀티시그 서명자들을 사회 공학적으로 속여 숨겨진 권한 부여에 사전 서명하게 했으며, 타임락 (timelock)이 없는 보안 위원회 (Security Council) 마이그레이션으로 인해 프로토콜의 마지막 지연 방어선이 제거되었다는 것입니다.
조작된 오라클을 통해 부풀려진 담보 포지션이 승인되자, 공격자는 온체인 모니터링이 작동하기 전에 USDC, JLP 및 기타 예비 자산에 대해 31회의 신속한 출금을 실행했습니다.
강조해야 할 두 가지 세부 사항이 있습니다. 첫째, Elliptic과 TRM Labs 모두 Drift 사건을 라자루스의 소행으로 보고 있으며, 이로써 18일 만에 두 번째 국가 급 DeFi 침해가 발생했습니다. 둘째, 프로토콜이 실패한 것이 아니라 거버넌스 배관이 실패했다는 점입니다. 스마트 컨트랙트는 구성된 대로 정확하게 작동했습니다. 취약점은 사회 공학적 기법과 타임락을 제거한 거버넌스 업그레이드에 있었습니다.
Solana 재단의 대응은 시사하는 바가 큽니다. 재단은 며칠 만에 보안 체계 전면 개편을 발표하며, 이번 사건을 Solana 프로토콜의 버그가 아닌 프로토콜과 생태계 간의 조정 문제로 명시적으로 규정했습니다. 이러한 프레이밍은 정확합니다. 이는 또한 보안 경계가 이동했음을 인정하는 것이기도 합니다.
사례 3: 5억 달러 규모의 스테이블코인을 뒷받침하는 단일 클라우드 키 (Resolv, 2,500만 달러)
3월 22일에 발생한 Resolv Labs 사고는 금액 면에서는 세 건 중 가장 작지만, 구조적으로는 가장 시사하는 바가 큽니다. Resolv Labs의 AWS Key Management Service (KMS) 환경에 접근 권한을 얻은 공격자는 권한이 부여된 SERVICE_ROLE 서명 키를 사용하여 약 10만 ~ 20만 달러의 실제 USDC 예치금으로부터 담보가 없는 USR 스테이블코인 8,000만 개를 민팅(발행)했습니다. 총 현금화 소요 시간: 17분.
취약점은 Resolv의 스마트 컨트랙트에 있었던 것이 아닙니다 — 컨트랙트는 감사를 통과했습니다. 문제는 권한이 있는 민팅 역할이 멀티시그가 아닌 단일 외부 소유 계정 (EOA)이었으며, 그 키가 단일 AWS 계정 뒤에 위치했다는 점이었습니다. Chainalysis가 언급했듯이, "5억 달러의 TVL을 보유한 프로토콜이 무제한 민팅을 제어하는 단일 프라이빗 키를 가지고 있었던 것"입니다. 최초의 침입 경로가 피싱이었는지, 잘못 설정된 IAM 정책이었는지, 유출된 개발자 자격 증명이었는지, 아니면 공급망 공격이었는지는 여전히 밝혀지지 않았으며 — 그 모호함 자체가 핵심입니다. 프로토콜의 공격 표면은 바로 DevOps 경계였습니다.
공통된 맥락: 레드팀 검토 없는 업그레이드
브릿지, 오라클, 클라우드 관리 서명 키는 서로 매우 다른 영역처럼 느껴집니다. 하지만 4월에 발생한 각 사고는 동일한 운영 패턴으로 거슬러 올라갑니다. 즉, 팀이 구성, 거버넌스 프로세스 또는 인프라 선택에 대해 업그레이드를 수행하면서 프로토콜의 신뢰 가정을 변경했으나, 새로운 가정을 포착할 수 있는 검토 프로세스가 구조화되어 있지 않았다는 점입니다.
Kelp는 LayerZero가 문서화는 했지만 3억 달러의 유동성을 대상으로 스트레스 테스트를 거치지 않은 기본 DVN 설정으로 업그레이드했습니다. Drift는 타임락 (timelocks)을 제거하기 위해 보안 위원회 거버넌스를 업그레이드했으며, 이로 인해 사회 공학적 기법으로 승인된 권한을 드러낼 수 있었던 지연 시간을 없애 버렸습니다. Resolv는 일반적인 클라우드 DevOps의 일부로 단일 키에 권한이 부여된 민팅 역할을 운영했습니다.
이것이 바로 OWASP가 2026 스마트 컨트랙트 10대 취약점 (SC10)에 "프록시 및 업그레이드 가능성 취약점"을 완전히 새로운 항목으로 추가한 이유입니다. 프레임워크는 마침내 공격자들이 이미 이동한 지점을 따라잡고 있습니다. 하지만 OWASP 규칙은 스스로 실행되지 않습니다. 대부분의 프로토콜이 여전히 "우리는 감사를 받았다"라는 지배적인 보안 내러티브에 머물러 예산을 책정하지 않는 인간의 검토 단계가 필요합니다.
그 내러티브는 이제 명백히 불충분함이 증명되었습니다. 2026년 의 가장 큰 세 가지 사고 중 일부는 스마트 컨트랙트 감사를 통과했습니다. 침해 사고는 다른 곳에서 발생했습니다.
