"Smart Contracts" 태그로 연결된 75 개 게시물 개의 게시물이 있습니다.

이제 작동 가능한 스마트 계약 익스플로잇을 생성하는 데 드는 API 크레딧 비용은 약 1.22달러에 불과합니다. 2025년 말 Anthropic의 레드팀이 제시하고, 공격당 최대 859만 달러를 탈취한 학계의 익스플로잇 생성 도구가 입증한 이 수치는 2026년 4월 5일 Ledger의 CTO 샤를 길레메(Charles Guillemet)가 경고한 내용의 배경이 됩니다. 인공지능은 암호학을 무너뜨리는 것이 아니라, 암호화폐 보안의 경제성을 무너뜨리고 있습니다. 업계의 전통적인 방어 체계는 이러한 환경에 맞춰 가격이 책정된 적이 없습니다.

2024년이 AI가 개발자의 코드 배포 방식을 바꾼 해였다면, 2026년은 AI가 공격자의 익스플로잇 배포 방식을 바꾼 해입니다. 비대칭성이 너무나 빠르게 뒤집힌 나머지, 하드웨어 지갑을 만드는 데 10년을 보낸 기업들조차 이제 신뢰 모델 전체를 다시 작성해야 하는 것은 아닌지 자문하고 있습니다.

길레메가 실제로 언급한 내용​

4월 초 공개 석상에서 Ledger의 최고 기술 책임자이자 오랜 기간 하드웨어 보안 연구자로 활동해 온 길레메는 불편한 가설을 제시했습니다. 대규모 언어 모델(LLM)이 낯선 솔리디티(Solidity) 코드를 읽고, 상태 머신에 대해 추론하며, 그럴듯한 익스플로잇 트랜잭션을 생성하고, 성공할 때까지 온체인 포크에 대해 반복 작업을 수행하는 등 공격자의 업무 중 가장 어려운 부분을 수행할 만큼 유능해졌기 때문에 암호화폐 공격 비용 곡선이 붕괴되고 있다는 것입니다.

그의 관점은 철저히 경제적이었습니다. 암호학 자체가 2024년보다 약해진 것은 아닙니다. 해시 함수는 여전히 작동하고 타원 곡선 암호도 건재합니다. 달라진 점은 성공적인 공격 뒤에 숨겨진 노동력 투입, 즉 수석 오디터의 통찰력이나 수개월 간의 끈기 있는 리버스 엔지니어링이 이제는 Anthropic이나 OpenAI의 인보이스 한 장에 담길 정도의 예산 항목으로 압축되었다는 점입니다. 길레메는 리뷰어가 읽을 수 있는 속도보다 개발자가 AI로 생성한 솔리디티 코드를 배포하는 속도가 더 빨라지면서 발생하는 2차적 효과를 지적하며, "설계부터 보안이 취약한 수많은 코드가 생산될 것"이라고 경고했습니다.

Ledger가 집계한 작년 손실액은 직접적인 해킹 및 익스플로잇으로 인해 약 14억 달러에 달하며, 어떤 회계 기준을 따르느냐에 따라 광범위한 스캠 및 사기 합계는 이보다 훨씬 높습니다. Chainalysis는 2025년 총 도난 자금 규모를 34억 달러로 추산했습니다. CoinDesk의 2026년 1월 회고록에서는 스캠 및 사칭 범죄 규모를 최대 170억 달러로 추정했습니다. 어떤 수치를 신뢰하든 추세선은 잘못된 방향을 향하고 있으며, 길레메의 주장은 그 궤적이 이제 AI에 의해 결정되고 있다는 것입니다.

대화의 흐름을 바꾼 Anthropic의 수치​

2025년 12월, Anthropic의 레드팀은 2020년에서 2025년 사이에 실제로 익스플로잇된 405개의 스마트 계약을 벤치마킹한 SCONE-bench 결과를 발표했습니다. 주요 통계는 충격적이었습니다. 405개의 문제 전체에서 최신 프런티어 모델들은 그중 207개에 대해 즉시 실행 가능한(turnkey) 익스플로잇을 생성해 냈으며, 이는 51.11%의 성공률로 시뮬레이션된 도난 가치는 총 5억 5,010만 달러에 달했습니다.

더 우려스러운 점은, 알려진 취약점이 없는 2,849개의 최신 배포 계약에 동일한 에이전트를 투입했을 때 Claude Sonnet 4.5와 GPT-5 모두 두 개의 실제 제로데이(zero-day) 취약점을 찾아냈고, 약 3,476달러의 API 비용으로 3,694달러 상당의 작동 가능한 익스플로잇을 생성했다는 점입니다. 이 비율은 서류상으로는 겨우 손익분기점을 맞추는 수준이지만, 제로데이 발견에 반드시 인간 팀이 필요하다는 가정을 무너뜨립니다.

독립적인 학계의 연구도 반대편에서 같은 이야기를 들려줍니다. 2025년 arxiv에 발표되고 2026년 초까지 업데이트된 "A1" 시스템은 모든 LLM을 바이트코드 디스어셈블러, 포크 실행기, 잔액 추적기, 가스 프로파일러, 오라클 스푸퍼, 상태 변이 도구 등 6가지 도메인 특화 도구와 결합하여 대상 계약을 공격합니다. A1은 VERITE 익스플로잇 데이터셋에서 62.96%의 성공률을 기록하며 이전의 퍼징(fuzzing) 기준점(ItyFuzz, 37.03%)을 압도적인 차이로 앞질렀습니다. 시도당 비용은 0.01달러에서 3.59달러 사이였으며, 모델링된 단일 최대 탈취 금액은 859만 달러였습니다.

이것은 이론적인 수치가 아닙니다. 익스플로잇에 투입되는 실제 비용입니다. 그리고 투입 비용이 패스트푸드 한 끼 가격 수준으로 떨어지면, 질문은 "공격자가 이를 감당할 수 있는가"가 아니라 "방어자가 단 하나라도 놓칠 여유가 있는가"로 바뀝니다.

1000:1의 처리량 불일치​

오딧(Audit, 보안 감사) 업체들이 여전히 설명하는 데 애를 먹고 있는 부분이 바로 이 지점입니다. 오딧 업체는 프로젝트별로 비용을 청구합니다. 한 번에 하나의 코드베이스를 몇 주에 걸쳐 검토하며, AI 도구를 사용하더라도 사람이 개입된 워크플로우에 결합되어 청구서를 발행해야 합니다. 반면 공격자는 동일한 모델을 임대하여 수천 개의 계약에 병렬로 투입할 수 있으며, 성공했을 때만 비용을 지불하면 됩니다.

2026년 초 'Frontiers in Blockchain'에 발표된 논문은 이 비대칭성을 단 한 문장으로 포착했습니다. 공격자는 약 6,000달러의 가치만 추출해도 이익을 얻는 반면, 방어자의 손익분기점은 60,000달러에 가깝습니다. 이 10배의 격차는 방어가 기술적으로 더 어려워서가 아니라, 방어는 완벽해야 하는 반면 공격은 단 한 번만 성공하면 되기 때문입니다.

여기에 공격자가 스캔할 수 있는 계약 수와 오딧 업체가 검토할 수 있는 계약 수 사이의 1000:1에 달하는 처리량 불일치까지 더하면, 거의 기계적으로 길레메의 결론에 도달하게 됩니다. 어떤 오딧 예산으로도 이 격차를 메울 수 없습니다. 경제학적으로 성립하지 않기 때문입니다.

2026년의 주요 사고가 우리에게 시사하는 점​

2026년에 실제로 발생한 해킹 사건들은 표면적으로는 단순히 "AI 익스플로잇" 이야기로만 읽히지 않습니다. 올해 현재까지 발생한 가장 큰 두 건의 손실은 LLM 기반 공격 도구가 더 오래되고 평범한 기술들 위에 계층화되어 있다는 사실을 냉정하게 상기시켜 줍니다.

2026년 4월 1일, Solana 기반의 Drift Protocol은 TRM Labs와 Elliptic 모두 북한의 라자루스 그룹 (Lazarus Group)의 소행으로 지목한 공격으로 인해 TVL의 절반 이상인 2억 8,500만 달러를 잃었습니다. 그 메커니즘은 Solidity 버그가 아닌 사회공학적 기법이었습니다. 공격자들은 수개월 동안 Drift 팀과 관계를 구축한 뒤, Solana의 "듀러블 논스 (durable nonce)" 기능을 악용하여 보안 위원회 (Security Council) 멤버들이 그 효과를 이해하지 못한 트랜잭션에 사전 서명하도록 유도했습니다. 관리자 권한이 탈취되자 공격자들은 가치 없는 토큰 (CVT)을 담보로 화이트리스트에 등록하고, 이를 사용해 실제 USDC, SOL, ETH를 탈취했습니다.

18일 후, Kelp DAO는 LayerZero 기반 브리지를 통해 2억 9,200만 달러의 피해를 입었으며, 이는 현재 2026년 최대 규모의 DeFi 익스플로잇으로 기록되었습니다. 공격자는 LayerZero의 크로스 체인 메시징 레이어를 속여 다른 네트워크로부터 유효한 명령이 도착한 것처럼 꾸몄고, Kelp의 브리지는 공격자가 제어하는 주소로 116,500 rsETH를 성실히 전송했습니다. 대부분의 분석에서 이 역시 라자루스의 소행으로 지목되었습니다.

이것이 AI와 무슨 관련이 있을까요? 두 가지 측면이 있습니다. 첫째, 프로필 매핑, 메시지 톤 맞춤, 타겟의 일정 중 적절한 타이밍 포착 등 롱테일 사회공학적 기법을 가능하게 하는 '정찰 (reconnaissance)'은 바로 LLM이 가장 잘하는 분야입니다. CertiK의 2026년 전망은 이미 피싱, 딥페이크, 공급망 침해를 올해의 주요 공격 벡터로 꼽았으며, 2025년 12월부터 2026년 1월 사이에만 피싱 피해액이 207% 급증했다고 지적했습니다. 둘째, AI는 '병렬' 작전의 장벽을 낮춥니다. 2024년에는 라자루스 급의 팀이 한 번에 몇 개의 캠페인만 운영할 수 있었다면, AI 도구를 사용하면 훨씬 적은 인원으로도 수십 개의 캠페인을 동시에 진행할 수 있습니다.

