[특별기획 1/3] 메인넷은 지켰다, 그런데
— The Walls Held, But What About the Rest?
2026년 9월 3일
Ilhun
지난 10년간 블록체인 업계는 메인넷과 합의 계층 보안에 압도적인 자원을 쏟아부었고, 그 결과 스마트 컨트랙트 로직 버그는 확실히 줄었습니다. 그런데 2026년 2분기는 83건의 해킹, 7억 5천5백만 달러 손실로 역대 최다 건수를 기록했습니다. 돈이 새는 곳이 코드 안이 아니라 브릿지·지갑·서명 절차처럼 “누구 책임인지 애매한” 지점으로 옮겨갔다는 뜻입니다. 3부작 특별기획으로 이 문제를 짚어봅니다. 1부에서는 문제의 배경과, 카르다노 생태계도 예외가 아니었던 Wanchain 브릿지 사고를 다룹니다.
성벽은 높아졌는데, 도둑은 왜 줄지 않았나
지난 10년, 블록체인 업계는 메인넷과 합의 계층 보안에 압도적인 자원을 쏟아부었습니다. 정형 검증(Formal Verification), 반복 감사, 오류 클래스별 표준 라이브러리까지 — 이런 투자는 실제로 효과가 있었습니다. 재진입 공격(Reentrancy)이나 정수 오버플로 같은 전형적인 스마트 컨트랙트 로직 버그는 확실히 줄었습니다.
그런데 이상한 일이 벌어지고 있습니다. 2026년 2분기는 83건의 해킹, 7억 5천5백만 달러 손실로 역대 최다 건수를 기록했습니다. 아마 짐작하시겠지만, 돈이 새는 곳은 더 이상 스마트 컨트랙트 코드 안이 아닙니다. 담장 안쪽은 튼튼해졌는데, 정작 피해는 담장과 담장 사이, 그러니까 브릿지와 지갑, 서명 절차, 공급망처럼 “누구의 책임인지 애매한” 지점에서 계속 발생하고 있습니다.
이 글은 그 애매함을 정면으로 짚어보려 합니다. 카르다노 생태계도 예외가 아니었다는 사실부터 시작하겠습니다.
숫자가 말해주는 것 — 공격 표면은 이미 옮겨갔다
보안 감사 기업 Hacken이 발표한 2026년 2분기 보안·컴플라이언스 보고서에 따르면, 해당 분기 손실액의 88.3%가 키·서명자·인프라 침해에서 발생했습니다. 스마트 컨트랙트 로직 결함이 아니라는 뜻입니다. 더 눈에 띄는 숫자는 따로 있습니다. 추적 대상 1,427개 프로젝트 가운데 제3자 모니터링 체계를 갖춘 곳은 9%에 불과했고, 모니터링과 버그바운티와 감사를 모두 갖춘 곳은 4%뿐이었습니다.
감사받은 코드가 안전하다는 명제 자체는 틀리지 않습니다. 문제는 감사가 코드 바깥의 모든 것 — 펌웨어 빌드 파이프라인, 서명 승인 화면, 브릿지 검증자 로직, 클라우드 자격 증명 — 을 커버하지 못한다는 데 있습니다. 냉정하게 보면, 업계는 지난 10년간 "우리가 통제할 수 있는 것"을 잘 지켜왔을 뿐, "여러 주체가 걸쳐 있는 것"에 대해서는 누가 책임지는지 합의조차 하지 못한 상태입니다.
카르다노의 경계선 — Wanchain 브릿지 사고가 보여준 것
2026년 7월 20일, 카르다노와 BNB체인을 잇는 Wanchain 브릿지가 공격당했습니다. 공격자는 브릿지의 TreasuryCheck 검증자가 서명 메시지를 만들 때 14개의 가변 길이 필드를 구분자 없이 이어 붙인다는 결함을 파고들었습니다. 서로 다른 필드 조합이 동일한 바이트 문자열로 겹칠 수 있었고, BlockSec의 분석에 따르면 BNB체인에서 약 3,110개 NIGHT 토큰만 인출을 승인했던 정상 서명 하나가 재사용되어 카르다노에서 2억 3백만 개 이상의 NIGHT를 인출하는 데 쓰였습니다. 8분 사이 네 건의 트랜잭션으로 약 5억 1,500만 개 NIGHT, 900만~1,300만 달러 상당이 빠져나갔고 토큰 가격은 한때 30% 넘게 폭락해 사상 최저치를 기록했습니다.
여기서 눈여겨볼 대목이 있습니다. 미드나잇 재단과 Wanchain 모두 신속하게 "카르다노 L1과 미드나잇 프로토콜 자체는 무사하다"고 확인했습니다. 사실입니다. 하지만 실제로 피해를 본 것은 카르다노 생태계에 참여한 사용자들이었습니다. 찰스 호스킨슨은 CoinDesk와의 인터뷰에서 이 사고를 두고 "월요병 같은 사건"이라 표현하면서도, 모든 소프트웨어가 AI 기반 취약점 탐색의 공세 아래 놓여 있다는 점, 그리고 90% 방어력이라는 것도 결국 노출이 반복되면 뚫린다는 점을 인정했습니다. Wanchain은 90%를 반환하면 10%를 화이트햇 바운티로 인정하겠다는 제안과 함께 8월 6일을 마감 시한으로 제시했지만, 이 원고를 쓰는 시점까지 공개적으로 확인된 반환 결과는 없습니다.
이 사고에서 배워야 할 것은 "서드파티 브릿지라 우리 책임이 아니다"라는 문장이 기술적으로는 맞지만 생태계 차원에서는 충분한 답이 되지 못한다는 사실입니다. 사용자 입장에서 브릿지는 카르다노 생태계의 일부입니다. 검증 로직에 대한 독립 감사나 상시 모니터링 요구 수준을 어디까지 끌어올릴지는, L1 개발팀만이 아니라 브릿지 운영사와 생태계 참여자 모두가 함께 정할 문제입니다.
2부에서는 콜드카드 하드웨어 지갑 사태, Bybit 해킹, IBC 인터체인 취약점까지 — 카르다노만의 문제가 아니라 업계 전체가 반복하고 있는 패턴을 짚어봅니다. 이 사고를 둘러싼 더 깊은 논의는 Cardano Forum에서 이어가시길 바랍니다.
핵심 용어
- eUTXO(확장형 UTXO): 카르다노의 회계 모델
- 브릿지(Bridge): 서로 다른 블록체인 간 자산 이동을 중개하는 서드파티 인프라
- 화이트햇 바운티: 공격자가 탈취 자산 일부를 반환하면 나머지를 보상으로 인정하는 협상 방식
- 미드나잇(Midnight): 카르다노의 프라이버시 특화 사이드체인, NIGHT는 해당 네이티브 토큰