공급망 뚫렸다 — 2026년 3분기 암호화폐 해킹 11.8억 달러, 피해의 77%가 보안 감사 밖에서 발생

기사 제공처 : 아이티인사이트 / 등록기자: 최시훈 [기자에게 문의하기] /

해당 기사에 관련하여 문의하기에 남겨주시면 "최시훈"기자에게 전송됩니다

이름

연락처

- -

이메일

보안 감사 밖 공급망이 새 공격로가 됐다

2026년 3분기 암호화폐(Cryptocurrency) 해킹 피해가 107건, 11억8000만 달러에 달했다. 한화로 약 1조6000억원 규모다.

핵심은 피해액의 77%인 9억600만 달러가 거래소 내부 서버가 아니라 외부 보안 감사(Security Audit) 범위 밖 공급망(Supply Chain)에서 발생했다는 점이다. 이용자가 앱 비밀번호를 길게 설정하고 2단계 인증을 활성화해도, 거래소가 사용하는 외부 보안 제품과 개발 도구가 침해되면 자산은 순식간에 위험에 노출된다.

Hacken이 2026년 10월 15일 공개한 보고서 수치를 바탕으로 보면 암호화폐 보안 사고의 무게중심은 개인의 부주의보다 플랫폼 생태계의 관리 실패 쪽으로 이동했다. 전 분기 대비 피해액은 55% 늘었다.

본지 분석으로는, 이 변화가 일반 투자자에게 주는 신호가 분명하다. 가상자산 거래소를 선택할 때 수수료, 상장 코인 수, 이벤트 보상만 살필 단계가 지났다. 외부 협력사 보안 검증 체계와 사고 보상 구조를 함께 따져야 하는 국면이 이미 시작됐다.

가상자산 이용자는 흔히 해킹을 피싱 문자, 악성 링크, 개인 지갑 키 유출 정도로 이해한다. 물론 이 위험은 여전히 크다. 그러나 이번 3분기 집계가 드러낸 장면은 더 복잡하다.

공격자는 이용자 한 명의 지갑을 노리기보다 거래소가 의존하는 서드파티(Third-party) 보안 제품, 개발 도구, 아직 배포하지 않은 보안 패치의 빈틈을 파고들었다. 개인이 현관문을 단단히 잠갔어도 아파트 공용 출입 시스템이 침해되면 집 앞까지 침입자가 진입할 수 있는 구조와 같다.

3분기에서 피해 규모가 가장 컸던 두 사례는 Bitget 거래소와 Liquid Network였다. Hacken 보고서에 따르면 2026년 9월 24일, 공격자는 서드파티 보안 제품의 제로데이(Zero-day) 취약점을 악용해 Bitget의 내부 관리 시스템에 접근했다.

고권한 자격 증명(Credential)을 탈취한 뒤 위조 출금 명령을 주입하는 방식이었다. 이 사고로 Bitget이 입은 피해는 약 3억8800만 달러로 집계됐다.

분석 기업 Chainalysis는 해당 공격을 북한과 연계된 행위자의 소행으로 추정했으나, 원천 자료 범위에서 법집행기관의 최종 수사 결과는 확인되지 않았다. 이 지점은 국가 배후 여부보다 더 넓은 구조를 드러낸다. 대형 플랫폼도 자신이 직접 개발하지 않은 소프트웨어 한 조각 때문에 내부 통제선을 잃을 수 있다는 사실이다.

Liquid Network 사례도 같은 맥락에 놓인다. 비트코인 사이드체인(Bitcoin Sidechain)인 Liquid Network에서는 36분 만에 거액이 탈취됐고, 일부 자금은 이후 반환됐다. Hacken 보고서는 이 역시 공급망 취약점이 악용된 사례로 분류했다.

36분은 은행 영업점에서 이상 거래를 사람이 확인하고 전화로 차단하기에는 턱없이 짧은 시간이다. 블록체인 거래는 처리 속도가 빠르고, 일단 이동한 자산을 되돌리기 어렵다.

그래서 공급망 취약점은 단순한 기술 결함을 넘어 금융 소비자 보호의 사각지대가 된다.

거래소 선택 기준, 수수료에서 보안 책임으로

TRM Labs 집계에 따르면 2026년 현재까지 암호화폐 해킹 피해는 Liquid Network 공격을 포함해 333건, 약 17억3000만 달러에 달했다. TRM Labs는 2026년 사건 수가 이미 역대 최고치를 기록했다고 밝혔다.

