6시간 동안 세 개의 프로토콜에서 총 3,500만 달러 이상이 빠져나갔다. 그런데 가장 주목해야 할 사실은 따로 있다. 세 건 모두 암호화 기술은 전혀 뚫리지 않았다. 블록체인을 보호하는 수학적 코드는 설계된 대로 완벽하게 작동했다.
무너진 것은 그 위에 쌓인 모든 것이었다. 업계가 계속해서 외면하는 교훈이다. 기술적 문제보다 훨씬 불편한 진실이기 때문이다.
무슨 일이 있었나
2026년 7월 22일에서 23일로 넘어가는 밤, 서로 연관성이 없는 세 건의 공격이 잇따라 발생했다. 가장 큰 피해는 Arbitrum 기반 탈중앙화 파생상품 플랫폼 AFX에서 발생했으며, Lookonchain 데이터에 따르면 약 2,415만 달러가 탈취됐다. 몇 시간 뒤에는 Verus와 이더리움을 잇는 브리지가 공격받아 이더리움, 토큰화 비트코인, 여러 스테이블코인 등 약 754만 달러가 유출됐다. 마지막으로 B² Network에서 약 386만 달러의 피해가 발생했다.
세 건의 공격, 6시간, 3,550만 달러
프로토콜별 피해 추정액, 2026년 7월 22~23일. 출처: Blockaid, Lookonchain
추정 총액: 단 6시간 만에 약 3,555만 달러.
Verus 사건: 같은 문이 두 번 열렸다
사실, 가장 충격적인 사례는 Verus이며, 자세한 설명이 필요하다. 브리지란 서로 소통하지 못하는 두 블록체인 사이에서 가치를 이동시키는 도구다. 한쪽에서 실제 토큰을 잠그고 반대쪽에서 그에 상응하는 권리를 발행하는 구조다. 보안의 핵심은 오직 하나, 한쪽의 모든 출금이 반드시 다른 쪽에 잠긴 자금과 일치해야 한다는 검증 로직이다.
Verus, Ethereum Bridge Suffers Second Exploit in Two Months, $7.54M Drained
, Wu Blockchain (@WuBlockchain) July 23, 2026
Blockaid detected a new exploit targeting the Verus, Ethereum Bridge, with an attacker abusing the bridge's import path to trigger unbacked Ethereum-side payouts and drain approximately $7.54 million in… pic.twitter.com/eNGo8EILT7
이번 공격에서 해커는 브리지의 임포트 경로를 악용해 Verus 측에 담보가 없는 이더리움 측 출금을 유발했다. 브리지는 존재하지 않는 크레딧에 대해 실제 자금을 지급했다. 그런데 진짜 문제는 따로 있다. 이 공격을 탐지한 보안 회사 Blockaid에 따르면. 이번에 악용된 계약, 진입점, 취약점 유형은 5월 공격 때와 완전히 동일하다. 당시 약 1,158만 달러가 탈취됐다. 두 달이 지나도록 같은 문이 열려 있었다.
무엇이 무너졌고, 무엇은 버텼나
업계가 인정하기 싫어하는 핵심이 바로 여기에 있다. 이번 공격 중 암호화 기술을 깬 것은 단 하나도 없다. B² Network의 경우 공격자는 스테이킹 계약의 업그레이드 권한을 획득했다. 아무것도 강제로 뚫지 않았다 한편 그냥 올바른 키를 갖고 있었을 뿐이다. 나머지 경우에도 코드는 요청받은 것을 정확히 실행했다. 다만 그 로직이 요청해서는 안 될 것을 요청할 수 있도록 허용하고 있었다.
취약점은 수학이 아니다
크립토 시스템이 실제로 무너지는 지점
- 버텼다: 암호화 기술. 세 건 모두 뚫리지 않았다.
- 무너졌다: 검증 로직. 담보 없는 출금을 그대로 통과시켰다.
- 무너졌다: 키와 관리자 권한 통제.
- 무너졌다: 거버넌스. 두 달 전에 알려진 취약점을 끝내 닫지 않았다.
최근 Cardano 지갑 사건도 정확히 같은 패턴이었다. 체인은 뚫리지 않았고, 결함은 그 위에서 돌아가는 소프트웨어에 있었다. 업계는 블록체인을 보안의 동의어처럼 팔아왔지만, 블록체인은 자신이 닿는 레이어만 보호한다. 그 위에 있는 모든 것. 즉 브리지, 업그레이드 가능한 계약, 관리자 지갑은 평범한 사람이 만들고 평범한 사람이 권한을 관리하는 일반 소프트웨어일 뿐이다.
새로운 변수: 공격의 자동화
이 상황을 단순한 불운의 연속으로 보기 어렵게 만드는 요소가 하나 더 있다. 이 사건들을 추적하는 보안 전문가들은 탈취 사고의 주된 원인이 여전히 키 탈취와 잘못된 권한 관리라고 지적하며, 동시에 AI 보조 침투 도구의 능력이 빠르게 향상되고 있다고 경고한다.
쉽게 말하면, 이미 알려진 취약점 패턴을 코드에서 자동으로 스캔하는 비용이 갈수록 낮아지고 있다는 뜻이다. Verus 사례처럼 공개된 결함이 수개월째 열려 있으면, 시간은 더 이상 방어자 편이 아니다. 6시간 안에 서로 다른 프로토콜 세 곳이 동시에 당한 것은 아마 우연의 일치일 것이다. 그러나 이는 취약한 문을 찾아내는 속도가 그것을 고치는 속도를 이미 앞질렀음을 보여주는 단면이기도 하다.
🚨 Blockaid detected a @VerusCoin Ethereum Bridge exploit on Ethereum.
, Blockaid (@blockaid_) July 23, 2026
An attacker used the bridge import path to trigger unbacked Ethereum-side payouts, draining ~$7.54M in ETH, tBTC, USDC, USDT, EURC, MKR, and scrvUSD from bridge reserves.
More details in 🧵
더 넓은 시각으로 바라보면
투자자든 개발자든 이번 사건에서 끌어낼 수 있는 결론은 화려하지는 않지만 실질적이다. 브리지는 생태계 전체에서 가장 취약한 지점으로 남아 있다. 대규모 자금이 집중되고, 보안은 오직 하나의 검증 로직에 달려 있으며, 그 로직이 조금이라도 잘못되면 수도꼭지가 열린다. 서로 다른 체인을 연결하는 프로토콜에 자산을 맡기기 전에 반드시 물어봐야 할 것이 있다. 업그레이드 권한은 누가 통제하는가, 최근 독립 감사가 실시됐는가, 그리고 과거 취약점이 진짜로 닫혔는가 아니면 임시방편으로 막은 것인가.
오늘의 진짜 뉴스는 누군가 3,550만 달러를 훔쳤다는 사실이 아니다. 그 훔침을 위해 아무것도 부술 필요가 없었다는 것이다. 두 달 전 누군가 열어두고 잊어버린 문 하나면 충분했다. 업비트, 빗썸 등 국내 거래소를 이용하는 국내 투자자들도 자신이 사용하는 브리지 프로토콜의 감사 이력과 권한 구조를 확인하는 습관이 필요하다. 금융감독원(FSS)과 DAXA가 가상자산이용자보호법 시행 이후 보안 기준을 강화하고 있지만, 탈중앙화 브리지는 여전히 이 규제의 사각지대에 놓여 있다.