130억 달러의 자본 유출과 모듈형 신뢰의 실제 비용
경제적 피해는 도난당한 자금을 훨씬 넘어 파급됩니다. Kelp 자금 유출 후 48시간 이내에 Aave의 TVL은 약 84.5억 달러 하락했으며, 광범위한 DeFi 섹터에서는 132억 달러 이상이 증발했습니다. AAVE 토큰은 16 ~ 20% 하락했습니다. SparkLend, Fluid, Morpho는 rsETH 관련 시장을 동결했습니다. 이러한 자금 이동의 혜택을 가장 많이 본 것으로 보이는 SparkLend는 사용자들이 더 단순한 담보 구성을 가진 곳을 찾으면서 약 6.68억 달러의 순 신규 TVL을 확보했습니다.
이러한 전염 효과의 이면에 있는 메커니즘을 명확히 짚어볼 필요가 있습니다. Kelp의 브릿지를 비운 후, 공격자는 훔친 rsETH를 Aave V3에 담보로 예치하고 이를 기반으로 대출을 실행했습니다. 그 결과 단일 rsETH / 래핑된 이더 (wrapped-ether) 쌍에 약 1.96억 달러의 불량 부채가 집중되었습니다. rsETH를 담보로 수용하는 어떤 대출 플랫폼도 모듈형 DeFi의 결합 방식 때문에 자신들의 담보 안전 장치가 1대 1 실패 모드 (1-of-1 failure mode)를 가진 단일 검증자 LayerZero 브릿지에 의존하고 있다는 사실을 알 수 없었습니다. 브릿지가 무너지자, 모든 플랫폼이 동시에 같은 구멍에 노출되었습니다.
이것이 DeFi 결합성의 핵심에 있는 보이지 않는 결합 문제입니다. 각 프로토콜은 자신의 컨트랙트만 감사할 뿐, 자신이 담보로 수용하는 토큰을 발행하는 프로토콜의 운영상 가정을 감사하는 프로토콜은 거의 없습니다. 2026년 4월의 연쇄 반응은 현재 DeFi 통합을 고려 중인 모든 기관 데스크의 리스크 담당자들에게 그 간극을 명확히 인지시켰습니다.
향후 전망: 감사에서 지속적인 운영 검토로
4월의 사고 급증을 건설적으로 해석한다면, 이는 DeFi 보안 투자의 다음 단계가 피할 수 없음을 시사합니다. 세 가지 변화가 이미 가시화되고 있습니다.
1. 브릿지 설정 공개의 필수화. 유동성 리스테이킹 및 크로스 체인 프로토콜이 오늘날 스마트 컨트랙트 소스 코드를 공개하는 것과 동일하게 명시적인 DVN 설정, 폴백 (fallback) 규칙, 검증자 임계값을 공개하고 업데이트할 것으로 기대됩니다. 일급 공개 자산으로서의 설정 관리는 이미 늦었습니다.
2. 타임락의 거버넌스 기본값 의무화. 업계 분석에 따르면 거버넌스 마이그레이션을 위한 실질적인 최소 지연 시간은 48시간으로 유지되어야 합니다. 이는 모니터링 시스템이 이상 징후를 감지하고 사용자가 자산을 출금하기에 충분한 시간입니다. Drift 해킹 사례로 인해 3분기까지 타임락 없는 마이그레이션은 전문적으로 방어하기 어려워질 것입니다.
3. 공식적인 다자간 연산 (MPC) 또는 HSM 제어하의 권한 키 보관. Resolv의 단일 EOA 민팅 역할은 이제 업계의 경고 사례가 되었습니다. 민팅 권한을 보유한 프로토콜은 LP와 기관 통합 파트너로부터 임계치 서명 체계 또는 하드웨어 격리 키 보관을 기본적으로 요구받게 될 것입니다.
더 깊은 구조적 변화는 일회성 결과물로서의 "감사"가 지속적인 운영 검토로 대체되고 있다는 점입니다. 이는 연간 감사 주기보다 빠르게 진화하는 설정, 거버넌스 변경 및 인프라 의존성에 대한 지속적인 평가를 의미합니다. 이를 가장 빠르게 내재화하는 프로토콜이 현재 불량 부채가 해결되기를 기다리며 관망하고 있는 기관 자본을 흡수하게 될 것입니다.
신뢰의 경계가 이동했습니다
2026년 4월은 새로운 유형의 익스플로잇이 등장했다기보다, 기존의 방어 체계가 잘못된 경계를 향하고 있었음을 확인시켜 준 시기였습니다. 스마트 컨트랙트 감사는 여전히 필요하지만, 그것만으로는 전혀 충분하지 않습니다. DeFi의 신뢰 영역은 브릿지 설정, 거버넌스 구조, 및 클라우드 관리 키 등으로 외부로 확장되었으며, 국가 지원 해커 수준의 인내심과 자원을 갖춘 공격자들이 이제 이 경계를 체계적으로 공략하고 있습니다.
차세대 기관 통합을 이끌어낼 프로토콜은 한때 Solidity 코드에 쏟았던 것과 동일한 엄격함을 운영 태세에도 적용하는 프로토콜이 될 것입니다. 여전히 1년 된 감사 PDF 파일을 보안의 근거로 내세우는 팀들은 점점 더 다음 달 뉴스의 헤드라인을 장식할 팀이 되어가고 있습니다.
BlockEden.xyz는 종속성(dependencies)이 기술 스택에서 가장 지루하고 안정적인 부분이 되어야 하는 빌더들을 위해 엔터프라이즈급 RPC 및 인덱싱 인프라를 제공합니다. 2026년이 요구하는 운영상의 엄격함에 맞춰 설계된 기반 위에서 개발을 시작하려면 API 마켓플레이스를 살펴보세요.