6개 중 3개. 2026년 6월 8일, 이것만으로 충분했다. 공격자는 휴머니티 프로토콜의 통제권을 빼앗고 3600만 달러 이상을 빼돌렸다. H토큰은 몇 시간 만에 거의 90% 폭락했다. 황당한 점은 이번 공격이 코드의 버그를 노린 게 아니라는 것이다. 노린 것은 노트북 한 대였다.
휴머니티 프로토콜은 그저 그런 프로젝트가 아니다. 탈중앙화 신원 인증을 위한 레이어2 블록체인으로, 샘 올트먼의 월드와 경쟁하며 홍채 대신 손바닥을 스캔해 영지식증명을 생성한다. 5000만 달러를 조달했고 기업가치는 11억 달러에 달했으며, 판테라 캐피털과 애니모카 브랜즈가 투자자로 이름을 올렸다. 일주일 전만 해도 H토큰은 사상 최고가 부근에서 거래됐다. 그리고 순식간에 증발했다.
구체적으로 무슨 일이 있었나
팀의 재구성 설명은 민망할 정도로 단순하다. 휴머니티 파운데이션 소속 한 직원의 노트북에 브리지 운영에 필요한 관리자 키 여러 개가 한꺼번에 저장돼 있었다. 이 기기가 뚫리자 공격자는 이더리움 쪽 6개 키 중 3개, BNB체인 쪽 5개 키 중 3개를 손에 넣었다.
공격자는 계약 소유권을 자신의 지갑으로 옮기고 브리지 코드를 악성 버전으로 교체한 뒤, 단 한 번의 거래로 H토큰 1억4120만 개를 빼냈고 2억 개를 추가로 무에서 발행했다. 탈취 자금 중 상당액인 약 2370만 달러는 곧바로 이더로 바뀌어 카이버스왑, 팬케이크스왑 같은 탈중앙 거래소에서 팔려나갔다.
We're aware of a security incident involving the compromise of private keys belonging to a member of the Humanity Foundation. The safety of our community is our top priority, and we want to be fully transparent about what we know.
— Humanity (@Humanityprot) June 9, 2026
As a precaution, please do NOT interact with the…
창업자 테런스 콱은 X를 통해 침해 사실을 인정하고, 커뮤니티의 안전을 최우선 과제로 꼽으며 팀이 보안 업체 및 거래소와 공조하는 동안 브리지와의 상호작용을 자제해 달라고 당부했다.
그런데 여기서 이야기가 갈린다. 두 번째 버전은 첫 번째보다 훨씬 불편하다. 온체인 조사관 ZachXBT는 팀의 설명을 믿지 않는다. 그는 H토큰 전량이 중앙화 거래소가 아니라 DEX에서 팔렸다는 점을 지적하며, 이는 실제 도난 사고치고는 이례적인 행동이라고 말한다. 또한 소수에게 집중된 토큰 공급량 문제도 짚었다.
The “incident” seems possibly staged I am not buying the teams story it’s a convenient way for the active MM to have exited https://t.co/rLrVCaB01u pic.twitter.com/lDMkylj4jE
— ZachXBT (@zachxbt) June 9, 2026
그는 "팀의 이야기를 믿지 않는다"고 적으며, 활동 중이던 마켓메이커가 발을 빼기에 편리한 수단이었을 뿐이라고 주장했다. 그는 또 프로젝트 측에 마켓메이커와 맺은 계약이 있다면 공개하라고 요구했다. 시점도 석연치 않다. 이번 사건은 6월 25일로 예정된 토큰 언락을 불과 몇 주 앞두고 터졌다. 외부 해킹이든 계획된 엑시트든 H토큰을 보유했던 이들에게 결과는 같다. 다만 신뢰의 측면에서는 모든 것이 달라진다.
진짜 달라지는 것은 무엇인가
중요한 것은 액수가 아니라 패턴이다. 2026년 상반기에만 DeFi 해킹 피해액이 이미 8억8500만 달러를 넘어섰고, 가장 큰 사고들은 결함 있는 코드가 아니라 탈취된 키에서 비롯됐다. 드리프트는 4월에 약 2억8500만 달러를, 켈프 다오는 같은 달 약 2억9200만 달러를 잃었다. DeFi의 멀티시그가 존재하는 이유는 바로 이런 사태를 막기 위해서다. 키를 서로 다른 사람과 기기에 분산해 어떤 기기 하나만으로는 자금을 움직일 수 없게 만드는 것이다.
키를 노트북 한 대에 몰아넣는 순간 그 취지는 무의미해진다. 공격에 시달리는 크립토 브리지에서 이미 확인된 문제와 같다. AI를 활용한 새로운 익스플로잇이나 앤트로픽의 스마트컨트랙트 테스트에서도 되풀이되는 것은 결국 같은 인간적 약한 고리이며, 신원과 인공지능이라는 내러티브 위에 세워진 토큰들의 발목을 잡는 요인이기도 하다.
위험의 최전선이 옮겨갔다. 이제 관건은 코드의 품질이 아니다. 키를 관리하는 사람들의 습관이다. 코드는 해마다 발전한다. 절차는, 너무 자주, 그러지 못한다.
