2026 상반기 Web3 보안 보고서: 공격 빈도 107% 급증, 13.9억 달러 증발

저자: Beosin

1、2025년 상반기 Web3 블록체인 보안 동향 요약

Beosin Alert 모니터링 데이터에 따르면, 2026년 상반기 전 세계 블록체인 분야에서 총 187건의 보안 사고가 발생했으며, 누적 손실액은 약 13억 9천만 달러입니다. 보안 사고 빈도는 전년 동기 대비 107.7% 증가했고, 손실 금액은 35% 감소했습니다. 올해 상반기 손실 금액은 감소했지만, 온체인 공격이 빈발하여 블록체인 분야는 여전히 심각한 보안 도전에 직면해 있습니다.

2、체인별 손실 금액 현황

Ethereum은 여전히 공격의 주요 표적이며, 79건의 공격으로 약 4억 9,200만 달러의 손실이 발생하여 손실 금액과 공격 건수 모두 가장 많은 퍼블릭 체인입니다.

Solana는 Drift Protocol 보안 사고로 인한 막대한 손실과 기타 DeFi 공격으로 인해 손실 금액 기준 두 번째로 높은 퍼블릭 체인이 되었으며, 총 손실은 약 3억 2,800만 달러입니다.

Bitcoin 네트워크는 한 고래가 사회공학적 공격을 받아 약 2억 8,200만 달러의 손실을 입어 3위를 기록했습니다.

3、공격 대상 프로젝트 유형

DeFi는 가장 자주 공격받고 손실 금액이 가장 많은 유형입니다. 2026년 상반기 DeFi 유형 보안 사고는 총 64건으로 전체 사고의 34.22%를 차지했으며, 손실액은 4억 6,800만 달러에 달했습니다.

주목할 점은 일반 사용자, 토큰/알 수 없는 컨트랙트를 대상으로 한 공격이 올해 상반기에 빈발했으며, 손실 금액이 각각 3억 3,700만 달러와 3억 300만 달러에 달했고, 전년 동기 대비 손실 금액이 약 274% 급증했다는 것입니다.

4、공격 원인 분석

사회공학적 공격이 가장 큰 위협으로 부상했으며, 프로젝트 측과 개인 고래를 대상으로 한 공격으로 인한 총 손실은 약 6억 3,000만 달러입니다. 컨트랙트 취약점으로 인한 보안 사고는 94건이며, 총 손실 금액은 약 7억 1,300만 달러로, 손실 금액은 전년 동기 대비 비슷한 수준이지만 발생 빈도는 49.21% 증가했습니다. 올해 상반기 개인 키 유출 사건으로 인한 손실도 전년 동기와 거의 비슷한 수준으로, 총 손실 금액은 9,941만 달러에 달했으며 발생 빈도도 증가했습니다.

5、 손실 규모 분석

상반기에는 손실액이 1억 달러를 넘는 보안 사고가 4건 발생했으며 (KelpDAO 약 2억 9,000만 달러, Drift Protocol 약 2억 8,500만 달러, 개인 고래 약 2억 8,200만 달러, DSJ Exchange Rug Pull 약 1억 5,000만 달러), 상위 10대 보안 사고로 인한 손실은 총 약 11억 6,600만 달러로 전체 손실 금액의 83.89%를 차지했습니다.

또한 Beosin 보안 팀은 여러 건의 토큰 또는 오래된 컨트랙트 공격을 발견했으며, 그중 BNB Chain에서 33건으로 가장 많이 발생했고, 손실 규모는 1만 달러에서 수십만 달러 수준입니다. 공격자가 AI 기술을 통해 이러한 오래된 컨트랙트를 대량 스캔하고 조사했을 가능성이 있으며, 향후 이러한 규모의 보안 사고가 더욱 빈번하게 발생할 것으로 예상됩니다.

6、보안 동향 요약

2025년 상반기와 비교하면, 올해 상반기 공격 사건으로 인한 손실은 약 35% 감소했지만, 지난해 Bybit에서 도난당한 14억 4,000만 달러의 단일 극단적 대규모 손실을 제외하면, 올해 상반기의 손실은 매우 심각하며, 손실은 온체인 생태계 프로젝트와 일반 사용자에게 집중되었습니다. 이들의 보안 방어는 거래소에 비해 더 취약합니다. 올해 상반기 거래소의 손실 금액은 크게 감소했지만, 주요 퍼블릭 체인 생태계의 공격 횟수와 손실 금액은 전반적으로 증가하고 있습니다.

상반기 가장 큰 피해를 입힌 공격 사건은 KelpDAO 도난 사건으로, 그 손실은 DeFi 생태계에 막대한 부정적 영향을 미쳤습니다. 공격 발생 후, 공격자는 대출 프로토콜을 통해 WETH를 대출하여, 이러한 프로토콜을 사용하는 사용자들에게 부실 채권을 떠안게 했으며, 그중 Aave의 부실 채권은 2억 달러를 초과했습니다. 사용자들은 부실 채권을 피하기 위해 공황 상태에서 Aave로부터 긴급히 자금을 인출했고, 이는 다른 종류의 암호자산의 유동성과 가격에도 큰 압력을 가했습니다.

프로젝트 유형별로 보면, 공격 사건은 거래소, DeFi, 개인 지갑, 인프라스트럭처, 토큰 컨트랙트, 오라클 등 Web3의 모든 분야에 걸쳐 있습니다. 모든 Web3 프로젝트 측/개인 사용자는 경계를 높여야 하며, 개인 키를 오프라인으로 보관하고, 다중 서명을 사용하며, 제3자 서비스를 신중하게 이용하고, 특권 직원에 대한 정기적인 보안 교육을 실시해야 합니다.

주* 위 통계 기준은 온체인에서 공개적으로 추적 가능한 도난 자산만 포함하며, 소액 피싱 손실, 공개되지 않은 기업 내부 도난 등의 데이터는 포함되지 않아, 실제 손실 규모는 보고 수치보다 높습니다.