이러한 공격이 얼마나 세밀해질 수 있는지에 대한 사례가 2026년 4월, 인기 지갑 앱인 Zerion에서 나타났습니다. Zerion은 공격자들이 AI 기반 사회공학적 기법을 사용하여 핫 월렛에서 약 10만 달러를 탈취했다고 밝혔습니다. 2026년 기준으로는 작은 액수이지만, AI가 사칭 스크립트를 생성하고, 가짜 지원 페이지를 만들고, 피싱 이메일을 작성하는 그 기술 자체가 바로 Guillemet이 경고하는 지점입니다.

왜 "감사를 더 강화하라"는 답이 될 수 없는가​

업계의 본능적인 반응은 더 많은 감사 (Audit) 자금을 지원하는 것입니다. 하지만 이러한 반응은 문제의 본질을 놓치고 있습니다.

감사는 감사자의 작업 시간에 따라 선형적으로 확장됩니다. 반면 공격은 이제 API 크레딧에 따라 확장됩니다. 설령 모든 티어 1 감사 회사가 내일 당장 인력을 두 배로 늘린다고 해도, 공격 표면은 10배 더 빠르게 확장될 것입니다. API 키와 Solidity에 대한 기본적인 이해만 있다면 누구나 배포된 모든 컨트랙트 환경에서 지속적인 공격 스캔을 수행할 수 있기 때문입니다.

설상가상으로 감사는 특정 시점의 코드를 검토할 뿐입니다. AI가 생성한 코드는 지속적으로 출시되고 있으며, "설계부터 보안에 취약한 (insecure by design)" 상태가 될 것이라는 Guillemet의 경고는 버그 발생률이 낮아지는 것이 아니라 높아지고 있음을 시사합니다. 블록체인 보안 커뮤니티가 인용한 2026년 연구에 따르면, LLM의 도움을 받아 작성된 Solidity 코드는 미세한 재진입성 (reentrancy) 및 접근 제어 오류와 상관관계가 있으며, 기계가 포맷팅한 코드에 피로감을 느낀 인간 검토자들은 인간이 작성한 코드보다 이러한 버그를 더 높은 확률로 놓치는 것으로 나타났습니다.

솔직히 말해 감사는 여전히 필요하지만 그것만으로는 충분하지 않습니다. Guillemet이 추진하고 Anthropic의 레드팀이 공감하는 실제 해답은 구조적인 변화에 있습니다.

생존 가능한 방어 스택​

AI로 가속화된 공격에 맞서 합리적으로 확장 가능한 방어 체계는 세 가지 카테고리로 나뉩니다. 이 세 가지 모두 출시 속도에 최적화된 업계 일부에게는 불편한 선택일 수 있습니다.

형식 검증 (Formal verification). Certora, Halmos, 그리고 점차 Move (Sui, Aptos) 및 Cairo (Starknet)에 포함되는 검증 스택들은 정확성을 검토의 문제가 아닌 수학적 문제로 다룹니다. 속성 (property)이 증명되면 아무리 많은 AI 퍼징 (fuzzing)으로도 이를 뚫을 수 없습니다. 트레이드오프는 엔지니어링 리소스입니다. 의미 있는 불변량 (invariant)을 작성하는 것은 어렵고 느리며 엄격한 과정입니다. 하지만 이는 방어 비용이 공격자의 컴퓨팅 파워에 따라 늘어나지 않는 몇 안 되는 방어 수단 중 하나입니다.

하드웨어 신뢰 루트 (Hardware roots of trust). Ledger의 제품군이 대표적인 예시이지만, 더 넓게는 보안 엔클레이브 (secure enclaves), MPC 수탁, 그리고 새롭게 등장하는 영지식 증명 프리미티브 (zero-knowledge attestation primitives)를 포함합니다. 원칙은 동일합니다. 트랜잭션 서명이라는 가장 중대한 작업을 LLM 기반 피싱 캠페인이 도달할 수 없는 하부 계층으로 강제 이동시키는 것입니다. "시스템이 실패할 수 있고 실패할 것임을 가정하라"는 Guillemet의 프레임워크는 본질적으로 서명 권한을 범용 컴퓨터 밖으로 옮겨야 한다는 주장입니다.

AI 대 AI 방어 (AI-on-AI defense). Anthropic의 2025년 12월 논문은 익스플로잇을 생성할 수 있는 에이전트가 패치 생성에도 투입되어야 한다고 주장합니다. 실무적으로 이는 멤풀 (mempools), 배포된 컨트랙트, 관리자 키 활동을 AI 기반으로 지속적으로 모니터링하여 전통적인 은행의 부정 거래 탐지 시스템처럼 이상 징후를 찾아내는 것을 의미합니다. 경제적 효율성은 완벽하지 않지만 (방어 비용이 여전히 공격 비용보다 높음), 적어도 양측을 동일한 컴퓨팅 곡선 위에 올려놓을 수 있습니다.

이세 가지 접근 방식의 공통된 패턴은 보안의 '빠른' 부분에 대해 더 이상 인간의 개입에 의존하지 않고, 인간의 판단력은 느리고 비용이 많이 들지만 구조적인 부분에 집중하도록 보존하는 것입니다.

현재 빌더들에게 이것이 의미하는 바​

2026년에 제품을 출시하는 팀들에게 있어, Guillemet의 경고는 몇 가지 구체적인 변화로 이어집니다:

• AI가 생성한 코드는 기본적으로 신뢰할 수 없는 것으로 간주하십시오. 코드가 아무리 깔끔해 보이더라도 메인넷 (mainnet) 에 배포하기 전에 정형 검증 (formal verification) 이나 속성 기반 테스트 (property-based testing) 를 거쳐야 합니다.
• 관리자 키를 하드웨어 보안 장치로 옮기십시오. 핫 사이너 (hot signer) 를 포함한 멀티시그 (multi-sig) 는 더 이상 트레저리 (treasury) 등급의 컨트랙트에 허용되는 보안 태세가 아닙니다. Drift 사건은 "신뢰할 수 있는" 팀원조차 파괴적인 트랜잭션에 사전 서명하도록 사회공학적 (social engineering) 기법에 당할 수 있음을 증명했습니다.
• 피싱 공격 표면이 코드 공격 표면보다 크다고 가정하십시오. Zerion 탈취 (10만 달러) 와 전반적인 피싱 사고의 207% 급증은 공격자의 가장 효율적인 비용 투입이 솔리디티 (Solidity) 가 아닌 여전히 인간을 향하고 있음을 시사합니다.
• 지속적이고 자동화된 모니터링을 위한 예산을 책정하십시오. 주간 감사 (audit) 주기는 SCONE-bench 등급의 도구를 24시간 내내 실행하는 공격자에 대한 방어책이 될 수 없습니다.

이 중 새로운 아이디어는 없습니다. 바뀐 것은 긴급성의 곡선입니다. LLM 이전 시대에는 다른 영역이 강력하다면 이러한 영역 중 하나에서 결함이 발생해도 조직이 살아남을 수 있었습니다. 2026년에는 비용의 비대칭성이 너무 커서 그러한 허점을 용납할 수 없습니다.

정직한 분석​

Guillemet의 경고를 하드웨어 지갑 벤더인 Ledger가 자사 제품을 홍보하기 위한 주장으로 치부하고 싶은 유혹이 생길 수 있습니다. 하지만 그렇게 해석하는 것은 실수일 것입니다. Anthropic의 레드팀, A1 및 SCONE-bench를 개발한 학술 그룹, CertiK의 2026년 전망, 그리고 매달 발생하는 해킹 총액을 추적하는 온체인 분석 업체들이 독립적으로 동일한 주장을 펼치고 있습니다. 업계의 컨센서스는 한 지점으로 모이고 있습니다. 즉, 유능한 익스플로잇 (exploit) 비용이 10배에서 100배가량 낮아졌으며, 방어 스택도 그에 맞춰 진화해야 한다는 점입니다.

진정으로 새로운 점은 이것이 2020년대 초 DeFi 썸머의 감사 수요 급증 이후 블록체인 보안 분야에서 발생한 첫 번째 주요 비대칭적 변화라는 것입니다. 당시의 파동은 감사 법인, 버그 바운티 플랫폼, 정형 검증 스타트업 세대를 만들어냈습니다. 2026년의 파동은 다른 것을 만들어낼 것입니다. 바로 지속적인 AI 모니터링 인프라, 하드웨어 기반 서명의 기본값 설정, 그리고 보안 모델이 여전히 "리뷰 단계에서 잡아낼 수 있다"는 낙관에 의존하는 컨트랙트에 대한 훨씬 더 냉혹한 회의론입니다.

Guillemet이 언급한 1.22 달러라는 수치는 — 비록 그 정확한 수치가 Ledger가 아닌 Anthropic의 연구 결과라 할지라도 — 한 시대의 종말을 알리는 통계입니다. 이 수치가 끝내는 시대는 공격자의 노동력이 병목 현상이었던 시대입니다. 이 수치가 시작하는 시대는 방어자가 아직 자동화하지 못한 것이 무엇이든 그것이 바로 병목 현상이 되는 시대입니다.

BlockEden.xyz는 Sui, Aptos, Ethereum, Solana 및 20개 이상의 기타 네트워크에서 블록체인 RPC 및 인덱싱 인프라를 운영하며, 요청 경로에 AI 지원 이상 징후 모니터링이 내장되어 있습니다. 포스트 LLM 위협 환경에 맞춰 보안 태세를 재구축하고 있다면, 인프라 서비스 탐색을 하거나 문의를 통해 귀하의 프로토콜에 대한 지속적인 모니터링을 논의해 보십시오.

