$600만 달러 Summer.fi 해킹 보도, 사실은 '오보'였다

이더리움 기반 수익률 집계 플랫폼 Summer.fi가 보안 업체 Blockaid에 의해 2026년 7월에 $600만 달러 규모로 해킹당했다는 소문은 실제 사실과 다릅니다. 면밀한 조사 결과, Blockaid가 2026년 7월(또는 2026년 중) Summer.fi 자체에서 $600만 달러 규모의 해킹을 탐지했다는 증거는 어디에서도 찾을 수 없습니다.

이러한 오해는 아마도 두 가지 별개의 사건이 뒤섞이면서 발생한 것으로 보입니다. 하나는 2026년 5월 Blockaid가 탐지한 TrustedVolumes의 $670만 달러 해킹 사건이고, 다른 하나는 같은 해 5월 한 주 동안 6개의 DeFi 프로젝트에서 거의 $600만 달러에 달하는 피해가 발생한 사건입니다. Summer.fi와 그 Lazy Summer Protocol은 2026년에 심각한 보안 사고를 겪었지만, 그중 어느 것도 Blockaid가 탐지한 $600만 달러 규모의 해킹과 일치하지 않습니다.

다음은 실제로 있었던 일들입니다.

$600만 달러 사건: Summer.fi가 아닌 TrustedVolumes

2026년 "$600만 달러 규모의 Blockaid 탐지 해킹"에 가장 근접한 사건은 2026년 5월 7일에 발생한 TrustedVolumes 해킹입니다. Blockaid의 실시간 익스플로잇 탐지 시스템은 TrustedVolumes에서 약 $670만 달러를 탈취한 스마트 계약 해킹을 적발했습니다. TrustedVolumes는 1inch, Uniswap, MetaMask, Ledger에 서비스를 제공하는 유동성 공급자이자 마켓 메이커입니다. 이 사건을 Summer.fi와 연결하는 소스는 없습니다.

같은 2026년 5월, 보안 업체 PeckShield와 다른 곳에서는 Transit Finance($190만 달러)와 Aurellion, BoostHook 같은 소규모 프로젝트를 포함한 6개의 DeFi 프로젝트에서 합계 약 $600만 달러의 손실이 발생했다고 추적했습니다. 이 주간 집계 수치도 "$600만 달러"라는 잘못된 연관성에 기여했을 수 있습니다.

Summer.fi와 Lazy Summer Protocol의 실제 2026년 보안 사고

Summer.fi 자체가 언론의 주목을 받는 $600만 달러 규모의 Blockaid 경보를 피했지만, Lazy Summer Protocol은 2026년에 두 건의 심각한 보안 사건에 직면했습니다.

$4천만 달러 규모의 악의적인 거버넌스 제안 위기 (2026년 4월)

2026년 4월, "V1 역할 폐기 및 V1→V2 마무리를 위한 정리"라는 제목의 악의적인 제안이 Lazy Summer Protocol의 거버넌스에 제출되었습니다. V1에서 V2로의 마이그레이션 후 일상적인 유지보수로 위장된 12개의 온체인 호출 뒤에는, 단 한 줄의 숨겨진 코드가 있었습니다. 이 코드는 3개의 체인에서 약 $4천만 달러의 사용자 자금을 관리하는 프로토콜의 마스터 키를 익명의 지갑에 넘겨주도록 설계되었습니다. 이 제안은 실행되기 전에 Lazy Summer Guardian 커뮤니티에 의해 탐지되고 취소되었습니다.

Arbitrum USDC Vault 간접 사고 (2026년 5월)

Summer.fi의 공식 블로그는 Lazy Summer Protocol 커뮤니티가 "Arbitrum USDC Vault에 영향을 미친 예상치 못하고 어려운 사건"을 해결했다고 밝혔습니다. 이는 Summer.fi의 스마트 계약에 대한 직접적인 해킹이 아니었습니다. 대신, 볼트가 별도의 보안 사고의 영향을 받은 제3자 수익원(yield source)에 간접적으로 노출되었습니다. Block Analitica의 사전 예방적 모니터링은 영향을 받은 시장의 볼트 한도를 0으로 설정하여 피해를 최소화했습니다.

Summer.fi 플랫폼 개요

Summer.fi(이전 명칭 Oasis.app)는 2016년 단일 담보 Dai(싱글 콜래트럴 다이)가 출시되기 전부터 MakerDAO에서 탄생한 최초의 프로젝트 중 하나로 시작되었습니다. Maker의 완전한 탈중앙화 이후 독립적인 법인이 되었으며, 2023년 6월 Oasis.app에서 Summer.fi로 리브랜딩되었습니다. 이 플랫폼의 사명은 "DeFi에서 자본을 운용할 수 있는 가장 신뢰할 수 있는 앱을 구축하는 것"입니다.

2026년 1월, Summer.fi는 엄선된 DeFi 수익률에 자동으로 노출되도록 설계된 온체인 볼트 프로토콜인 Lazy Summer Protocol에 "올인"하겠다고 발표했습니다. 이 프로토콜의 위험 관리는 Block Analitica가 담당하고 있습니다.

2026년 광범위한 DeFi 보안 현황

2026년은 DeFi 보안에 있어 매우 혹독한 해였습니다. 첫 5개월 동안의 손실은 8억 4천만 달러를 넘어섰습니다. 4월에만 6억 달러 이상이 도난당했으며, 여기에는 연중 최대 사건 두 건인 KelpDAO의 $292백만 달러 rsETH 익스플로잇과 Drift Protocol의 약 $285백만 달러 침해 사고가 포함됩니다.

공격 경로는 단순한 스마트 계약 버그를 넘어 크로스체인 브리지 익스플로잇, 거버넌스 공격, DNS 하이재킹, 개인 키 탈취, 허니팟 MEV 봇 트랩 등으로 확대되었습니다. Blockaid의 실시간 탐지 시스템은 2026년 동안 ZetaChain, Scallop Protocol, ShapeShift, Aztec, Verus-Ethereum Bridge, Resolv의 $8천만 달러 키 탈취 사건 등 여러 프로토콜에서 발생한 익스플로잇을 적발했습니다.

핵심 요약

Blockaid가 2026년 7월에 Summer.fi의 $600만 달러 규모 해킹을 탐지했다는 증거는 없습니다. $600만 달러라는 수치는 TrustedVolumes의 $670만 달러 해킹 사건이나 소규모 프로젝트들의 주간 $600만 달러 합계에서 비롯된 것으로 보입니다. Summer.fi의 Lazy Summer Protocol은 심각한 $4천만 달러 규모의 거버넌스 공격(거의 성공할 뻔함)과 간접적인 볼트 사고를 겪었지만, 어느 것도 Blockaid가 탐지한 $600만 달러 규모의 해킹은 아닙니다. 2026년, DeFi는 공격의 빈도와 정교함 모두에서 극적인 증가세를 계속 경험하고 있습니다.