12분 만에 2억8500만 달러 증발…北 연계 해커가 노린 '사람'과 '거버넌스'

2026년 4월 1일, 솔라나(Solana) 기반 탈중앙화 선물 거래소(DEX) 드리프트 프로토콜(Drift Protocol)에서 하루 거래량 8억 달러를 넘나들던 플랫폼이 단 12분 만에 약 2억8500만 달러(전체 예치 자산의 50% 이상)를 도난당했습니다 . 이번 공격은 스마트 컨트랙트의 코드 결함이 전혀 없었던 점에서 더욱 충격을 줬습니다. 블록체인 보안 업체 TRM 랩스, 엘립틱, 체이널리시스는 공격 배후로 북한 정부와 연계된 해커 그룹 UNC4736(애플저스/시트린 슬릿/라자루스 그룹으로도 추적됨)을 지목했습니다 .

2억8500만 달러 해킹은 어떻게 이뤄졌나

공격자들은 드리프트의 거버넌스와 인간적 신뢰를 무너뜨리기 위해 수개월 간 치밀하게 준비했습니다.

1. 가짜 토큰 생성. 공격자는 **카본보트 토큰(CVT)**이라는 무가치한 토큰을 만들어 초기 공급량 7억5000만 개를 발행했습니다 .

2. 가격 조작. 불과 500달러 규모의 레이디움(Raydium) 유동성 풀을 조성한 뒤 세탁 거래(wash trading)로 CVT 가격을 약 1달러로 조작해, 드리프트의 오라클(Oracle)이 이를 정상 담보 자산으로 인식하게 만들었습니다 .

3. 장기 사회공학 캠페인. 공격자들은 수개월에 걸쳐 정식 퀀트 트레이딩 회사 직원으로 위장, 콘퍼런스에서 대면 접촉하며 드리프트의 멀티시그 서명자들과 신뢰 관계를 쌓았습니다 .

4. 사전 서명 트랜잭션 속임수. 공격자는 멀티시그 서명자들이 일상적인 트랜잭션으로 보이는 것에 사전 서명하게 유도했으나, 실제로는 드리프트 **보안위원회(Security Council)**의 관리권을 빼앗는 내용이었습니다 .

5. '듀러블 논스' 취약점 활용. 솔라나 아키텍처의 '듀러블 논스(durable nonces)' 기능을 악용한 새로운 공격 방식으로, 타임락(timelock) 없이 관리자 권한을 장악했습니다 .

6. 자금 인출. 관리권을 장악한 공격자는 부풀려진 CVT를 정식 담보로 등록하고 출금 안전장치를 해제한 뒤, 31차례에 걸쳐 빠르게 실제 사용자 자산(ETH, USDC, SOL, 래핑된 BTC)을 인출했습니다 .

TRM 랩스는 이번 공격의 근본 원인을 "멀티시그 서명자에 대한 사회공학 공격과 타임락 없는 보안위원회 이전으로 프로토콜의 마지막 방어선이 무너진 것"이라고 진단했습니다 . 드리프트 팀은 코드 버그가 아닌 운영 보안 실패임을 분명히 밝혔습니다 .

드리프트 프로토콜의 대응

즉각 중단. 해킹 탐지 1시간 이내에 예치와 거래를 중단하고, "만우절 농담이 아니다"라는 경고문을 발표했습니다 .

조사. 드리프트 팀은 법 집행기관 및 TRM 랩스, 체이널리시스, 엘립틱, 할본 등 외부 포렌식 업체와 공조해 자금 추적과 공격자 식별에 나섰습니다 . 도난 자산 중 약 12만9000 ETH가 보관된 4개의 이더리움 지갑에 온체인 메시지를 보내기도 했습니다 .

복구 펀드. 스테이블코인 발행사 Tether가 1억5000만 달러 규모의 복구 프로그램을 주도했습니다. Tether가 직접 1억2750만 달러를 기여하고 추가로 공개되지 않은 파트너사들이 참여해 사용자 자금 회복과 플랫폼 재가동을 지원했습니다 .

복구 토큰 모델. 피해 사용자는 검증된 손실 규모에 따라 토큰당 약 1달러 가치의 복구 토큰을 받았습니다. 이 토큰은 잔여 프로토콜 자산 380만 달러와 Tether 주도의 1억4750만 달러 약속으로 조성된 복구 풀에 대한 비례 청구권 역할을 합니다 .

보안 전면 개편. 드리프트는 엄격한 서명자 검증, 역할 기반 접근 통제, 오프라인 트랜잭션 확인, 서명자 행동 모니터링, 사전 서명 트랜잭션 리스크 제거 등 새로운 보안 체계를 도입했습니다 .

리브랜딩: 종합 DeFi에서 솔라나 선물 거래소로

2026년 6월, 드리프트는 대대적인 리브랜딩을 발표했습니다. 플랫폼은 **솔라나 기반 전용 무기한 선물 거래소(솔라나 펄프 DEX)**로 재탄생하며, USDT 기반 무기한 스왑 거래에 집중하기로 했습니다 .

리브랜딩의 핵심 요소:

• 제품 집중. 선물, 대출, 현물 거래를 모두 제공하던 종합 DeFi 프로토콜에서 순수 USDT 무기한 선물 거래 플랫폼으로 전환, 솔라나 내 최대 규모를 목표로 합니다 .
• 수익→보상 모델. 재가동된 플랫폼의 모든 수익은 사용자 보상을 위한 전용 기금으로 들어갑니다 .
• 보안 리더십 교체. 헬륨 프로토콜(Hellum Protocol)의 전 엔지니어링 책임자였던 **노아 프린스(Noah Prince)**를 신임 프로토콜 리더로 선임했으며, 곤틀릿(Gauntlet) 팀원들이 기술 지원을 제공합니다 .
• 솔라나 중심 전략. 솔라나가 파생상품 거래의 주요 플랫폼이 될 것이라는 확신 아래, 솔라나의 기초 선물 계층이 되는 것을 목표로 합니다 .

솔라나 DeFi에 주는 의미

드리프트 해킹은 2026년 최대 규모의 DeFi 해킹 사건이자 솔라나 역사상 두 번째로 큰 사건이었습니다 . 이 사건은 거버넌스 보안과 멀티시그 운영의 인간적 취약점이 스마트 컨트랙트 감사만으로는 막을 수 없는 치명적인 위험임을 적나라하게 드러냈습니다.

드리프트의 대응과 리브랜딩은 종합 DeFi 허브에서 단일 목적의 고보안 선물 DEX로의 전환을 의미하며, 이전의 다양한 제품 포트폴리오가 거버넌스와 운영 리스크를 과도하게 키웠다는 자체 진단으로 읽힙니다. Tether가 주도한 복구 기금, 새로운 보안 아키텍처, 경험 많은 보안 리더십과 함께 좁혀진 제품 범위는 사용자 신뢰를 회복하고 드리프트를 솔라나 최고 선물 거래소로 되돌리기 위한 의도적인 설계입니다.

솔라나 생태계 전반에서도 이 사건은 거버넌스 시스템에서의 철저한 서명자 검증, 행동 모니터링, 사전 서명 트랜잭션 리스크 제거의 중요성을 각인시키는 참고점이 되고 있습니다 .