Chainalysis가 공식 소셜미디어 채널을 통해 제시한 2026년 9월까지의 피해 규모는 26억8000만 달러다. 두 수치 사이의 차이는 집계 기준, 포함 사건 범위, 평가 시점이 각기 다른 데서 비롯된다. 어느 기준을 적용하든 결론은 같다.

사건은 더 잦아졌고, 피해 단위는 개인 지갑을 넘어 플랫폼 운영망 전체로 확대됐다. 한국 독자에게 이 문제가 먼 해외 거래소 뉴스로만 남지 않는 이유는 가상자산 이용 방식이 이미 생활 금융의 일부로 자리 잡았기 때문이다. 월급 일부를 비트코인이나 스테이블코인으로 전환하는 개인, 해외 거래소와 국내 거래소를 병행 사용하는 투자자, 법인 결제와 정산 실험을 검토하는 기업은 모두 같은 위험망 안에 놓인다.

특히 해외 플랫폼을 이용하는 경우 사고 보상 기준, 자산 보관 방식, 고객센터 대응 시간, 관할 법원이 서로 다르다.

거래소 앱 화면에서 잔액은 한 줄 숫자로 표시되지만, 그 이면에는 클라우드, 인증 솔루션, 지갑 관리 업체, 코드 배포 도구가 촘촘히 연결되어 있다. 이번 3분기 피해의 77%가 그 연결 지점에서 발생했다는 사실은 이용자 화면 밖에서 리스크가 쌓인다는 뜻이다. 본지 분석으로는, 정책 방향도 전환이 필요하다.

지금까지 가상자산 보안 논의는 거래소의 내부통제, 콜드월렛 비율, 고객확인(KYC), 이상거래 모니터링에 집중됐다. 이 접근은 필요하지만 충분하지 않다.

감독당국과 국회가 다음 단계에서 요구해야 할 항목은 외부 공급업체 목록 관리, 보안 패치 배포 기한, 관리자 권한 분리 기준, 협력사 사고 발생 시 보고 의무다. 은행권에서 전산 위탁업체를 감독 대상으로 편입한 것처럼, 가상자산 업계도 핵심 보안 제품과 개발 도구를 규제 시야 안에 넣어야 한다.

물론 반론도 존재한다. 블록체인은 투명한 장부를 갖추고 있어 해킹 자금의 이동 경로를 추적할 수 있으므로 기존 금융보다 사고 분석에 유리하다는 주장이다.

이 말은 일부 타당하다. Chainalysis나 TRM Labs 같은 분석 기업이 주소 흐름을 추적하고, 거래소가 특정 지갑을 동결 대상으로 지정하는 사례는 이미 실제로 존재한다. 그러나 추적 가능성과 피해 예방은 같은 개념이 아니다.

36분 만에 자산이 빠져나간 뒤 이동 경로를 파악하는 작업은 사후 진단에 가깝다. 이용자 보호의 기준은 사고 이후 분석 보고서가 아니라 사고 이전의 차단 능력이어야 한다.

정책은 내부통제 넘어 협력사 검증으로 가야 한다

본지 분석으로는, 보안 감사의 의미도 다시 정의할 필요가 있다. 많은 프로젝트가 스마트계약(Smart Contract) 코드 감사를 마치면 투자자에게 안전성을 강조한다.

그러나 Hacken 보고서가 분류한 9억600만 달러 규모의 공급망 피해는 코드 감사 보고서 하나가 전체 위험을 포괄하지 못한다는 현실을 드러냈다. 공개됐지만 아직 배포하지 않은 패치, 외부 제품의 미공개 취약점, 관리자 권한 관리 실패는 전통적인 감사 범위를 벗어날 수 있다.

투자자는 감사 완료 배지 하나를 확인하는 데서 멈추지 말고, 프로젝트가 어떤 외부 도구를 사용하는지, 권한 변경 기록을 어떻게 관리하는지, 사고 대응 훈련을 어느 주기로 실시하는지를 함께 확인해야 한다. 본지 분석으로는, 기업 입장에서도 이번 흐름은 비용 구조를 바꾼다. 보안 예산을 내부 개발팀과 침투 테스트에만 배분하는 방식은 한계에 봉착했다.

