디파이 아킬레스건 된 브리지… “기관 진입 위해선 '보안표준' 시급”

올해 디지털자산 해킹 피해 7억7000만달러 돌파…브리지 공격 집중
한 곳만 뚫려도 전체 흔들…멀티체인 구조적 취약성 부각
기관 자금 유입 확대 앞두고 보안 표준·실시간 감시 체계 점검해야

[블록미디어 오수환 기자] 디지털자산(가상자산) 시장이 제도권 금융으로 빠르게 편입되고 있는 가운데, 탈중앙화금융(DeFi·디파이) 생태계에서 반복되는 브리지(브릿지) 해킹 사고가 기관 자금 유입의 최대 걸림돌로 부상하고 있다.

특히 서로 다른 블록체인을 연결하는 브리지는 구조적으로 막대한 자금이 집중되는 데다 온·오프체인 요소가 복잡하게 얽혀 있어 해커들의 핵심 표적으로 꼽힌다. 업계에서는 디파이가 기관 투자자를 본격적으로 끌어들이기 위해서는 코드 감사 정례화, 다중 서명 체계 강화, 실시간 온체인 모니터링 등 보안 신뢰 구축이 선행돼야 한다는 지적이 나온다.

6일 업계에 따르면 올해 디지털자산 시장의 해킹 규모는 약 7억7000만달러(약 1조1198억원)를 초과한 것으로 추정된다. 특히 4월 한 달만 6억600만달러(약 8831억원)의 피해가 발생하며 디지털자산 역사상 해킹이 가장 많이 발생한 달로 기록됐다.

‘돈 몰리는 허브’ 된 브리지…해커들의 핵심 표적

최근 디파이 생태계 내 보안 사고가 끊이지 않는 가운데, 업계에서는 브리지를 가장 취약한 고리로 지목하고 있다.

브리지가 해킹의 주요 표적이 되는 이유는 막대한 자금이 집중되는 구조적 특성과 운영상의 허점이 맞물려 있기 때문이다. 여러 체인의 자산이 교차하는 ‘허브’ 역할을 하다 보니 자연스럽게 총예치자산(TVL)이 거대해질 수밖에 없다. 공격자 입장에서는 한 번의 침투만으로 수천억 원에서 수조 원에 달하는 자산을 탈취할 수 있어, 투입 노력 대비 보상이 압도적인 것이다.

실제로 2021년 8월 폴리 네트워크(Poly Network)에서 6억1000만달러 규모의 해킹이 발생하며 당시 역대 최대 피해액을 기록한 바 있다. 같은 해 2월에는 솔라나와 이더리움을 잇는 웜홀(Wormhole) 브리지에서 3억2400만 달러가 도난당하는 사고도 뒤를 이었다

이러한 브리지의 취약성은 최근까지도 이어져, 지난 4월 켈프DAO의 레이어제로 기반 브리지가 해킹을 당하며 약 2억 9200만달러의 자금이 유출됐다. 이는 최소 9개 이상의 플랫폼에 연쇄적인 타격을 입혔다.

첨단 보안 도입에도…브리지 구조적 한계 여전

이에 디지털 자산 업계 역시 브리지의 안정성을 확보하기 위해 다각적인 시도를 이어가고 있다. 특히 인공지능(AI) 기반의 이상 거래 탐지나 양자 내성 암호 등 첨단 기술을 도입하며 보안 수준을 높이려는 움직임이 분주하다. 하지만 서로 다른 체인을 잇는 ‘인터페이스’라는 태생적인 복잡성 탓에, 완벽하게 안전한 궤도에 오르기까지는 여전히 갈 길이 멀다는 평가가 지배적이다.

블록체인 보안업체 사이프린(Cyfrin)은 “브리지는 단일 체인 프로토콜과 달리 서로 다른 합의 구조와 보안 모델을 동시에 유지해야 한다”며 “메시지 검증, 상태 동기화, 검증자 인센티브 등 어느 한 요소만 실패해도 전체 유동성이 위험에 노출될 수 있다”고 지적했다.

이어 “이더리움에서는 높은 수수료와 느린 처리 속도 때문에 시도하기 어려운 공격도, 거래 비용이 낮고 속도가 빠른 레이어2 환경에서는 충분히 노려볼 만한 공격이 될 수 있다”며 “브리지 보안은 단순히 스마트컨트랙트 코드만 점검한다고 해결되는 문제가 아니다”라고 덧붙였다.

실제로 최근의 켈프DAO 해킹 사건은 레이어제로의 고도화된 보안 설계에도 브리지의 구조적 한계를 여실히 드러냈다. 온체인과 오프체인 요소가 복잡하게 얽힌 브리지 특성상, 단 한 곳의 취약점만 노출되어도 시스템 전체의 신뢰가 순식간에 무너질 수 있음을 다시 한번 증명한 셈이다.

디파이 성장 열쇠는 ‘기관 설득할 보안’

전문가들은 디파이가 전통 금융과 융화되기 위해서는 보안 표준 마련이 선행돼야 한다고 입을 모은다. 구체적으로는 코드 감사의 정례화를 비롯해 다중 서명(Multisig) 체계 강화, 실시간 온체인 모니터링 시스템 구축 등 해킹 위험을 실질적으로 낮출 수 있는 제도적 장치가 시급하다는 지적이다.

사이프린(Cyfrin)은 “일반적인 스마트컨트랙트 감사(audit)만으로는 이러한 문제를 해결할 수 없다”며 “브리지 보안에는 멀티체인 아키텍처, 합의 이론(consensus theory), 그리고 크로스체인 경제 공격 모델링에 대한 전문성이 요구된다”고 밝혔다.

윤승식 타이거리서치 선임 연구원은 “기관 투자자들은 자산 운용의 효율성과 새로운 수익 구조, 24시간 가동되는 시장의 이점 때문에 디파이에 큰 관심을 보이고 있지만, 해킹 사고가 반복된다면 진입할 명분이 사라지게 된다”고 밝혔다.

이어 “결국 탈중앙화의 가치를 유지하면서도 기관을 설득할 수 있는 보안 신뢰를 구축하느냐가 디파이 산업이 다음 단계로 도약하기 위한 결정적 분수령이 될 것”이라고 진단했다.