출처​

• AI is breaking crypto security by making hacks cheaper and easier, Ledger CTO warns — CoinDesk
• Smart Contracts — red.anthropic.com
• AI agents spend just $1.22 to shatter smart contract security — CryptoSlate
• AI Agent Smart Contract Exploit Generation (A1) — arxiv.org
• 2025 Crypto Theft Reaches $3.4 Billion — Chainalysis
• Crypto hacks hit $17 billion in 2025 — CoinDesk
• Drift Protocol Hack: How Privileged Access Led to a $285M Loss — Chainalysis
• North Korean Hackers Attack Drift Protocol — TRM Labs
• Kelp DAO exploited for $292 million — CoinDesk
• Phishing, Deepfakes To Fuel 2026's Biggest Crypto Hacks — Cointelegraph
• Anthropic's Mythos AI is exposing the hidden cracks in crypto's foundation — CoinDesk

2026년 5월 18일, 크립토 역사상 가장 기이한 실험이 변곡점에 도달합니다. 6,000만 명의 등록 사용자 — 이들 중 대부분은 DEX를 열어보거나 토큰을 스왑하거나 트랜잭션에 서명해 본 적이 없습니다 — 가 스마트 컨트랙트의 스위치를 올립니다. 같은 주, 1억 8,450만 개의 PI 토큰이 이미 0.18달러 부근에서 얇게 거래되고 있는 시장에 풀립니다. Pi 네트워크의 프로토콜 23(Protocol 23)은 프로그래밍 기능이 표류하던 결제 체인을 구해내는 순간이 될 수도 있고, 공급 과잉이 업그레이드 내러티브를 통째로 집어삼키는 순간이 될 수도 있습니다.

어느 쪽이든, 이 정도 규모의 "일반인" 사용자 기반에 EVM 스타일의 스마트 컨트랙트를 직접 도입하려는 시도는 이번이 처음입니다. 스텔라(Stellar)의 소로반(Soroban)은 송금 사업자 커뮤니티를 대상으로 출시되었습니다. 트론(TRON)의 TVM은 USDT 파워 유저들을 대상으로 출시되었습니다. Pi는 매일 한 번 버튼을 누르기 위해 모바일 앱을 다운로드한 사람들을 대상으로 출시됩니다.

그 결과는 올해 발표된 그 어떤 로드맵 문서보다 소비자용 Web3의 향방에 대해 더 많은 것을 시사할 것입니다.

크립토 역사상 최악의 메인넷 데이를 피하기 위해 설계된 3단계 업그레이드​

프로토콜 23 출시는 그 신중함 면에서 매우 이례적입니다. Pi 코어 팀은 특정 날짜에 일제히 전환(flag-day cutover)하는 대신 업그레이드를 순차적인 단계로 나누었습니다.

• 2026년 4월 22일 — v22.1: 421,000개의 모든 활성 메인넷 노드에 적용되는 필수 중간 릴리스로, 동기화 동작을 강화하고 스마트 컨트랙트 영역을 위한 합의 레이어를 준비합니다.
• 2026년 5월 11일 — 프로토콜 23 활성화 창 오픈: 업그레이드를 완료한 노드에서 스마트 컨트랙트 로직을 사용할 수 있게 됩니다.
• 2026년 5월 15일 — 최종 마감: 모든 메인넷 노드는 v23.0 버전으로 업데이트되어야 하며, 그렇지 않으면 합의에서 제외될 위험이 있습니다.
• 2026년 5월 18일 — 네트워크 전체 활성화: 421,000개 노드 전체 메쉬에서 스마트 컨트랙트가 라이브로 가동됩니다.

이것이 중요한 이유: 결제 우선 기반에 프로그래밍 기능을 추가한 대부분의 체인은 단일 조정 포크를 통해 이를 수행했습니다. Pi의 3단계 접근 방식은 신생 L1들이 종종 간과하는 구조적 현실을 인정합니다. 즉, 노드 운영자들이 데이터 센터의 랙 마운트가 아니라 주로 주거용 네트워크 환경에서 모바일급 하드웨어를 사용하고 있다는 점입니다. 주로 휴대폰과 가정용 컴퓨터로 구축된 421,000개의 검증인 메쉬는 일시적인 대규모 전환을 견딜 수 없습니다. 업그레이드를 거의 4주에 걸쳐 순차적으로 진행하는 것이 합의 레이어를 온전하게 유지할 수 있는 유일한 방법입니다.

바로 이러한 제약 조건이 Pi를 현재 스마트 컨트랙트 플랫폼으로 합류하려는 다른 체인들과 구조적으로 차별화하는 요소입니다.

6,000만 파이오니어 기반이 이야기의 핵심입니다​

대부분의 L1 출시는 두 가지 관객 중 하나에 최적화됩니다. 더 빠른 EVM을 원하는 개발자, 혹은 더 저렴한 거래 장소를 원하는 트레이더입니다. Pi는 다른 누구도 대규모로 보유하지 못한 세 번째 관객을 보유하고 있습니다. 바로 모바일 앱이 번개 모양 버튼을 눌러 토큰을 채굴하라고 해서 가입한 230개국 이상의 6,000만 명의 사람들입니다.

주목해야 할 주요 수치:

• 230개국 이상에서 6,000만 명 이상의 활성 멤버
• 2026년 3월 기준 1,650만 명 이상의 파이오니어가 KYC를 완료하고 메인넷으로 마이그레이션
• 421,000개의 활성 검증인 노드 — 순수 참여자 수 기준으로는 이더리움의 비콘 체인 검증인 수보다 많지만, 아키텍처는 매우 다름
• Pi App Studio (2025년 6월 출시): AI 노코드 툴을 사용하여 출시 첫 몇 달 동안 7,932개의 커뮤니티 앱 생성
• 2025 해커톤에 215개 이상의 프로젝트 제출

이들은 DeFi 네이티브 집단이 아닙니다. 이들의 성향은 솔라나나 베이스를 채우는 지갑 사용자들보다 초기 위챗이나 초기 텔레그램 사용자들에 더 가깝습니다. 바로 이 차이점이 프로토콜 23이 흥미로운 이유이자, 동시에 위험한 이유이기도 합니다.

만약 Pi의 KYC 완료 사용자 기반 중 단 1%만이라도 첫 분기에 스마트 컨트랙트를 접한다면, 이는 신규 스마트 컨트랙트 체인에 월간 활성 dApp 사용자(MAU)가 165,000명 탄생하는 것을 의미합니다. 솔라나는 2021년이 되어서야 이 수치를 넘어섰습니다. 만약 0.1%만 사용한다면, 이번 업그레이드는 단순한 실험에 그칠 것이며 체인은 추가 단계가 포함된 결제 레일에 머물게 될 것입니다.

소로반, TVM, 플루투스 비교가 생각보다 중요한 이유​

세 가지 전례는 "결제 체인 상의 스마트 컨트랙트"가 실제로 어떻게 전개되는지에 대해 많은 것을 시사합니다.

**스텔라의 소로반 (2024년 3월 19일)**은 1억 달러 규모의 도입 펀드와 2년간의 프리뷰 기간 동안 축적된 190개의 테스트넷 프로젝트와 함께 출시되었습니다. 2년이 지난 지금, 소로반의 개발자 생태계는 실재하지만 그 규모는 수천 개가 아닌 수십 개의 프로덕션 dApp 수준에 머물러 있습니다. 스텔라의 교훈: 재단 주도의 도입 펀드는 개발자 파이프라인을 구축하지만, 기존 결제 사용자 기반을 스마트 컨트랙트 사용자로 전환하는 것은 느린 과정입니다.

**트론의 TVM (2018년 중반)**은 많은 체인이 조용히 연구하는 전환 성공 사례입니다. 트론은 저렴하고 빠른 토큰 전송을 원하는 사용자층을 확보했습니다. USDT 발행이 트론으로 마이그레이션되었을 때, 이 체인은 현재 모든 블록체인을 통틀어 거래량 기준 가장 큰 스테이블코인 전송 시장을 점유하게 되었습니다. 트론의 교훈: 단 하나의 킬러 앱이 체인의 경제적 기본 기능(트론의 경우 USDT 전송)에서 제품 시장 적합성(Product-Market Fit)을 찾는다면, 결제 체인의 스마트 컨트랙트는 거대해질 수 있습니다.

**카르다노의 플루투스 / 알론조 (2021년 9월)**는 오랫동안 기다려온 커뮤니티를 대상으로 출시되었습니다. 3년 후, 카르다노의 TVL과 dApp 활동은 중위권 EVM L2들의 아주 적은 부분에 불과합니다. 카르다노의 교훈: 기술적 준비도와 커뮤니티 규모가 자동으로 프로그래밍 기능 채택으로 이어지지는 않습니다. UTXO 모델과 생소한 개발자 도구들은 전환을 더디게 만듭니다.

Pi는 한 가지 결정적인 차이점과 함께 스텔라나 카르다노보다는 트론에 더 가까운 위치에 있습니다. Pi의 사용자 기반은 출시 시점에 그 어떤 체인보다 크지만, 크립토 문해력은 훨씬 낮습니다. 트론의 전략은 사용자들이 이미 이해하고 있는 행동 방식(스테이블코인, DEX, 송금 흐름 등)에 부합하는 킬러 앱이 Pi에서 나타날 때만 유효할 것입니다.

PiDex와 AMM에 대한 의문​

파이 네트워크(Pi Network)는 프로토콜 23을 기반으로 한 네이티브 탈중앙화 거래소인 PiDex를 2026년 중반에 출시할 것이라고 예고했습니다. 이는 코어 팀이 업그레이드 이후 로드맵의 일부로 약속한 첫 번째 구체적인 dApp입니다.

PiDex는 일반적인 DEX 출시보다 더 큰 의미를 갖습니다. 모든 소비자 중심 Web3 가설이 의존하고 있는 핵심 질문, 즉 "AMM 거래 흐름을 DeFi에 익숙하지 않은 사용자도 이해할 수 있게 만들 수 있는가?"를 시험하기 때문입니다. 기존의 대부분 DEX UI는 사용자가 풀 메커니즘, 슬리피지, 비영구적 손실, 가스 가격 책정을 이해하고 있다고 가정합니다. 파이의 사용자 기반은 기본적으로 이러한 개념들을 이해하지 못합니다.

