Web3 공격 표면: 침투 테스트 개요

암호화폐 기관은 기존 공격 표면에 자금 처리 체인까지 더해집니다. 이 글은 애플리케이션, 승인 및 서명, 블록체인 상호작용, 인프라의 4요소 모델과 각 구성 요소의 책임, 대표 구현, 상속된 공격 표면을 제시합니다. 이어 운영, 서명 의도, 승인·출금 체인, 자금 로직, 온체인 거래 및 배포된 컨트랙트까지 5개 web3 공격 표면 영역으로 정리합니다.

기관용 블록체인 침투 테스트를 위한 교전 규칙 및 프로덕션 안전 수칙

서명, 출금, 원장 시스템을 다루는 침투 테스트는 실행 전에 준비됩니다. 이 글은 참여 생애주기를 다룹니다: 목표·범위·담당자·승인된 접근 권한 설정; 권한, 허용 기법, 운영 한계, 금지 행위, 커뮤니케이션, 증거 처리를 Rules of Engagement 문서에 기록; 측정 가능한 중단 기준, 모니터링, 변경 조율, 지정된 중단 권한으로 라이브 서비스 보호. 마지막으로 결과를 검증된 통제로 전환하는 개선 및 재테스트로 마무리됩니다.

뉴스레터 - 2026년 8월

2026년 8월, 세 건의 주요 DeFi 보안 사고로 막대한 손실이 발생했다. Cosmos EVM 모듈의 잔액 동기화 취약점이 6개 체인에서 악용되어 약 1,480만 달러 피해가 발생했다. Base의 Moonwell은 저유동성 MAMO 토큰을 겨냥한 오라클 가격 조작으로 약 910만 달러를 잃었다. 이더리움의 Term Finance는 투표 참여율이 거의 0에 가까워 거버넌스가 탈취되며 약 847만 달러의 피해를 입었다.

사고에서 규제까지: 암호화폐 기관에 블록체인 침투 테스트가 필요한 이유

거래소, 결제사, 커스터디, 지갑 제공업체는 스마트 컨트랙트 밖의 서명, 커스터디, 키, 인력, 공급망에서 가장 큰 손실을 입는다. 코드 감사와 트랜잭션 모니터링은 각각 공백을 남기고, 전통적 침투 테스트는 암호화폐의 서명·자금 의미론을 놓칠 수 있다. 이 글은 블록체인 침투 테스트 시리즈를 열며 리스크의 실제 출처와 NYDFS, DORA, VARA, SFC, MAS가 5개 관할권에서 적대적 테스트를 다루는 방식을 다룬다.

사건에서 규제까지: 암호화폐 기관에 블록체인 침투 테스트가 필요한 이유

거래소·결제사·커스터디·지갑업체의 최대 손실은 스마트컨트랙트 밖, 서명·커스터디·키·인력·공급망에서 발생합니다. 코드 감사와 트랜잭션 모니터링만으론 공백이 남고, 기존 침투테스트는 암호화폐의 서명·자금 특성을 놓칠 수 있습니다. 본 글은 블록체인 침투테스트 시리즈 첫 편으로, 리스크의 실제 원인과 NYDFS·DORA·VARA·SFC·MAS의 5개 관할권 적대적 테스트 규정을 다룹니다.

블록체인 침투 테스트란 무엇인가? 정의와 범위

블록체인 침투 테스트에 대한 통일된 정의는 없으며, 감사·스캐닝·버그 바운티와 혼용되곤 합니다. 본문은 실행 환경에서 검증된 익스플로잇 경로와 제어 체인을 다루는 작업적 정의와 오프체인-온체인 연결이라는 web3의 핵심 격차를 제시하고, 관련 목표를 코드 감사·지갑 보안 감사·web3 보안 테스트·스캐닝·버그 바운티로 분류합니다.

재미있는 커피 사기: TRON에서 278% 폰지 사기 추적하기

Fun Coffee는 연 278% 수익을 약속했지만 이후 잠적했습니다. 우리는 99개의 TRON 주소에 걸친 7,280만 USDT를 추적했습니다.

약 1,026만 달러 규모: Term Finance 및 MAYAChain 공격 | BlockSec

2026년 8월 17-23일, 이더리움·MAYAChain에서 보안 사고 2건으로 총 약 1026만달러 손실이 발생했다. Term Finance(약850만달러)는 거버넌스 설계 결함으로, 참여가 거의 없어 공격자가 0.5 ETH로 과반 투표권을 확보, 지연 후 볼트 6개에서 탈취했다. MAYAChain(약176만달러)은 조작된 입금으로 출금 실패처럼 보이게 해 복구 로직이 저유동성 풀 잔액을 부풀렸고, 유동성 추가·인출로 탈취했다.

하모니 크로스샤드 ONE 민팅 + 약 4,700만 달러 키 손실 | BlockSec

2026년 8월10-16일, 보안사건 5건, 손실 약4700만달러. 핵심은 Harmony L1의 크로스샤드 영수증 재생 결함: 목적지 샤드가 서명된 소스 헤더 대신 미인증 MerkleProof의 ShardID·BlockNum으로 소비마커를 산출, 이미 지급된 영수증 재생으로 약3.01조 ONE이 위조됐으나 시총 초과로 손실 제외. 실손실은 개인키 유출(고래~2500만, Kite~1400만, Coinsbuy~790만)과 Fox 로직결함(~11.7만).

HKDAP 스테이블코인 보안 검토: 출시됐지만 인가는 받았으나 아직 준비되지 않음

BlockSec가 홍콩 최초의 규제 스테이블코인 HKDAP를 검토한 결과, 작동하지 않는 KYC 취소 기능, 단일 키 발행 권한 문제, 그리고 HKMA 가이드라인과의 충돌이 발견됐다.

~$160만 손실: Moke 토큰, LpdFi 익스플로잇 | BlockSec 위클리

2026년 8월 3~9일, BNB 체인에서 2건의 보안 사고가 발생해 총 약 160만 달러의 손실이 발생했으며, 모두 가격 조작이 원인이었습니다. LpdFi(약 69.7만 달러)는 PancakeSwap 유동성 풀을 주문 평가와 이자 정산에 동시 사용해 공격자가 원금을 부풀리고 과도한 이자를 탈취했습니다. Moke Token(약 90.6만 달러)은 조작 가능한 현물 가격과 중복 LP 배당 회계를 결합해 MOKE를 부풀려 BNB 배당을 반복 수령했습니다.

COLDCARD 사건: 지갑의 "무작위" 시드가 무작위가 아니었을 때

COLDCARD 펌웨어의 빌드 통합 버그로 비트코인 시드 생성이 취약한 소프트웨어 RNG로 라우팅되어 지갑 시드가 오프라인 복구 가능해졌습니다. 시드 자체의 취약점이므로 펌웨어 업데이트로 해결 불가하며, 2026년 8월 7일 기준 확인된 피해는 1,405 BTC(~9,100만 달러), 비공개 추정치는 최대 2,055 BTC입니다.