공급망 보안을 강화하려면 협력사 계약 단계에서 취약점 공개 의무, 패치 지연 시 책임 소재, 접근 권한 최소화 조건을 명문화해야 한다. 이 과정은 단기적으로 비용을 늘린다. 그러나 3억8800만 달러 규모의 단일 사고 이후 신뢰를 회복하는 비용은 사전 점검 비용보다 훨씬 크다.

금융 플랫폼의 평판은 기술 문서보다 출금 버튼이 정상 작동한 시간으로 평가받는다. 향후 암호화폐 시장에서 거래소 간 경쟁은 가격 상승률보다 보안 책임의 증명 능력으로 갈릴 가능성이 크다.

이용자는 거래소가 외부 보안 제품을 어떻게 검증하는지 묻기 시작할 것이다. 감독기관은 사고 발생 후 보고를 받는 수동적 체계에서 벗어나 공급망 위험을 정기적으로 점검하는 방향으로 제도를 설계해야 한다. 본지 분석으로는 이 변화가 가상자산 산업을 위축시키는 규제가 아니라, 생활 금융으로 지속 가능하기 위한 최소 조건이다.

다음 강세장에서 투자자가 가장 먼저 확인해야 할 질문은 어떤 코인이 오를지가 아니라 내 자산을 지키는 연결망이 어디까지 검증됐는지여야 한다. ※ 이 기사는 Altcoin Buzz의 2026년 10월 15일 보도(Hacken 2026년 3분기 암호화폐 해킹 보고서 관련), Hacken이 2026년 10월 15일 발표한 2026년 3분기 암호화폐 보안 보고서, Chainalysis 공식 소셜미디어 채널(2026년 9월 기준 게시 자료), TRM Labs 집계 수치를 참조하여 작성하였다. 원천 자료에 없는 국내 정책 방향, 이용자 행동 변화, 기업 비용 구조, 보안 감사 재정의 관련 평가는 본지 분석이다.

FAQ

Q. 개인 투자자는 이번 해킹 증가 추세에 어떻게 대응해야 하나

A. 개인이 공급망 취약점 전체를 직접 점검하기는 현실적으로 어렵다. 대신 거래소 선택 기준을 바꾸는 것이 실질적인 대응이다. 수수료와 이벤트 보상보다 사고 보상 정책, 자산 보관 방식(콜드월렛 비율), 출금 지연 장치, 보안 공지의 구체성을 우선 확인해야 한다. 개인 지갑을 병행 사용하는 경우에는 하드웨어 지갑, 2단계 인증, 출금 주소 화이트리스트를 함께 적용하는 것이 기본 방어선이다. Hacken 보고서가 지적한 공급망 위험은 개인 수준의 보안 습관과 별개의 층위에서 작동하므로, 거래소의 협력사 관리 정책과 사고 이력을 공식 채널을 통해 주기적으로 확인하는 습관이 필요하다.

Q. 보안 감사를 받은 프로젝트도 위험한 이유는 무엇인가

A. 보안 감사는 통상 특정 코드와 시스템 범위를 사전에 정해 검사한다. 이번 3분기 피해의 77%가 감사 범위 밖 공급망에서 발생했다는 Hacken 보고서의 분류는 감사 보고서가 전체 안전을 보장하지 못한다는 사실을 수치로 확인시켜 준다. 외부 보안 제품, 개발 도구, 패치 배포 지연, 관리자 권한 관리 실패는 스마트계약 코드 감사와 별개의 위험으로 남는다. 투자자는 감사 완료 여부와 함께 해당 프로젝트가 외부 도구를 어떻게 관리하는지, 사고 대응 절차를 공개적으로 명시하는지를 함께 확인해야 한다.

Q. 한국의 가상자산 정책 논의는 어떤 방향으로 가야 하나

A. 본지 분석으로는 가상자산 정책이 거래소 내부통제 중심에서 외부 협력사 관리로 범위를 확장해야 한다. 공급업체 목록 관리, 핵심 보안 제품의 취약점 대응 기한, 관리자 권한 분리 기준, 사고 발생 시 보고 의무를 감독 당국의 정기 점검 항목에 포함시킬 필요가 있다. 이는 사업자를 압박하기 위한 형식 규제가 아니라 이용자 자산을 생활 금융 수준으로 보호하기 위한 최소 기반이다. 해킹의 발생 지점이 플랫폼 내부에서 외부 연결망으로 이동한 만큼, 감독의 범위도 그 연결망까지 확대되어야 한다.

▶ 법률 고민이 있다면 → 김연순법률노트 무료상담 바로가기