만약 PiDex의 UX가 거래 경험을 단순화하여 탭 투 마인(tap-to-mine) 사용자가 첫 시도에 완료할 수 있을 정도로 만든다면, 소비자 중심 Web3 가설은 실질적인 데이터 포인트를 얻게 될 것입니다. 그렇지 못한다면 PiDex는 DeFi 트레이더들은 무시하고 기존 파이 사용자들은 손대지 않는 또 다른 DEX로 남게 될 것입니다.

215개의 해커톤 출품작과 7,932개의 파이 앱 스튜디오(Pi App Studio) 창작물은 코어 팀이 개발자 편의성보다 소비자 UX가 더 중요하다는 점을 최소한 인지하고 있음을 시사합니다. 그것이 PiDex를 위한 올바른 디자인 선택으로 이어질지는 여전히 열려 있는 질문입니다.

1억 8,450만 개의 토큰 언락: 프로그래밍 가능성 vs 매도 압력​

프로토콜 23의 타이밍은 우연이 아니며, 완전히 우호적이지도 않습니다. 약 1억 8,450만 개의 PI 토큰이 2026년 5월 내내 언락될 예정입니다. 이는 현재 가격인 0.18달러 기준으로 약 3,300만 달러의 신규 공급량이며, 24시간 거래량이 2,700만 달러인 시장에 쏟아지게 됩니다. 언락 물량만으로도 하루 전체 거래량을 상회합니다.

현재 두 가지 시나리오가 팽팽하게 맞서고 있습니다.

1. 프로그래밍 가능성이 공급을 흡수: 스마트 컨트랙트가 장기 보유자에게 새로운 사용 사례를 제공합니다. PiDex 풀에 스테이킹하거나, 유동성을 공급하거나, 수익 창출형 dApp에 토큰을 예치하거나, RWA(실물 자산) 토큰화 실험에 기여하는 방식입니다. 팔려고 했던 보유자들이 대신 자산을 운용하게 됩니다. 이는 트론(TRON)의 USDT 사례가 TRX 수요에 미친 영향과 유사합니다.
2. 프로그래밍 가능성이 공급을 증폭: 언락 수혜자들이 얇은 유동성 시장에 물량을 던집니다. 새로운 사용 사례가 성숙하는 데는 6~12개월이 걸립니다. 스마트 컨트랙트 활성화가 공급 파도를 막기에는 너무 늦게 도착합니다. 가격은 0.15달러 이하의 지지선을 다시 테스트하게 됩니다.

업그레이드를 앞둔 가격 차트는 아직 어느 시나리오도 완전히 승리하지 못했음을 보여줍니다. PI는 연고점인 0.298달러에서 하락하여 시가총액 18.5억 달러(46위)인 0.18달러 근처에서 횡보하고 있습니다. 시장은 공급과 유틸리티 방정식 중 어느 쪽이 먼저 자리를 잡을지 지켜보고 있습니다.

마이애미에서 열리는 Consensus 2026에 청디아오 판(Dr. Chengdiao Fan) 박사가 5월 6일에, 니콜라스 코칼리스(Nicolas Kokkalis)가 5월 7일에 등장하는 것은 언락이 시작되는 바로 그 주에 기관 투자자들에게 내러티브를 전달하기 위해 설계된 것입니다. 코어 팀은 업그레이드가 공급을 흡수하기 위해 개발자 이야기뿐만 아니라 기관을 설득할 수 있는 이야기가 필요하다는 점을 분명히 이해하고 있습니다.

RPC 인프라에 미치는 의미​

421,000개의 노드를 가진 스마트 컨트랙트 체인은 현재의 상위 50개 L1 어디에도 존재하지 않는 RPC 수요 패턴을 생성합니다. 파이의 노드들은 가정용 하드웨어에서 실행됩니다. 이러한 노드들은 인덱싱된 히스토리 쿼리를 안정적으로 처리하거나, 프로덕션 수준의 dApp 처리량을 지원하거나, 기관 통합에 필요한 지연 시간 수준을 유지할 수 없습니다.

나타날 패턴은 익숙할 것입니다. 프로토콜 23 이후 개발자 활동이 급증함에 따라, dApp들은 검증인 기반의 이질성을 추상화해 줄 RPC 제공업체가 필요하게 될 것입니다. 모바일 등급의 노드는 합의 참여에는 훌륭하지만 프로덕션 등급의 RPC에는 적합하지 않습니다. 이더리움, 솔라나, BNB 체인 등 소비자 채택 임계값을 넘은 모든 체인은 "직접 노드 운영"에서 "전문 인프라 사용"으로 전환되는 동일한 진화 과정을 거쳤습니다.

파이의 경로도 동일하겠지만, 훨씬 압축된 형태로 진행될 것입니다. 6,000만 명의 사용자 중 극히 일부라도 2026년 말에 dApp을 활발히 사용한다면, 파이의 RPC 시장은 트론의 USDT 규모가 만들어낸 것과 비슷해질 수 있습니다. 즉, 주류 Web3가 수년간 외면해 왔지만 조용히 암호화폐 시장에서 가장 큰 인프라 시장 중 하나가 된 체인의 모습입니다.

2026년 5월 18일부터 4분기 사이에 주목해야 할 세 가지​

1. 첫 번째 100만 MAU 소비자 dApp: 파이의 기존 사용자 기반에서 2026년 4분기까지 월간 활성 사용자(MAU) 100만 명을 돌파하는 단 하나의 dApp이라도 나올 것인가? 만약 그렇다면, 파이의 소비자 중심 Web3 가설은 현실이 됩니다. 아니라면, 업그레이드는 사용자 행동을 바꾸지 못한 기술적 성취에 그칠 것입니다.
2. PiDex 유동성 vs CEX 우위: 의미 있는 PI/USD 유동성이 PiDex로 이동할 것인가, 아니면 Bitget, OKX, Kraken에 머물 것인가? 온체인 유동성은 스마트 컨트랙트가 실제로 사용되고 있는지를 보여주는 선행 지표입니다.
3. 파이 상의 스테이블코인 발행: 트론의 전례를 따를 때, 프로토콜 23 이후 가장 중대한 사건은 스테이블코인 발행사(Tether, Circle, Paxos 또는 지역 발행사)가 파이 네트워크에 배포하느냐 여부입니다. 파이의 사용자 기반은 스테이블코인 송금 수요가 가장 높은 시장들에 지리적으로 정확히 분포되어 있습니다.

더 큰 도박​

프로토콜 23은 소비자 앱 배포 모델이 스마트 컨트랙트 수요를 창출할 수 있는지에 대한 내기입니다. 다른 모든 주요 L1은 체인이 이미 프로그래밍 가능한 상태가 된 이후에 사용자 기반을 확장했습니다. 파이는 6,000만 명의 사용자를 먼저 확보하고, 두 번째로 프로그래밍 가능성을 추가하고 있습니다.

이 내기가 성공한다면, 파이는 대중 시장 소비자 앱이 Web3로 들어오는 현관문이 될 수 있음을 증명하는 첫 번째 사례가 될 것입니다. 이때 스마트 컨트랙트는 사용자가 눈치채지 못하는 배관 역할을 하게 됩니다. 실패한다면, 파이는 스마트 컨트랙트를 추가했지만 대중이 그것을 원하지 않는다는 것을 깨닫게 된 수많은 결제 체인 목록에 이름을 올리게 될 것입니다.

어느 쪽이든 5월 18일은 2026년 가장 흥미로운 업그레이드 날 중 하나가 될 것이며, 여기서 나오는 데이터는 차세대 소비자 중심 L1들이 배포와 프로그래밍 가능성의 순서에 대해 생각하는 방식을 재편할 것입니다.

---

BlockEden.xyz는 27개 이상의 블록체인에서 엔터프라이즈급 RPC 및 인덱싱 인프라를 제공하며, 신흥 소비자 중심 Web3 플랫폼에서 구축하는 개발자들을 지원합니다. 파이 네트워크 및 기타 소비자 규모의 체인들이 스마트 컨트랙트로 전환함에 따라, 차세대 대중 시장 dApp을 위해 구축된 프로덕션 지원 인프라를 API 마켓플레이스에서 확인해 보세요.

DeFi 프로토콜은 2026년 1분기 동안 145건의 보안 사고를 통해 약 4억 5,000만 달러의 손실을 입었습니다. 특히 단 한 번의 트랜잭션으로 TVL의 절반 이상을 탈취한 Drift Protocol의 2억 8,500만 달러 규모의 해킹 사건이 정점을 찍었습니다. 이는 2008년 금융 위기가 신용부도스왑(CDS) 규제를 정상화했거나, 랜섬웨어가 5년 만에 150억 달러 규모의 사이버 보험 시장을 창출한 것처럼, 온체인 보험이 마침내 대중화되는 계기가 되었어야 했습니다.

하지만 DeFi 보험 부문은 여전히 보호해야 할 자산의 0.5 % 미만을 커버하고 있습니다. Nexus Mutual, InsurAce 및 기타 온체인 보험사들의 전체 활성 보장 잔액을 합쳐도 Drift 피해자들에게 전액 보상을 해주기엔 턱없이 부족합니다. 이 수치는 단순한 무관심보다 더 깊은 문제를 시사합니다. DeFi 보험이 확장되지 못하는 구조적 이유는 역설적이게도 DeFi가 작동하는 이유와 동일합니다. 하나를 고치려 하면 다른 하나가 망가지는 구조입니다.

지난 10년의 대부분 동안 이더리움의 보안 내러티브는 "금융의 미래를 위해 충분히 안전함"이라는 열망 섞인 것이었습니다. 2026년, 그 미래는 예상보다 빨리 다가왔고 이더리움 재단(Ethereum Foundation)은 이제 더 이상 조건부로 말하기를 멈췄습니다.

