감사받은 디파이, 감사 범위를 벗어난 공격에 8.85억 달러 유출
CryptoSlate2026년 9월 14일 05:153
탈중앙 금융(DeFi) 생태계에서 '감사 완료'라는 문구는 프로젝트의 보안을 보증하는 척도로 여겨져 왔다. 그러나 실제로는 이러한 감사가 프로젝트의 모든 코드와 운영 범위를 포괄하는 것이 아니며, 감사 범위를 벗어난 영역에서 발생하는 공격으로 인해 막대한 손실이 발생하고 있다는 분석이 나왔다.
최근 발표된 연구 결과에 따르면, 2026년 상반기에 발생한 135건의 디파이 공격으로 총 9억 3,986만 달러의 피해가 발생했으며, 이 중 상당 부분이 프로젝트의 감사 범위 밖에서 이루어진 것으로 밝혀졌다. 보안 회사 ack3와 프라하 기술대학교 연구진이 분석한 135건의 사건 중 68건에서 공개된 감사 보고서를 확인할 수 있었다.
이 68건의 사건을 분석한 결과, 46건의 공격 경로는 식별 가능한 모든 감사 범위 밖에 있었으며, 20건은 최소 하나 이상의 감사 범위 내에 있었다. 나머지 2건은 아직 해결되지 않은 상태였다. 특히 감사 범위 밖에 있던 공격 경로에서 발생한 손실액은 전체의 94.4%에 달하는 막대한 금액을 차지했다.
이러한 결과는 감사 효과성에 대한 직접적인 평가나 감사 범위가 손실을 야기했다는 증거는 아니다. 다만, 보고된 사건들에서 손실이 어떻게 분포되었는지를 보여주는 중요한 지표로 해석될 수 있다. 이 분석에서 켈프 다오(Kelp DAO)에서 발생한 2억 9,200만 달러와 드리프트 프로토콜(Drift Protocol)에서 발생한 2억 8,500만 달러라는 두 건의 대규모 사건을 제외하면, 감사 범위 밖 공격으로 인한 손실 비중은 72.1%로 감소한다. 그럼에도 불구하고 이는 여전히 상당한 비중을 차지하며, 디파이 프로젝트가 감사받았다고 주장하더라도 사용자들이 실시간 시스템, 자금이 보관된 경로, 그리고 주변 통제 장치가 실제로 검토되었는지 여부를 알기 어렵다는 기본적인 신뢰성 문제를 드러낸다.
연구진은 2026년 1월 1일부터 6월 29일까지 발생한 사건들을 분석 대상으로 삼았다. 이 기간 동안 총 135건의 사건이 보고되었으며, 122건은 확인된 사건, 13건은 가능성 있는 사건으로 분류되었다. 전체 사건 중 35건은 감사 내역이 확인되지 않았고, 32건은 감사 이력이 불분명하여 68건의 감사 범위 분석 대상에서 제외되었다.
감사 범위 내외 분석 그룹에서는 감사 범위 밖의 사건으로 인한 손실액이 7억 2,124만 달러 중 6억 8,097만 달러에 달해 94.4%라는 수치가 도출되었다. 켈프 다오와 드리프트 프로토콜의 사건을 제외한 후에는 1억 4,424만 달러 중 1억 397만 달러가 감사 범위 밖에서 발생한 손실로, 비율은 72.1%였다. 이러한 수치들은 기계가 읽을 수 있는 원장(ledger)에 기록되어 계산과 손실 합계가 재현 가능함을 보여준다.
'내부' 또는 '외부'라는 분류는 공개된 증거에 기반한 연구진의 판단이다. 연구진은 프로젝트 및 감사 업체 아카이브를 조사하고, 사건 발생 전 보고서를 찾아내어 실제 공격 경로와 검토된 코드, 버전, 제외 사항 등을 비교 분석했다. 이 연구는 데이터 게시자와 함께 제작된 6페이지 분량의 프리프린트(preprint) 형태로 발표되었으며, 두 명의 연구원은 보안 검토 서비스를 제공하는 ack3와 연관되어 있다.
이 연구는 또한 공격받지 않은 비교 그룹에 대한 정보가 부족하고, 각 시스템이 얼마나 오랫동안 노출되었는지에 대한 측정치가 포함되지 않았다는 한계점을 지닌다. 따라서 감사받은 프로토콜이 전반적으로 더 안전한지를 확실하게 판단하거나, 사건 발생 빈도 및 피해 규모를 정확히 추정하기는 어렵다.
이번 연구는 디파이 프로젝트의 보안 감사 결과 발표 시, 감사 범위와 그 한계에 대한 보다 명확하고 투명한 정보 제공의 필요성을 강조한다. 사용자들은 프로젝트의 감사 여부뿐만 아니라, 실제로 보호받고 있는 범위가 어디까지인지 면밀히 파악해야 잠재적인 위험에 대비할 수 있을 것이다. 아울러, 감사 기관들은 감사 범위에 대한 명확한 정의와 함께, 감사 이후의 코드 변경 및 운영 환경 변화에 대한 지속적인 관리 방안을 제시하는 등 감사 절차의 신뢰성을 더욱 높여야 할 필요가 있다. 켈프 다오와 드리프트 프로토콜과 같은 대규모 손실 사례는 디파이 생태계 전반의 보안 강화 노력이 시급함을 보여주는 경고등이라 할 수 있다.