데필라마: 2026년 2분기는 약 70건의 해킹 공격이 발생하며 암호화폐 역사상 해킹 사고가 가장 많았던 분기로 기록됐다

• Defillama는 2026년 2분기 동안 약 70건의 해킹 사건을 기록했으며, 이는 이전 사건 수 기록의 약 두 배에 달합니다.
• 해킹 건수는 많았으나, 도난당한 7억 4,600만 달러는 과거 최고치를 밑돌았으며, 이는 규모가 작고 빈도가 높은 공격으로의 전환을 시사합니다.
• 2026년 4월 한 달 동안만 30건의 사건이 발생해 6억 2,500만 달러 이상이 손실되었으며, 이는 Drift Protocol 취약점 공격과 KelpDAO 해킹 사건이 주도했다.

수많은 소규모 공격으로 쌓아올린 기록

2026년 2분기는 이미 기록상 가장 해킹이 많이 발생한 분기로, 약 70건의 해킹이 발생했으며 이는 단일 분기 사고 건수 기준 기존 기록의 약 두 배에 달합니다. 그러나 도난당한 총액인 약 7억 4,600만 달러는 최근 몇 년간 기록된 최고치에 비하면 극히 일부에 불과합니다. 이에 대해 Defillama 분석가들은 다음과 같이 언급했다:

"소수의 거액 규모 악용 사례보다는, 소규모 공격이 끊임없이 이어지고 있습니다."

이러한 패턴은 소수의 10억 달러 규모 브리지 및 프로토콜 공격이 연간 총액을 주도했던 과거의 대규모 해킹 사건들과는 다른 양상을 보인다. 공격자들은 헤드라인을 장식할 만한 단일 대형 사냥감을 쫓기보다는, 가치가 낮은 수많은 표적에 걸쳐 공격을 분산시키는 것으로 보입니다(이는 업계가 추적하고 방어하기 더 어려운 전략입니다).

이 분기의 피해는 초반에 집중되었으며, 4월은 약 30건의 사건과 6억 2,500만 달러 이상의 자금이 도난당하면서 암호화폐 역사상 가장 많은 해킹이 발생한 달로 확인되었습니다. 두 건의 침해 사건이 주를 이루었는데, 바로 4월 1일 Drift Protocol의 2억 8,500만 달러 손실과 4월 18일 KelpDAO의 2억 9,300만 달러 해킹 사건이었습니다(이 두 건이 4월 유출액의 약 93%를 차지함). 나머지 20여 건의 사건은 대부분 500만 달러 미만이었으며, 상당수는 100만 달러 미만이었다.

5월에도 월간 해킹 빈도는 높은 수준을 유지했는데, 이 달 동안 약 14개의 탈중앙화 금융(DeFi) 프로토콜이 공격을 받았으며, 그중 약 8건은 브리지 관련 사고로 총 손실액은 2,800만 달러에 육박했다. 5월 말까지 2026년 5개월 동안 발생한 50건 이상의 사건으로 인한 DeFi 누적 손실액은 8억 4천만 달러를 넘어섰으며, 이는 2025년 같은 기간의 약 30건에 비해 발생 빈도가 전년 대비 약 70% 증가한 수치입니다.

브리지와 도난당한 키가 주목받는 이유

반복되는 해킹 사건은 두 가지 지속적인 취약점을 드러냈다. 한 네트워크의 자산을 잠그고 다른 네트워크에서 그에 상응하는 자산을 발행하는 크로스체인 브리지는, 단 하나의 결함만으로도 풀에 모인 자금이 노출될 수 있어 여전히 선호되는 표적이었습니다. 마찬가지로 보안 분석가들은 공격자들이 스마트 계약의 버그를 찾는 대신 소셜 엔지니어링과 피싱을 통해 개인 키를 탈취하는 경우가 늘어나면서, 코드 악용에서 키 도난으로 공격 방식이 광범위하게 전환되고 있다고 지적했습니다.

지난 10년간 암호화폐 해킹 피해액이 170억 달러를 넘어섰고, 공격 표면이 프로토콜 코드에서 이를 둘러싼 인간 및 운영 시스템으로 꾸준히 이동해 온 점을 고려할 때, 이러한 변화는 장기적인 관점에서 이미 뚜렷이 드러나고 있다. 2026년 1분기는 이미 34개 프로토콜에서 약 1억 6,900만 달러가 도난당하며 암울한 기준선을 세웠다.

분기조차 끝나지 않은 상황에서 최종 집계액은 더 늘어날 수 있다. 감사 기관들은 이 분야가 하루에 한 건꼴로 공격을 받고 있으며, 중규모 공격이 꾸준히 이어지면서 브리지, 키 관리, 사고 대응에 지속적인 압박을 가하고 있다고 경고한다.

이 데이터에서 한 가지 위안이 되는 점은, 성공적인 공격 건수가 사상 최고치를 기록했음에도 불구하고 평균 손실액이 감소했다는 사실로, 이는 자금의 분산 관리가 개선되었음을 시사한다. 프로토콜들이 단순히 피해 규모를 제한하는 데 그치지 않고 공격 빈도를 줄일 수 있을지가 2026년 나머지 기간의 향방을 결정할 것이다.