2026년 2월 5일, 재단은 6개 엔지니어링 영역 전반에서 네트워크의 방어 상태를 추적하는 실시간 "1조 달러 보안 대시보드(Trillion Dollar Security Dashboard)"를 공개했습니다. 4일 후에는 월렛 드레이너(wallet drainers, 지갑 탈취기)를 소탕하기 위해 보안 연맹(SEAL)과의 공식 파트너십을 발표했습니다. 4월 14일까지 재단은 Nethermind, Chainlink Labs, Areta 및 20개 이상의 최상위 감사 기업들과 함께 100만 달러 규모의 감사 보조금 풀을 약정했습니다. 이 세 가지 움직임을 관통하는 기조는 동일하며 이례적으로 직설적입니다. 이더리움은 이미 약 1,750억 달러 이상의 스테이블코인, 125억 달러 이상의 토큰화된 실물 자산(RWA), 수천억 달러 규모의 DeFi 스택을 보호하고 있으며, "1조 달러 임계값"은 이제 마케팅 문구가 아닌 운영 사양(operating spec)이라는 것입니다.

이는 조용하지만 심오한 프레임의 재구성입니다. 수년 동안 이더리움 재단의 보안 자금 지원은 프로젝트별 버그 바운티, ESP 그랜트, 간헐적인 감사 위원회의 구조 작업 등 파편화되어 있었습니다. 2026년의 이니셔티브는 "1조 달러 보안"을 단일 시스템 레벨의 엔지니어링 문제로 취급하며, 이전의 접근 방식이 위험에 처한 자산 가치에 비해 구조적으로 과소평가되었음을 암시적으로 인정하고 있습니다.

"크립토 네이티브에게 적합함"에서 "규제된 자본을 위해 설계되었음을 증명함"으로​

이더리움 메인넷에서 보호되는 자산 규모는 수년 동안 이더리움 자체의 보안 지출을 앞질러 왔습니다. 1,850억 달러 이상의 테더(Tether) 미국 국채 준비금, 블랙록(BlackRock)의 22억 달러 규모 BUIDL 기업 어음 토큰화, JP모건의 토큰화된 머니마켓 펀드, 그리고 2026년 말까지 3,000억 달러에 달할 것으로 예상되는 토큰화된 RWA 시장 모두 "기관급 규모의 이더리움 메인넷 보안"을 수탁의 근거로 명시하고 있습니다. 그러나 2026년 이전까지 모든 이더리움 얼라이언스 팀의 연간 보안 지출은 수천만 달러 수준에 불과했습니다.

비교를 위해, 단 하나의 전통 금융(TradFi) 청산소인 DTCC만 해도 2024년에 4억 달러 이상의 사이버 보안 지출을 보고했습니다. SWIFT와 연준(Federal Reserve) 결제 시스템은 각각 수십억 달러 규모의 전담 보안 조직을 운영합니다. 보호되는 자산 가치와 보안 투자 사이의 불일치는 작은 간극이 아니었습니다. 이는 일반적인 금융 인프라 맥락에서는 자격 미달 수준의, 자릿수가 다른 격차였습니다.

"1조 달러 보안" 이니셔티브는 쉬운 말로 표현하자면, 이더리움 재단이 그 격차를 인정하고 이에 맞춰 예산을 책정하는 것입니다.

대시보드: 솔리디티를 읽지 못하는 사람들을 위해 보안을 가독성 있게 만들기​

이번 발표에서 가장 과소평가된 부분이자 크립토 네이티브 청중에게 가장 생소한 것은 바로 trilliondollarsecurity.org의 공개 대시보드입니다. 이 대시보드는 사용자 경험, 스마트 컨트랙트, 인프라 및 클라우드 보안, 합의 프로토콜, 모니터링 및 사고 대응, 사회적 계층 및 거버넌스의 6개 차원에서 이더리움의 등급을 매깁니다.

각 영역은 현재의 리스크, 진행 중인 완화 전략, 진행 지표를 보여줍니다. 핵심은 비밀을 드러내는 것이 아닙니다. 기관의 리스크 관리 책임자(CRO)가 컴플라이언스 위원회에 제출할 수 있는 일관된 결과물을 제공하는 것입니다. "이더리움은 안전하다"는 것은 막연한 느낌입니다. "이더리움은 합의 클라이언트 다양성에서 X점, 사고 대응 시간에서 Y점, 감사된 TVL 비중에서 Z점을 기록했다"는 것은 정보보호최고책임자(CISO)가 서명할 수 있는 보고서가 됩니다.

이러한 커뮤니케이션 계층이 중요한 이유는 이더리움의 실제 보안 상태가 시장이 정중하게 침묵해온 방식으로 불균형하기 때문입니다. 다음 세 가지 수치가 이를 잘 보여줍니다.

• Geth의 실행 클라이언트 점유율은 41%에 육박하며, 이는 단일 클라이언트 버그가 최종성(finality)을 위협할 수 있는 33% 임계값에 위험할 정도로 근접해 있습니다. Nethermind(38%)와 Besu(16%)가 추격하고 있지만, 다양성이 아직 구조적으로 정착되지는 않았습니다.
• Lighthouse는 합의 클라이언트의 52.65%를 점유하고 있으며, Prysm은 17.66%입니다. 2025년 12월 Prysm의 리소스 고갈 버그로 인해 42개 에포크(epoch)에 걸쳐 248개의 블록 누락이 발생하여 참여도가 75%로 떨어졌고 검증인들은 약 382 ETH의 손실을 입었습니다. 이는 적은 손실이지만, 클라이언트 집중이 이론적인 위험이 아닌 실제적인 최종성 리스크임을 명확히 보여주었습니다.
• 2025년에만 월렛 드레이너가 이더리움 사용자로부터 8,385만 달러를 탈취했습니다. 이는 스마트 컨트랙트 감사가 결코 건드리지 못하는 사회적 계층의 공격 표면입니다.

대시보드의 역할은 이러한 수치들을 가시화하여 재단, 클라이언트 팀, 인프라 제공업체들이 이를 올바른 방향으로 개선하도록 지속적인 압력을 가하는 것입니다. 공개된 성적표는 비공개 성적표가 할 수 없는 일을 해냅니다.

SEAL과 아무도 책임질 여력이 없었던 월렛 드레이너 문제​

SEAL 파트너십은 대시보드의 첫 번째 구체적인 성과물입니다. 이더리움 재단은 이제 SEAL의 정보 팀에 소속된 풀타임 보안 엔지니어에게 자금을 지원하며, 특히 개인 사용자를 대상으로 하는 지배적인 공격 벡터인 피싱 키트, 서명 유도 사이트, 주소 포이즈닝 캠페인 등 월렛 드레이너 인프라를 식별하고 차단하는 일을 수행합니다.

월렛 드레이너는 크립토 업계에서 다루기 까다로운 문제입니다. 스마트 컨트랙트 버그가 아니기 때문에 전통적인 감사법으로는 해결할 수 없습니다. 프로토콜 버그도 아니기에 클라이언트 팀이 패치할 수도 없습니다. 이들은 MetaMask, ENS, 서명 UX, 그리고 인간의 주의력 사이의 틈새인 '사회적 계층'에 서식하며, 그동안 어떤 단일 엔티티도 이를 운영할 예산이나 권한을 갖지 못했습니다.

재단이 SEAL에 직접 자금을 지원하는 것은 조용하지만 중요한 선례가 됩니다. 이는 사회적 계층도 프로토콜 위협 모델의 일부이며, 온체인 결과물이 나오지 않더라도 재단이 이를 방어하기 위해 비용을 지불하겠다는 의지입니다. 밖에서 지켜보는 기관 발행사들에게 이는 그들이 결제 계층(settlement layer)에 기대하는 "전체 스택을 책임지는" 자세와 정확히 일치합니다.

또한 이는 전술적인 베팅이기도 합니다. 드레이너는 공격자의 반복 속도와 방어자의 대응 시간 사이의 비대칭성을 먹고 자랍니다. 몇 주가 아닌 몇 시간 내에 캠페인을 식별하고 인프라를 무력화할 수 있는 전담 정보 팀은 그 계산법을 완전히 바꿔 놓을 것입니다.

100만 달러 감사 보조금: 공공재로서의 보안 가격 책정​

4월 14일, 재단은 승인된 프로젝트를 대상으로 감사 비용의 최대 30%를 지원하는 100만 달러 규모의 감사 보조금 프로그램을 발표했습니다. 이 프로그램은 자금이 소진될 때까지 매월 새로운 코호트를 선정합니다. 위원회 파트너로는 Nethermind, Chainlink Labs, Areta가 참여하며, 20개 이상의 감사 법인이 공급 측면에서 협력합니다.

자격 설계가 흥미로운 부분입니다. 규모에 관계없이 모든 이더리움 메인넷 빌더가 신청할 수 있지만, 재단의 "CROPS" 원칙인 검열 저항성 (Censorship Resistance), 오픈 소스 (Open Source), 프라이버시 (Privacy), 보안 (Security)을 발전시키는 프로젝트에 우선순위가 주어집니다. 즉, 재단은 수익을 추구하는 프로토콜보다 공공재 성격의 인프라에 우선적으로 보조금을 지원할 것입니다. 이는 감사 비용으로 인해 소규모이지만 아키텍처적으로 중요한 팀들이 전문적인 검토를 받지 못하고 있다는 점을 재단이 명시적으로 인정한 것이며, 재단은 이러한 격차를 사적인 위험이 아닌 네트워크 수준의 위험으로 보고 있습니다.

이 설계에는 구조적 통찰력이 담겨 있습니다. 스마트 컨트랙트 감사는 긍정적 외부효과 (positive externality)를 가집니다. 널리 사용되는 라이브러리에 대한 깨끗한 감사 결과는 그 위에서 서비스를 구축하는 모든 사람에게 이익이 됩니다. 시장은 체계적으로 이러한 긍정적 외부효과를 과소평가하며, 이는 감사 공급의 균형점이 사회적 최적 수준보다 낮음을 의미합니다. 보조금은 전형적인 경제학적 개입 방식입니다. 재단은 자선 사업을 하는 것이 아니라, 매 분기 이더리움 사용자들에게 피해를 주는 시장 실패를 바로잡고 있는 것입니다.

