어크로스 프로토콜 솔라나 공격, 사용자 자금 무사...리스크랩스 릴레이어만 피해

피해 규모: 사용자 자금 '0' 손실

• 사용자 중 피해자는 단 한 명도 없었다. 어크로스는 공격 발생 전에 시작된 모든 크로스체인 브리지 거래가 정상적으로 완료되었다고 밝혔다 .
• 금전적 피해는 리스크랩스가 운영하던 릴레이어가 보유한 자금으로 한정됐다. 릴레이어는 서로 다른 블록체인 간 메시지 전달을 중계하는 내부 인프라다 . 릴레이어의 정확한 피해 금액은 공개되지 않았지만, 여러 소식통은 그 영향을 '제한적'이라고 표현했다 .
• 프로토콜의 금고(Treasury)와 사용자가 브리지 풀(Pool)에 예치한 자본은 전혀 손실되지 않았다 .

사고 대응 및 조사

• 즉각적인 차단: 어크로스는 공격 탐지 후 몇 시간 만에 솔라나 방향 입금 기능을 중단했다. 나머지 프로토콜 기능은 정상 운영됐다 .
• 공격자 추적: 프로젝트 팀은 화이트햇 보안 연합 SEAL-911과 협력하여 공격자의 지갑 주소(솔라나 주소 1개, 이더리움 주소 2개)를 추적하기 시작했다 .
• 서비스 완전 복구 (7월 18일): 공격 발생 후 약 24~30시간 만에 어크로스는 모든 기능이 정상화됐으며, 솔라나 입금이 재개됐고, 대기 중이던 SOL 전송도 완료 또는 환불됐다고 발표했다 .
• 팀은 추후 상세한 기술 분석 보고서(사후 분석)를 공개하겠다고 약속했다 .

'인텐트 기반 아키텍처'가 피해를 막은 방법

어크로스 프로토콜은 **인텐트 기반 아키텍처(intent-based architecture)**를 사용한다. 사용자가 '어디서 무엇을 보낼지' 의도(intent)를 제출하면, 여러 릴레이어들이 경쟁적으로 이를 처리하는 구조다. 이 설계 덕분에 피해 범위가 자연스럽게 제한됐다.

• 릴레이어 자금은 분리되어 있다. 공격받은 릴레이어의 자본과 프로토콜의 유동성 풀, 사용자 예치금은 완전히 격리되어 있다. 따라서 릴레이어 하나가 해킹되어도 다른 곳으로 피해가 번지지 않는다 .
• 전체 프로토콜 중단 없음. 솔라나 입금만 일시 중단됐을 뿐, 이더리움, 베이스(Base) 등 다른 체인 운영은 계속됐다 .
• 진행 중이던 거래는 모두 처리. 공격 당시 대기 중이던 크로스체인 전송은 모두 정상 완료되거나 사용자에게 환불됐다 .

2026년 크로스체인 브리지 해킹 현황 속 의미

어크로스 사태는 2026년 기록된 크고 작은 브리지 해킹 사건 중에서도 손실 규모가 극히 작고 잘 통제된 사례로 남았다.

• 보안업체 팩실드(PeckShield)에 따르면, 2026년 6월 초까지 크로스체인 브리지 프로토콜은 14건의 주요 해킹을 통해 총 3억 4,070만 달러(약 4,700억 원)의 손실을 입었다 .
• 올해 가장 큰 단일 사건은 4월 발생한 켈프 DAO/레이어제로(Kelp DAO / LayerZero) 브리지 해킹으로, 약 2억 9,200만 달러(약 4,000억 원) 상당의 rsETH가 유출됐다 .
• 브리지 해킹은 2026년 5월 발생한 전체 암호화폐 익스플로잇 손실의 약 42% 를 차지했다 (전체 약 7,000만 달러 중 약 2,860만 달러) .
• 쿠코인(KuCoin)의 별도 집계에 따르면 2026년 전체 암호화폐 해킹 손실은 7억 5,000만 달러를 넘었으며, 이 중 브리지 공격만 3억 2,900만 달러에 달했다 .

이런 상황에서 어크로스 공격은 피해 규모가 아니라 '어떻게 피해를 최소화했는가' 라는 점에서 주목받고 있다. 이는 인텐트 기반 아키텍처라는 설계적 안전장치가 실제로 효과를 발휘했음을 보여주는 사례다.

참고: 위 기사는 제공된 출처를 기반으로 작성되었으며, 번역이 아닌 한국어 독자를 위한 자연스러운 재구성입니다.