2026년 드리프트 프로토콜 해킹 사건: 사건 개요, 피해자, 그리고 향후 전망

드라이프트 프로토콜 2억 8,600만 달러 솔라나 탈취 사건, 북한 라자루스 그룹 용의

솔라나 네트워크상 최대 규모의 탈중앙화 영구 선물 거래소인 드리프트 프로토콜(Drift Protocol)은 단 하루 아침 사이에 총 예치 자산(TVL)이 약 5억 5,000만 달러에서 2억 5,000만 달러 미만으로 급락한 것을 확인한 후 이 해킹 사실을 인정했으며, 현재 TVL은 2억 3,200만 달러 수준이다. 비트코인닷컴 뉴스(Bitcoin.com News)가 이 문제를 최초로 보도했다. DRIFT 토큰은 그 후 몇 시간 동안 최대 37%~42% 급락하며 0.04달러에서 0.05달러 근처까지 떨어졌다.

보도에 따르면 이번 공격은 코드 버그가 아닌 토네이도 캐시(Tornado Cash) 인출에서 시작되었다. 3월 11일, 공격자는 이더리움 기반 프라이버시 프로토콜에서 ETH를 인출한 뒤, 해당 자금을 이용해 3월 12일 카본보트(carbonvote) 토큰, 즉 CVT를 배포했다. 블록체인 분석가들은 배포 타임스탬프가 평양 시간으로 약 09:00에 해당한다는 점을 지적했으며, 이 세부 사항은 즉시 의심을 불러일으켰다.

여러 보고서에 따르면, 이후 3주 동안 공격자는 레이디움(Raydium) 탈중앙화 거래소에 CVT를 위한 최소한의 유동성을 공급하고, 워시 트레이딩을 통해 가격을 1.00달러 근처로 유지했다. 드리프트(Drift)의 오라클은 이 가격을 정상적인 것으로 인식했다. 공격자는 이를 감시하는 모든 자동화 시스템에 실제처럼 보이는 가짜 담보를 구축해 놓은 것이었다.

"오늘 오전, 한 악의적인 행위자가 듀러블 논스(durable nonces)를 활용한 새로운 공격 방식으로 드리프트 프로토콜에 무단 접근하여, 드리프트 보안 위원회의 관리 권한을 순식간에 장악했습니다,"라고 드리프트 팀은 밝혔습니다. 이 프로젝트의 X 계정은 다음과 같이 덧붙였습니다:

"이번 공격은 수 주간의 준비와 단계적 실행이 포함된 것으로 보이는 매우 정교한 작전이었으며, 여기에는 실행을 지연시키는 거래를 사전 서명하기 위해 내구성 있는 논스(durable nonce) 계정을 사용하는 것도 포함되었습니다."

표면적으로 3월 23일부터 3월 30일 사이에 드리프트 공격자는 인간 단계로 넘어갔습니다. 공격자는 '듀러블 논스(durable nonces)'라는 솔라나(Solana)의 정식 기능을 이용해, 드리프트 보안 위원회 다중 서명(multisig) 구성원들에게 일상적인 거래로 보이는 트랜잭션에 사전 서명하도록 유도한 것으로 알려졌습니다. 이러한 서명들은 사전 승인된 접근 키가 되어, 공격자가 준비될 때까지 대기 상태로 유지되었습니다.

이 취약점은 3월 27일 드리프트가 보안 위원회의 서명 임계값을 5명 중 2명으로 변경하고 타임록을 완전히 제거하면서 발생했습니다. 타임록은 일반적으로 관리 조치에 24~72시간의 지연을 강제하여, 커뮤니티가 의심스러운 활동을 포착하고 되돌릴 시간을 제공합니다. 타임록이 없으면 공격자는 지연 없이 즉시 실행 권한을 갖게 됩니다. 타임록이 사라지는 순간, 미리 서명된 거래들이 활성화되었습니다.

4월 1일, 공격자는 해당 트랜잭션을 활성화하고 CVT를 유효 담보로 등록한 뒤 인출 한도를 상향 조정했으며, 수억 달러 상당의 CVT 토큰을 예치했다. 이에 따라 Drift의 리스크 엔진은 실물 자산을 발행했다. 프로토콜은 수백만 달러 상당의 JLP 토큰, USDC, SOL을 비롯해 소량의 랩드 비트코인과 이더리움을 지급했다. 31건의 인출 트랜잭션이 약 12분 만에 처리되었다.