해결되지 않는 과제와 다음 단계​

이 프로그램의 한계에 대해서도 솔직해질 필요가 있습니다. 100만 달러는 아마도 20개 정도의 중형 감사를 감당할 수 있는 수준입니다. 2026년 1분기에만 60건 이상의 사고로 인해 DeFi에서 4억 5천만 달러 이상의 손실이 발생했습니다. 2억 8,600만 달러 규모의 Drift 익스플로잇, 2,500만 달러 규모의 Resolv AWS-KMS 침해, 그리고 KelpDAO에서 발생한 LayerZero 관련 일련의 문제들은 이제 단순한 스마트 컨트랙트 버그보다 관리자 키, 클라우드 자격 증명, 공급망 침해와 같은 인프라 공격이 주를 이루고 있음을 상기시켜 줍니다.

감사는 도움이 되지만, 위에서 언급한 네 가지 손실 경로 중 단 하나도 직접적으로 해결하지 못합니다.

'1조 달러 보안 (Trillion Dollar Security)' 이니셔티브가 수행하는 역할 — 그리고 이것이 더 깊은 시사점입니다 — 은 제도적 질문을 "이더리움의 코드가 안전한가?"에서 "이더리움의 운영 태세 (operating posture)가 1조 달러 규모에서 안전한가?"로 재설정하는 것입니다. 두 번째 질문은 클라이언트 다양성, 모니터링 SLA, 사고 대응 조율, 사회적 계층 방어, 그리고 헤드라인을 장식하지는 않지만 지루한 엔지니어링 문화 작업을 포함합니다. 대시보드, SEAL 파트너십, 감사 풀은 이더리움이 진정으로 1조 달러 이상의 인프라로 운영되기 위해 필요한 다년간의 수억 달러 규모 프로그램의 첫 세 가지 항목입니다.

재단은 지원 규모를 계속 확대할 의향이 있음을 시사했습니다. Devconnect의 "Trillion Dollar Security Day"는 이제 연례 행사로 자리 잡았습니다. 2026년 프로토콜 우선순위 업데이트 (Protocol Priorities Update for 2026)에서는 이전 로드맵을 정의했던 모호한 "탈중앙화 우선" 프레임을 대신하여 L1 보안을 확장성 및 UX와 함께 3대 핵심 목표로 설정했습니다.

개발자와 인프라 제공업체에게 시사하는 바는 명확합니다. 보안 투자는 더 이상 선택적인 과시가 아닙니다. 이는 이더리움이 구조적으로 승리하고 있는 시장의 기관 부문에서 운영하기 위한 필수 비용입니다. BlockEden.xyz는 이더리움 및 15개 이상의 기타 체인에서 프로덕션급 RPC 및 인덱싱 인프라를 제공하며, 기관급 빌더들이 요구하는 가동 시간과 보안 기대치에 맞춰 설계되었습니다. API 마켓플레이스를 탐색하여 1조 달러 시대를 위해 설계된 기반 위에서 구축을 시작하세요.

출처​

• Trillion Dollar Security Project — Security Challenges Overview
• Trillion Dollar Security Dashboard
• Ethereum Foundation Blog — Trillion Dollar Security Day at Devconnect
• Ethereum Foundation Blog — Protocol Priorities Update for 2026
• Ethereum Foundation unveils $1M audit subsidy program — CoinDesk
• Ethereum Foundation backs $1M audit subsidy program — Crypto Briefing
• Ethereum Foundation launches 'One Trillion Dollar Security Dashboard' — Cryptopolitan
• Ethereum Foundation Partners with SEAL to Stop Wallet Drainer Attacks — CoinCentral
• Ethereum's tokenized RWA market jumps more than 300% YoY — The Block
• BlackRock Tokenizes $2.2B Corporate Bond Portfolio on Ethereum Mainnet — CoinReporter
• Client Diversity — clientdiversity.org
• Ethereum's Client Diversity: A Systemic Risk and Opportunity — AInvest

2026년 1분기, DeFi 스마트 컨트랙트 취약점 공격은 전년 대비 89% 급감했습니다. 하지만 암호화폐 시장은 여전히 약 5억 달러의 손실을 입었습니다. 모순처럼 들릴 수 있지만, 이는 The DAO 이후 Web3 보안에서 가장 중요한 구조적 변화입니다. 지난 10년 동안 암호화폐 헤드라인을 장식했던 버그들은 해결되고 있습니다. 공격자들은 단지 상위 계층으로 이동했을 뿐입니다.

Sherlock의 2026년 1분기 Web3 보안 보고서는 이 수치를 극명하게 보여줍니다. DeFi 전용 취약점 공격은 2025년 1분기 대비 약 89% 감소했으며, 이는 감사(audit), 형식 검증(formal verification), 그리고 실전에서 검증된 코드가 제 역할을 하고 있다는 가장 확실한 증거입니다. Hacken의 통계에 따르면 같은 분기 동안 Web3 전체 손실액은 4억 8,260만 달러에 달하며, 피싱과 사회 공학적 기법(social engineering)만으로 단 44건의 사고를 통해 3억 600만 달러의 피해가 발생했습니다. 무게 중심이 이동했지만, 업계의 방어 전략 대부분은 여전히 엉뚱한 방향을 향하고 있습니다.

2026년 1월, 한 사람이 전화를 받았습니다. 일상적인 지원 문의처럼 들리는 질문에 답한 결과, 그는 $ 282,000,000 상당의 비트코인(Bitcoin)과 라이트코인(Litecoin)을 잃었습니다. 스마트 컨트랙트가 악용된 것도 아니었습니다. 개인 키가 해킹된 것도, 오라클이 조작된 것도 아니었습니다. 공격자는 그저 시드 구문을 물어보았고, 피해자는 이를 직접 타이핑해 넣었을 뿐입니다.

현재 암호화폐 역사상 최대 규모의 사회 공학적 강도 사건으로 기록된 이 단일 사고는, 웹3(Web3) 보안 기업인 해큰(Hacken)이 추적한 2026년 1분기 전체 손실액의 절반 이상을 차지합니다. 해큰의 분기별 보고서는 업계에서 가장 주목받는 손실 장부가 되었습니다. 해큰의 2026년 1분기 수치는 냉혹합니다. 44건의 사고를 통해 총 $482,600,000가 도난당했으며, 이 중 피싱과 사회 공학적 기법이$ 306,000,000, 즉 전체 피해의 63 %를 차지했습니다. 2022년 ‘디파이 서머(DeFi Summer)’의 해킹 시대를 정의했던 카테고리인 스마트 컨트랙트 익스플로잇은 $ 86,200,000에 그쳤습니다.

이 수치들은 업계가 뒤늦게 흡수하고 있는 구조적 변화를 설명합니다. 공격자들은 더 이상 솔리디티(Solidity) 개발자보다 뛰어난 기술을 발휘하려 경쟁하지 않습니다. 대신 인간을 속이는 데 집중하고 있습니다. 우리가 첫 번째 유형의 공격을 방어하기 위해 구축한 인프라 — 감사, 버그 바운티, 정형 검증 — 는 두 번째 유형의 공격을 막는 데 거의 아무런 도움이 되지 않습니다.

단 한 통의 전화로 2억 8,200만 달러를 잃었습니다. 스마트 컨트랙트 취약점 공격도, 솔리디티(Solidity) 코드 한 줄의 수정도 없었습니다. 2026년 1월 10일, 가짜 IT 지원팀 직원이 하드웨어 지갑 '복구' 절차라며 암호화폐 보유자를 속였고, 대부분의 DeFi 프로토콜이 보유한 총 예치 자산(TVL)보다 더 많은 비트코인과 라이트코인을 가로챘습니다. 이 단 한 건의 사고는 Drift나 Kelp DAO의 피해 규모보다 크며, 2026년 1분기 Web3 전체 손실액의 절반 이상을 차지합니다.

Hacken의 2026년 1분기 블록체인 보안 및 컴플라이언스 보고서에 따르면, 이번 분기 동안 44건의 사고를 통해 총 4억 8,260만 달러의 자금이 도난당했습니다. 피싱과 사회 공학적 기법만으로 3억 600만 달러가 유출되었으며, 이는 분기 전체 피해액의 63.4%에 달합니다. 스마트 컨트랙트 취약점 공격은 8,620만 달러에 불과했습니다. 키 유출, 클라우드 자격 증명 노출, 멀티시그 탈취 등 액세스 제어 실패로 인해 7,190만 달러의 피해가 추가되었습니다. 수치는 명확합니다. 지난 분기 버그가 있는 코드에서 1달러가 도난당할 때마다, 공격자들은 코드 주변의 사람, 프로세스 및 자격 증명을 통해 약 3.5달러를 갈취했습니다.

지난 5년 동안 '보안 감사 완료(audited)'를 '안전함'의 동의어로 여겨온 업계에게 1분기 수치는 경종을 울리고 있습니다. 공격 지점은 이동했지만, 보안 지출은 그대로입니다.

올해 4월, 단 18일 만에 공격자들이 DeFi에서 6억 600만 달러를 탈취했습니다. 이 짧은 기간 동안 발생한 손실은 2026년 1분기 전체 손실액의 3.7배를 넘어섰으며, 2025년 2월 Bybit 해킹 사건 이후 최악의 달로 기록되었습니다. 솔라나(Solana)의 Drift와 이더리움(Ethereum)의 Kelp DAO, 이 두 프로토콜이 전체 피해액의 95%를 차지했습니다. 두 곳 모두 보안 감사를 마친 상태였습니다. 두 곳 모두 정적 분석을 통과했습니다. 또한 두 곳 모두 정기적인 업그레이드를 배포했으나, 이 과정에서 감사인이 검증했던 전제 조건들이 소리 없이 무효화되었습니다.

이것이 DeFi 리스크의 새로운 얼굴입니다. 2026년의 파괴적인 익스플로잇은 더 이상 지속적 통합(CI) 과정에서 퍼저(fuzzer)가 발견할 수 있는 재진입성(reentrancy) 버그나 정수 오버플로우(integer overflow)에 대한 것이 아닙니다. 그것은 바로 **업그레이드로 도입된 취약점(upgrade-introduced vulnerabilities)**에 관한 것입니다. 브리지 설정, 오라클 소스, 관리자 권한, 또는 메시징 기본값에 대한 미세한 변경 사항들이, 단 한 줄의 솔리디티(Solidity) 코드도 명백히 틀려 보이지 않음에도 불구하고 이전까지 안전했던 코드를 열린 문으로 바꾸어 놓았습니다.

