7백만 달러를 삼킨 좀비 컨트랙트: DxSale 해킹이 DeFi에 던진 뼈아픈 경고

269일간의 긴 그림자, 장기간 준비된 범죄

이번 해킹이 단순한 기회주의적 범행과 다른 점은 바로 장기간에 걸친 치밀한 계획의 정황입니다. 온체인 데이터는 공격자가 자금을 빼내기 거의 9개월 전에 이미 사전 작업을 완료했음을 보여줍니다.

• 2025년 8월: 핵심 레거시 락커 컨트랙트의 소유권이 현재 공격자가 통제하는 주소로 이전되었습니다 .
• 2026년 5월 28-29일: 약 269일 후, 실제 자금 탈취가 실행되었습니다 .

이처럼 미리 포석을 깔아두는 행위는 우발적 범행이 아니라 매우 신중하게 고안된 계획임을 강력히 시사합니다. 펙쉴드(PeckShield)나 슬로우미스트 같은 보안 업체 및 온체인 분석가들은 공격의 효율성으로 미루어 볼 때, DxSale의 구식 컨트랙트 구조에 대한 깊고, 아마도 내부자의 지식을 가진 소행일 가능성이 크다고 지적했습니다 .

너무 적었던 경고의 대가: 500달러의 바운티

2026년의 이 대규모 공격은 사전 경고가 전혀 없었던 것은 아닙니다. 2025년 6월, 블록체인 보안 업체 디큐리티(Decurity)는 BNB 체인의 또 다른 DxSale 스마트 컨트랙트에서 당시 최소 520만 달러의 사용자 자금을 위험에 빠뜨릴 수 있는 심각한 버그를 발견했습니다. 수백만 달러 손실로 이어질 수 있는 취약점을 발견하고 책임감 있게 제보했음에도 불구하고, 디큐리티가 제안받은 보상금은 고작 500달러(약 70만 원) 였습니다. 이 터무니없이 낮은 금액은 업계 헤드라인을 장식하며 큰 비판을 받았습니다 .

해당 버그는 나중에 패치되었지만, 이 사건은 보안 인프라를 등한시하는 패턴을 그대로 드러냈고, 이는 결국 1년 후 레거시 락커에서 훨씬 더 파괴적인 침해 사고로 이어진 것으로 보입니다.

자금 세탁: 쪼개고, 또 쪼개서 흔적을 지우다

LP 토큰을 손에 넣은 공격자는 재빨리 훔친 자금의 흔적을 지우기 위한 작업에 착수했습니다. 0xC4574DDEF299e7E563971e200433e592EeaaFA69로 식별된 주요 공격자 주소는 다단계 접근 방식을 통해 자금을 세탁했습니다 .

1. 토큰 스왑: 훔친 LP 토큰은 온체인 추적을 어렵게 만들기 위해 BNB 체인의 네이티브 코인인 BNB로 즉시 교환되었습니다 .
2. 통합 및 분할: 당시 시세로 약 187만 달러 상당의 약 2,958 BNB가 주요 주소에서 두 개의 중간 지갑으로 옮겨졌습니다 .
3. 쪼개서 입금: 중간 지갑에 모인 자금은 다시 여러 입금 주소로 분산되었습니다. 이는 자금 추적을 더욱 어렵게 만들고 복구 노력을 좌절시키기 위한 기술입니다 . 초기 보도에 따르면 애니스왑(AnySwap)과 같은 크로스체인 서비스도 자금 세탁 과정에 사용된 것으로 알려졌습니다 .

더 큰 그림: 디파이의 잔혹했던 2026년

DxSale 사건은 단독 사건이 아닙니다. 2026년에 발생한 암호화폐 범죄의 파괴적인 물결의 일부일 뿐입니다. 2026년은 이미 온체인 보안 역사상 최악의 해 중 하나로 기록될 조짐을 보이고 있습니다.

• 착시 현상이었던 1분기: 2026년 1분기, 탈중앙화 금융(DeFi) 프로토콜은 34건의 공격으로 약 1억 6,800만~1억 6,900만 달러를 잃었습니다. 2025년 1분기의 15억 8천만 달러라는 충격적인 손실(대부분 바이비트(Bybit) 해킹 14억 달러)에 비하면 89%나 줄어든 수치였지만, 보안 전문가들은 위협이 끝난 것이 아니라고 경고했습니다 .
• 사상 최악의 '블랙 에이프릴': 그 경고는 정확히 맞아떨어졌습니다. 2026년 4월은 암호화폐 역사상 가장 많은 해킹이 발생한 달이 되었습니다. DeFi 프로토콜에서만 6억 6백만 달러 이상이 탈취당했으며, 이로 인해 단 48시간 만에 DeFi 생태계에서 총 예치 금액(TVL)이 무려 130억 달러나 빠져나가는 대탈출이 벌어졌습니다 .
• 증가하는 연간 누적 손실: 2026년 5월 말까지 암호화폐 해킹 및 취약점 공격으로 인한 총 손실액은 185건의 사고를 통해 11억 달러를 넘어섰습니다. 이 중 DeFi와 크로스체인 브릿지 공격이 약 8억 1,690만 달러를 차지했습니다 .
• 국가 지원 해킹: 피해의 상당 부분은 북한 해킹 그룹의 소행으로, 이들은 2026년 4월까지 전체 암호화폐 해킹 손실액의 76% 를 차지했으며, 단 몇 차례의 주요 공격만으로 약 5억 7,700만 달러를 탈취했습니다 .

DxSale 사건은 2026년 최대 규모의 침해 사고는 아니지만, 점점 커지는 위협 벡터의 교과서적인 사례입니다. DeFi 영역이 확장될수록, 오래되고 감사(audit)되지 않았으며 관리되지 않는 '좀비 컨트랙트'라는 무덤도 함께 커집니다. 이 컨트랙트들은 여전히 관리자 키를 보유하고 있으며, 그 키가 손상되거나, 이번 사건처럼 은밀하게 이전될 경우 공격자에게 아직 잠겨 있는 모든 자금으로 가는 직접적인 통로를 제공합니다. 이번 사건은 '락업된 유동성(Locked Liquidity)'의 안전성이 오로지 그 락을 통제하는 코드와 키의 안전성에 달려 있다는 결정적인 교훈을 남깁니다.