공격자는 Jupiter를 이용해 탈취한 토큰을 USDC로 전환한 뒤, 이더리움으로 브릿지하고 이를 수만 개의 ETH로 스왑했습니다. 일부 자금은 Hyperliquid를 통해 이동했으며, 일부는 바이낸스로 직접 이체되었습니다. 4월 3일, Drift는 이더리움 주소에서 해커가 제어하는 4개의 지갑으로 온체인 메시지를 보냈습니다. 매체 cryptonomist.ch에 따르면 메시지 내용은 다음과 같았습니다:

"우리는 대화할 준비가 되었습니다."

보안 업체 엘립틱(Elliptic)과 TRM 랩스(TRM Labs)는 토네이도 캐시(Tornado Cash)의 출처, 평양 시간대의 배포 시그니처, 사회공학 기법의 집중적 활용, 해킹 후 자금 세탁 속도 등을 근거로 이번 공격을 북한과 연계된 위협 행위자들의 소행으로 지목했다. 라자루스 그룹(Lazarus Group)은 2022년 로닌(Ronin) 브리지 해킹 사건에서도 이와 동일한 인내심과 인간을 표적으로 삼는 접근 방식을 사용한 바 있다. 미국 정부는 이러한 절도 사건을 북한의 무기 프로그램 자금 조달과 연관 지었으며, 엘립틱은 2026년 1분기에만 3억 달러 이상이 도난당한 것으로 추적했다. 이 사태는 20개 이상의 프로토콜로 확산되었다. 프라임 넘버스 파이(Prime Numbers Fi)는 수백만 달러의 손실을 보고했다. 캐럿 프로토콜(Carrot Protocol)은 TVL의 50%가 피해를 입자 발행 및 상환 기능을 일시 중단했다. Pyra Protocol은 인출 기능을 완전히 중단하여 모든 사용자 자금을 접근 불가능하게 만들었습니다. Piggybank는 10만 6천 달러를 손실했으며 자체 팀 자금으로 사용자에게 보상했습니다. 솔라나(Solana) 자금 전략을 가진 나스닥 상장 기업인 DeFi Development Corp.은 4월 1일 Drift에 대한 노출이 없음을 확인했습니다. 해당 기업의 리스크 프레임워크는 이 프로토콜을 완전히 배제하고 있었습니다. 이 사실은 회사가 의도했던 것보다 더 많은 관심을 끌었습니다.

드라이프트(Drift) 사건은 업계 대다수가 이미 알고 있었으나 완전히 적용하지는 않았던 한 가지 분명한 교훈을 남겼습니다. 바로 '타임락(timelock)'은 선택 사항이 아니라는 점입니다. 3월 27일 이 단 하나의 안전장치가 제거됨으로써, 수 주에 걸쳐 진행될 예정이었던 복잡한 공격이 12분 만에 자금을 인출하는 사태로 이어졌습니다. 지연 메커니즘이 없는 프로토콜 거버넌스는 문이 활짝 열린 거버넌스와 다름없습니다.

이 디파이(DeFi) 공격 이후 48시간은 드리프트가 사용자 신뢰를 유지하고 회복 방안을 마련할 수 있는 데 있어 결정적인 시기로 평가되었습니다. 4월 3일 현재, 포괄적인 보상 계획은 발표되지 않았습니다.

FAQ 🔎

• Drift Protocol에 무슨 일이 있었나요? 2026년 4월 1일, 공격자들은 가짜 담보와 사전 서명된 관리 거래를 이용해 12분 만에 프로토콜의 핵심 금고를 비워 2억 8,600만 달러를 탈취했습니다.
• 드라이프트 프로토콜 해킹의 책임은 누구에게 있나요? 엘립틱(Elliptic)과 TRM 랩스(TRM Labs)를 포함한 보안 업체들은 자금 세탁 패턴과 라자루스 그룹(Lazarus Group)의 수법과 일치하는 온체인 타임스탬프를 근거로, 이번 공격을 북한(DPRK)과 연계된 위협 행위자들의 소행으로 지목했습니다.
• Drift Protocol에 있는 내 자금은 안전한가요? Drift는 공격 발생 후 모든 입출금을 중단했습니다. 2026년 4월 3일 현재, Pyra 및 Carrot과 같은 영향을 받은 프로토콜의 사용자들은 여전히 자금을 이용할 수 없는 상태입니다.
• 솔라나 DeFi에서 '듀러블 논스(durable nonce) 공격'이란 무엇인가요? 듀러블 논스 공격은 솔라나의 합법적인 기능을 이용하여 평범해 보이는 거래를 미리 서명하고, 공격자가 실행하기로 결정할 때까지 이를 유효한 승인 키로 보관하는 방식입니다.