DeFi에서 자산을 구축하거나, 수탁하거나, 단순히 보유하고 있다면 2026년 4월의 교훈은 뼈아플 것입니다. 3개월 전의 깨끗한 감사 보고서는 더 이상 오늘날 해당 프로토콜이 안전하다는 증거가 되지 못합니다.

4월의 패턴: 코드가 아닌 설정(Configuration)​

왜 "업그레이드로 도입된" 취약점이 별도의 카테고리로 다뤄져야 하는지 이해하려면, 실제로 발생한 두 건의 거대 익스플로잇 과정을 살펴봐야 합니다.

Drift Protocol — 2억 8,500만 달러, 2026년 4월 1일. 솔라나 최대의 무기한 선물 DEX인 Drift는 공격자들이 팀을 상대로 6개월간 진행한 사회공학적 캠페인 끝에 TVL의 절반 이상을 잃었습니다. 신뢰가 형성되자, 공격자들은 사용자가 나중에 제출할 트랜잭션에 미리 서명할 수 있도록 설계된 UX 편의 기능인 솔라나의 "듀러블 논스(durable nonces)" 기능을 이용했습니다. 이를 통해 Drift 보안 위원회 멤버들이 일상적인 운영 서명이라고 생각하도록 속여 승인을 받아냈습니다. 이 서명들은 결국 공격자에게 관리자 권한을 넘겨주었고, 공격자들은 가짜 담보 토큰(CVT)을 화이트리스트에 등록한 뒤 5억 개를 예치하고 실제 USDC, SOL, ETH로 2억 8,500만 달러를 출금했습니다. 솔라나의 기능은 설계된 대로 작동했습니다. Drift의 스마트 컨트랙트 또한 관리자가 지시한 대로 수행했습니다. 공격은 전적으로 멀티시그 서명자가 승인하고 있다고 생각한 내용과 실제로 승인된 내용 사이의 간극에서 발생했습니다.

Kelp DAO — 2억 9,200만 달러, 2026년 4월 18일. LayerZero에 의해 북한의 라자루스 그룹(Lazarus Group)의 소행으로 지목된 공격자들은 Kelp의 크로스체인 rsETH 브리지를 지탱하는 두 개의 RPC 노드를 침해했습니다. 그들은 실행 중인 바이너리를 교체하고 DDoS 공격을 이용해 검증인 페일오버(failover)를 강제했습니다. 그런 다음 악성 노드들은 LayerZero의 검증인에게 사기 트랜잭션이 발생했다고 알렸습니다. 이 익스플로잇은 Kelp가 **1-of-1 검증인 설정(1-of-1 verifier configuration)**을 사용했기 때문에 가능했습니다. 즉, LayerZero가 운영하는 단일 DVN이 크로스체인 메시지를 확인하는 독점적 권한을 가졌던 것입니다. LayerZero에 따르면, 이 1-of-1 설정은 퀵스타트 가이드의 기본값이며 현재 **네트워크 프로토콜의 약 40%**가 이를 사용하고 있습니다. 46분 만에 공격자는 전체 유통량의 약 18%인 116,500 rsETH를 탈취했으며, 20개 체인에 걸쳐 래핑된 담보들을 고립시켰습니다. rsETH가 상장된 Aave는 예치자들이 출금을 위해 몰려들면서 유동성 위기에 직면했습니다.

두 공격 모두 스마트 컨트랙트 버그를 필요로 하지 않았습니다. 대신 멀티시그 서명 흐름, 기본 DVN 개수, RPC 이중화와 같은 설정이 어떻게 "운영상의 세부 사항"에서 "보안을 지탱하는 핵심 전제"로 소리 없이 격상되었는지를 이해하는 것이 필요했습니다.

정적 감사가 이 부류의 버그를 놓치는 이유​

전통적인 DeFi 감사는 잘못된 위협 모델에 최적화되어 있습니다. Certik, OpenZeppelin, Trail of Bits, Halborn과 같은 업체들은 코드의 줄 단위 검토와 고정된 컨트랙트 버전에 대한 불변성 테스트(invariant tests)를 수행하는 데 탁월합니다. 이는 재진입성, 액세스 제어 실수, 정수 오버플로우 및 OWASP 스타일의 오류를 잡아냅니다.

하지만 업그레이드로 도입된 버그 부류는 이러한 워크플로우를 무력화하는 세 가지 특성을 가집니다:

1. 소스 코드가 아닌 조합된 런타임 동작 내에 존재합니다. 브리지의 안전성은 메시징 레이어의 검증인 설정, DVN 세트, 해당 DVN의 RPC 이중화, 그리고 운영자의 슬래싱 노출 정도에 달려 있습니다. 이 중 어느 것도 감사인이 읽는 솔리디티 코드에는 포함되어 있지 않습니다.

2. 초기 배포가 아닌 변경 사항에 의해 도입됩니다. Kelp의 브리지는 LayerZero v2가 처음 통합되었을 때만 해도 문제가 없었을 것입니다. DVN 개수가 위험해진 시점은 TVL이 공격할 가치가 있을 만큼 커지고 라자루스가 RPC 인프라를 침해하기 위해 투자한 이후였습니다.

3. **행동 차분 테스트(Behavioral differential testing)**가 필요합니다. 즉, "새로운 코드 경로에서도 불변성 X가 유지되었는가?"라는 질문에 답해야 하는데, 주요 감사 회사 중 어느 곳도 이를 정기적인 업그레이드 후 서비스로 상품화하지 않았습니다. 버전 1.0에서 일회성 감사를 받고, 버전 1.1에서 별도의 일회성 감사를 받지만, 1.0에서 1.1로 업그레이드하는 과정이 1.0이 의존하던 속성들을 깨뜨리지 않는다는 것을 지속적으로 확인해 주지는 않습니다.

2026년 1분기 통계는 이 간극을 수치로 보여줍니다. DeFi는 분기 전체 동안 34건의 사건을 통해 1억 6,550만 달러의 손실을 기록했습니다. 반면 4월 한 달 동안에만 12건의 사건으로 6억 600만 달러의 손실이 발생했습니다. 배포 측면에서는 1분기에 400억 달러 이상의 새로운 TVL이 추가되며 확장되었지만, 감사 역량, 사고 대응, 배포 후 검증 능력은 거의 제자리에 머물러 있었습니다. 무언가 터질 수밖에 없었던 상황이었습니다.

2026년을 대규모 피해의 해로 만드는 세 가지 동력​

1. 모든 레이어에서 가속화된 업그레이드 주기​

모든 L1 및 L2의 반복 주기가 빨라졌습니다. 이더리움의 Pectra 업그레이드가 활발히 롤아웃 중이며, Fusaka와 Glamsterdam은 설계 단계에 있고, Solana, Sui, Aptos는 모두 수 주 단위의 주기로 실행 레이어 변경 사항을 배포합니다. 각 체인 레벨의 업그레이드는 가스 시맨틱(gas semantics), 서명 체계 또는 트랜잭션 순서 방식을 미묘하게 변화시켜 애플리케이션 레이어의 가정에 파급 효과를 줄 수 있습니다. Drift의 익스플로잇은 명확한 사례입니다 — 사용자 경험의 편의를 위해 의도된 Solana의 기능(durable nonces)이 관리자 권한 탈취의 매개체가 되었습니다.

2. 리스테이킹으로 인한 업그레이드 표면적의 복합화​

EigenLayer(여전히 시장 점유율 80% 이상), Symbiotic, Karak, Babylon, Solayer와 같은 리스테이킹 스택은 문제에 세 번째 차원을 더합니다. rsETH와 같은 단일 LRT는 EigenLayer 위에 놓여 있으며, 이는 다시 네이티브 ETH 스테이킹 위에 놓여 있습니다. 각 레이어는 자체 일정에 따라 고유한 업그레이드를 배포합니다. EigenLayer의 슬래싱 시맨틱(slashing semantics) 변경은 해당 운영자의 검증을 사용하는 모든 운영자와 모든 LRT에 암묵적인 영향을 미칩니다. Kelp의 브릿지 자금이 유출되었을 때, 그 여파는 즉시 EigenLayer의 TVL을 위협했습니다. 동일한 예치자들이 한 번도 모델링해 본 적 없는 3단계 재가보장(rehypothecation) 노출을 가지고 있었기 때문입니다. 곧 출시될 EigenDA, EigenCompute, EigenVerify 확장을 포함한 EigenCloud의 로드맵은 이러한 노출 표면을 더욱 넓힐 뿐입니다.

3. 인간의 검토보다 빠르게 움직이는 AI 기반 DeFi 활동​

XION, Brahma Console, Giza와 같은 에이전트 스택은 이제 기계적인 속도로 업그레이드된 컨트랙트와 상호작용합니다. 인간 재무 담당자가 컨트랙트 업그레이드 후 다시 참여하기까지 수일을 기다리는 동안, 에이전트는 단 몇 시간 내에 이를 백테스트하고 통합하며 자본을 라우팅합니다. 불변성(invariant)을 조용히 깨뜨리는 모든 업그레이드는 인간 감사자가 이를 재검토하기 전에 적대적 흐름(adversarial flow)에 의해 스트레스 테스트를 받게 됩니다.

새롭게 등장하기 시작한 방어적 아키텍처​

고무적인 소식은 보안 연구 커뮤니티가 손을 놓고 있지 않았다는 점입니다. 2026년 4월의 손실은 네 가지 측면에서 구체적인 제안을 촉발했습니다.

지속적인 형식 검증 (Continuous formal verification). 일회성 계약이 아닌 지속적인 검증 보조금으로 자금을 지원받은 Certora와 Aave의 장기 협업은 이제 하나의 템플릿이 되었습니다. Certora Prover는 컨트랙트가 변경될 때마다 불변성 증명을 자동으로 재실행하여 머지(merge) 전에 결함을 드러냅니다. Halmos와 HEVM은 동일한 목표를 위한 대안적인 오픈 소스 경로를 제공합니다. 최근 형식 검증이 전통적인 감사가 놓쳤던 이더리움 Electra 업그레이드와의 통합 취약점을 포착했을 때, 이는 예외적인 사건이 아니라 미래의 예고편이었습니다.

