세컨드파이(SecondFi) 보안 사고: 무엇이 무너졌고, 현재 상황은?
2026년 6월 23일, 카르다노(Cardano) 생태계의 대표 지갑 서비스였던 세컨드파이(SecondFi, 구 요로이)에서 중대한 보안 사고가 발생했습니다. 이 글은 사건의 경위와 기술적 원인, 현재 진행 상황, 그리고 이 사건이 카르다노 생태계에 던지는 구조적 질문을 사실 중심으로 정리합니다.
2026년 6월 24일
1. 사건의 전말:
2026년 6월 23일에 무슨 일이 있었나
2026년 6월 23일, 카르다노 커뮤니티에 긴급 경보가 울렸습니다. 세컨드파이(SecondFi)가 자사 플랫폼에서 보안 취약점이 발견됐다고 X(구 트위터)를 통해 공식 발표한 것입니다. 세컨드파이는 카르다노 설립 기관 중 하나인 이머고(EMURGO)가 개발·운영하는 지갑 서비스로, 불과 두 달 전까지만 해도 수백만 명이 사용하던 요로이(Yoroi) 지갑이 리브랜딩된 서비스입니다.
세컨드파이의 공식 발표에 따르면, 이번 사고로 178개 사용자 지갑에서 약 1,600만 에이다(ADA)가 탈취됐습니다. 6월 23일 기준 시세로 환산하면 약 240만 달러에 해당하는 금액입니다. 에이다뿐 아니라 네이티브 토큰과 NFT(대체불가토큰) 일부도 함께 탈취된 것으로 파악됐으나, 그 정확한 규모는 아직 집계 중입니다. 온체인 데이터를 분석한 커뮤니티 보고에 따르면, 6월 21일부터 22일 사이에 약 200건에 가까운 의심 트랜잭션이 발생했으며, 자금은 여러 주소를 거쳐 이동한 것으로 확인됐습니다.
세컨드파이는 취약점 발견 즉시 서비스를 중단하고 유지보수 모드로 전환했습니다. 이와 함께 사고 발생 시점의 전체 사용자 잔액 스냅샷을 촬영해, 추후 보상 산정에 활용할 수 있는 기록을 확보했습니다. 플랫폼 프런트엔드는 전면 접근이 차단된 상태로, 사용자들은 카르다노 온체인 익스플로러를 통해서만 자신의 지갑 상태를 직접 확인할 수 있습니다.
2. 요로이에서 세컨드파이로:
리브랜딩의 배경
이번 사고를 제대로 이해하기 위해서는 세컨드파이가 어디서 출발했는지를 먼저 살펴볼 필요가 있습니다. 요로이(Yoroi)는 2018년 10월 이머고가 출시한 카르다노 라이트 지갑입니다. 전체 블록체인을 로컬에 내려받아야 하는 다이달로스(Daedalus)와 달리, 이머고 서버에 연결해 빠르게 작동하는 경량 구조로 설계됐습니다. 출시 이후 100만 명 이상의 사용자를 확보하며 카르다노 생태계의 대표 지갑으로 자리잡았습니다.
2026년 4월 22일, 이머고는 태국 방콕에서 열린 머니20/20(Money20/20) 컨퍼런스에서 요로이를 세컨드파이로 전환한다고 발표했습니다. 기존의 ADA 보관·스테이킹 기능에 더해, 글로벌 카드 결제(Wirex와 협력), 크로스체인 자산 스왑, 수익 창출, 스테이블코인 저축 등을 하나의 앱에서 제공하는 '네오파이낸스 플랫폼’으로 도약하겠다는 비전이었습니다. 이머고의 최고경영자 필립 폰(Phillip Pon)은 당시 발표에서 "세컨드파이는 누구나 자신의 자산을 완전히 통제하면서도 일상 금융을 누릴 수 있게 해주는 플랫폼"이라고 밝혔습니다.
기존 요로이 사용자들은 별도 앱 다운로드 없이 자동 업데이트를 통해 세컨드파이로 전환되도록 설계됐습니다. 지갑, 자산, 스테이킹 설정이 그대로 이전되는 구조였습니다. 5월에는 Wirex와의 파트너십을 공식화하며 자기수탁(Self-Custody) 방식의 세컨드파이 Visa 카드 출시 계획도 발표됐습니다. 리브랜딩 이후 불과 두 달 만에 보안 사고가 발생한 셈입니다.
작성일: 2026년 6월 24일
본 글의 수치 및 현황은 작성 시점 기준이며, 조사 진행에 따라 변경될 수 있습니다.