업그레이드 차분(diff) 감사 서비스. Spearbit, Zellic, Cantina는 새로운 버전을 분리해서 보는 것이 아니라 두 컨트랙트 버전 사이의 *차이점(diff)*을 감사하는 유료 서비스를 시범 운영하기 시작했습니다. 이 모델은 각 업그레이드를 새로운 인증으로 취급하고 이전의 불변성이 유지되는지 명시적으로 검토합니다. 2026년 4월 14일에 Certora, Cyfrin, Dedaub, Hacken, Immunefi, Quantstamp, Sherlock, Spearbit, Zellic, Zokyo 등의 파트너와 함께 시작된 이더리움 재단의 100만 달러 감사 보조금 프로그램은 부분적으로 바로 이러한 종류의 작업에 대한 역량을 확장하는 것을 목표로 합니다.

카오스 엔지니어링 및 런타임 모니터링. OpenZeppelin Defender 및 신규 툴들은 포크된 메인넷 시뮬레이션을 CI 파이프라인에 연결하여 프로토콜이 제안된 모든 업그레이드에 대해 적대적 시나리오를 재현할 수 있도록 하고 있습니다. 이 규율은 Web2 SRE 관행에서 직접 차용한 것이며, DeFi에서는 이미 도입되었어야 할 항목입니다.

타임락(Time-locked) 업그레이드 에스크로. 모든 거버넌스 승인 업그레이드가 실행 전 고정된 지연 시간 동안 공개 큐에 머무르는 Compound Timelock v3 패턴은 커뮤니티가 내부 검토에서 놓친 문제를 발견할 수 있는 시간을 제공합니다. 이것이 업그레이드로 인해 도입된 버그를 완전히 방지하지는 못하지만, 익스플로잇이 발생하기 전에 이를 발견할 수 있는 시간을 벌어줍니다.

전통 금융(TradFi)과의 비교: DeFi 외부에서는 지속적 감사가 표준입니다​

전통 금융은 수십 년 전에 유사한 문제를 해결했습니다. 대부분의 기관 서비스 제공업체가 준수하는 표준인 SOC 2 Type II는 일회성 인증이 아니라 6개월에서 12개월 동안의 지속적인 감사 기간을 의미합니다. 바젤 III(Basel III)의 거래 상대방 위험 프레임워크는 은행이 매년이 아니라 노출이 변경될 때마다 자본 모델을 업데이트할 것을 요구합니다. 결제 시스템을 업그레이드한 수탁 은행은 "v1을 감사했으니 v2는 작은 변경일 뿐입니다"라는 근거로 운영하는 것이 허용되지 않습니다.

"한 번 감사하고 영원히 배포하며, 대규모 재작성 시에만 재감사한다"는 DeFi의 지배적인 문화는 2008년 위기 이후 전통 금융이 명시적으로 거부한 관행입니다. 현재의 손실률로 볼 때, 업계는 연간 20억 달러 이상의 업그레이드 익스플로잇 손실을 기록할 궤도에 올라 있습니다. 이는 이미 DeFi 감사 표준을 미흡하다고 여기는 규제 기관의 관심을 끌기에 충분하며, 지속적인 검증을 기관 자본 유입의 전제 조건으로 만들기에 충분한 규모입니다.

빌더, 예치자 및 인프라 운영자에게 주는 의미​

프로토콜 팀에게 운영상의 명령은 비용이 많이 들더라도 명확합니다. 모든 업그레이드는 보안 보증을 상속받는 것이 아니라 새롭게 도출하는 신규 릴리스로 취급되어야 합니다. 이는 차분 기준의 정기 재감사, 모든 거버넌스 제안과 함께 제공되는 형식 검증 사양, 그리고 실행 전 유의미한 타임락을 의미합니다. 또한 Aave 방식과 같이 의존하는 프로토콜이 무엇인지, 그중 하나가 실패했을 때 노출이 어떻게 되는지를 명시하는 정량화된 연쇄 위험 프레임워크를 게시하는 것을 의미합니다.

예치자들에게 주는 교훈은 "이 프로토콜은 감사를 받았다"는 사실 자체가 더 이상 유용한 신호가 아니라는 것입니다. 적절한 질문은 "마지막 지속적 검증 실행이 언제였는가, 어떤 불변성에 대해 실행되었는가, 그리고 배포된 코드의 어떤 버전에 대해 실행되었는가?"입니다. 이에 답할 수 없는 프로토콜은 그에 따라 가치가 평가되어야 합니다.

RPC 운영자, 인덱서, 수탁자와 같은 인프라 제공업체에게 Kelp 사건은 직접적인 경고입니다. 침해 사고는 바이너리가 조용히 교체된 두 개의 RPC 노드에서 발생했습니다. 교체 가능한 바이너리 검증을 포함하여 교차 체인 검증(DVN, 오라클 노드, 시퀀서)에 참여하는 인프라를 운영하는 모든 이들은 이제 원하든 원치 않든 보안 모델의 일부가 되었습니다. 재현 가능한 빌드(Reproducible builds), 인증된 바이너리, 1-of-1 기본 설정을 넘어서는 다중 운영자 쿼럼, 시작 시 서명된 바이너리 검증은 이제 선택 사항이 아닙니다.

이더리움의 Pectra 및 Fusaka, Solana 및 Aptos의 병렬 실행 롤아웃, Glamsterdam의 처리량 목표와 같은 체인 레벨의 업그레이드는 노출 표면을 계속 넓힐 것입니다. 2026년에서 살아남을 프로토콜과 인프라 운영자는 다음 일상적인 업그레이드가 곧 증명 가능한 보안 체크포인트가 될 수 있도록 지속적인 검증을 조기에 도입한 이들이 될 것입니다.

BlockEden.xyz는 Sui, Aptos, Ethereum, Solana 및 수십 개의 다른 체인에서 프로덕션 RPC, 인덱서 및 노드 인프라를 운영합니다. 우리는 체인 레이어 또는 애플리케이션 레이어의 모든 프로토콜 업그레이드를 유지 관리 작업이 아닌 새로운 보안 이벤트로 취급합니다. 앞으로 닥칠 업그레이드 주기를 견뎌낼 수 있도록 설계된 기반 위에서 개발하려면 당사의 엔터프라이즈 인프라를 살펴보십시오.

참고 자료​

• 크립토의 6억 600만 달러 4월 악몽: 12건의 해킹, 18일, 바이비트 탈취 사건 이후 최악의 달 — CryptoTimes
• 6억 600만 달러 손실: 2026년 4월, 크립토 익스플로잇 역사상 최악의 달로 기록 — Blockonomi
• Kelp DAO, 2억 9,200만 달러 규모의 익스플로잇 발생... 20개 체인에 래핑된 이더리움 고립 — CoinDesk
• LayerZero, 2억 9,000만 달러 규모 익스플로잇의 원인으로 Kelp의 설정 지목... 북한 라자루스 그룹의 소행으로 추정 — CoinDesk
• Drift 프로토콜 해킹: 권한 있는 액세스가 어떻게 2억 8,500만 달러의 손실로 이어졌나 — Chainalysis
• Drift 공격자들이 편의를 위해 설계된 솔라나 기능을 사용하여 어떻게 2억 7,000만 달러 이상을 탈취했는가 — CoinDesk
• 북한 해커들, Drift 프로토콜 공격으로 2억 8,500만 달러 탈취 — TRM Labs
• 2026년 1분기 DeFi 익스플로잇 패턴 분석: 1억 3,700만 달러 손실, 모든 감사자가 알아야 할 5가지 공격 패턴 — DEV Community
• OWASP 스마트 컨트랙트 Top 10: 2026 — DEV Community
• Aave-Certora-Secureum: DeFi 보안 협업 — Secureum
• 이더리움 재단, 스마트 컨트랙트 개발자를 위한 100만 달러 규모의 감사 프로그램 자금 지원
• 업그레이드 가능한 스마트 컨트랙트: 프록시, 패턴, 함정 및 CI / CD 보호 장치 — Octane Security
• 2억 9,200만 달러 규모의 Kelp DAO rsETH 해킹으로 인한 Aave 유동성 위기 발생 — CCN
• 2026년 DeFi 익스플로잇으로 4억 달러 이상의 손실 발생 — CCN

지난 15년 동안 비트코인의 스크립팅 언어는 의도적이고 공격적일 정도로 지루했습니다. 루프도, 재귀도, 상태도 없었습니다. 작은 스택, 소수의 옵코드(opcode), 그리고 모든 확장 제안을 잠재적인 내전처럼 취급하는 문화가 지배적이었습니다. 이러한 보수주의 덕분에 비트코인은 합의 레이어에서 단 한 번도 성공적으로 해킹된 적이 없었지만, "A에서 B로 코인을 전송하는 것" 이상의 무언가를 만들고 싶어 했던 개발자들이 결국 포기하고 이더리움으로 떠나게 된 이유이기도 했습니다.

그러한 계산이 2026년에 바뀌고 있습니다. BIP-119가 초안으로 작성된 이후 처음으로 OP_CHECKTEMPLATEVERIFY의 구체적인 활성화 파라미터가 테이블 위에 올랐습니다. OP_CAT은 공식 BIP 번호를 부여받았습니다. LNHANCE는 라이트닝 네트워크에 초점을 맞춘 대안으로 활발히 논의되고 있습니다. 그리고 소프트 포크가 전혀 필요 없는 BitVM2는 이미 실제 환경(production)에서 작동 중이며, 지난 1월에 출시된 Citrea의 메인넷 브릿지를 구동하고 있습니다. 수년간 "코비넌트(covenants)가 곧 올 것이다"라는 말만 무성했지만, 이제 비트코인은 마침내 여러 신뢰할 수 있는 제안들이 병렬로 실행되며 각각 문제의 서로 다른 측면을 해결하는 단계에 진입했습니다.