솔라나 디파이 드리프트 프로토콜 2억 8600만 달러 해킹 사태

블록체인 분석업체 엘립틱과 TRM랩스에 따르면 북한 국가 연계 해킹조직 UNC4736이 2025년 가을부터 드리프트 프로토콜을 겨냥한 정교한 사회공학 작전을 시작했다. 공격자들은 신뢰를 얻기 위한 위장 접근을 통해 프로토콜 서명자들을 장기간 공략했다. 이 작전은 이후 6개월 넘게 은밀하게 진행되며 가짜 담보 조작과 서명 권한 탈취를 위한 사전 준비 단계로 활용됐다. 토네이도 캐시 자금 출처와 평양 시간대에 맞춘 활동 패턴 등이 이후 북한 배후설의 근거가 됐다. 이 시점에는 드리프트 측도 침투 사실을 인지하지 못했다.

공격자들은 솔라나 네트워크의 특정 기능을 활용해 사전 서명을 받은 트랜잭션을 즉시 실행하지 않고 일주일 이상 보류 상태로 유지했다. 이는 공격 시점을 최적화하고 탐지를 피하기 위한 치밀한 사전 계획의 일부였다. 해커스뉴스 등 보안 매체는 이를 6개월에 걸친 북한 사회공학 작전의 최종 단계로 분석했다. 공격 대상은 JLP 델타 뉴트럴, SOL 슈퍼 스테이킹, BTC 슈퍼 스테이킹 등 3개 주요 금고였다. 이 준비 과정이 드러난 것은 사건 발생 이후 추적 조사를 통해서였다.

2026년 4월 1일 솔라나 네트워크 최대 무기한선물 거래소인 드리프트 프로토콜에서 공격자들이 가짜 토큰과 사회공학으로 확보한 서명 권한을 이용해 단 10초 만에 약 2억 8600만 달러 상당의 디지털 자산을 탈취했다. 이는 2026년 발생한 디파이 해킹 중 최대 규모였으며, 2022년 3억 2600만 달러 규모의 워프홀 브릿지 해킹에 이어 솔라나 생태계 두 번째로 큰 보안 사고로 기록됐다. 피해는 JLP 델타 뉴트럴, SOL 슈퍼 스테이킹, BTC 슈퍼 스테이킹 등 3개 핵심 금고에 집중됐다. 드리프트 팀은 사건 직후 서비스를 긴급 중단하고 피해 규모 파악에 나섰다.

사건 발생 며칠 후 블록체인 분석업체 엘립틱은 토네이도 캐시를 통한 자금 세탁 경로, 평양 시간대에 맞춘 작업 패턴, 정교한 사회공학 기법 활용 등을 근거로 이번 해킹이 북한 국가 연계 해킹조직 UNC4736의 소행일 가능성이 높다고 발표했다. 이는 중간 신뢰도(medium confidence)의 귀속 판단으로 제시됐다. 만약 확인된다면 이는 2026년 들어 추적된 18번째 북한 연계 가상자산 탈취 사건이 되는 것이었다. 미국과 한국 등 각국 수사기관도 자금 추적에 착수했다. 이 발표로 디파이 업계 전반에 북한 해킹 위협에 대한 경계감이 다시 고조됐다.

크립토폴리탄 등 업계 매체들은 드리프트 해킹이 인공지능을 활용한 사회공학 공격의 비용을 크게 낮추고 있다는 우려를 제기했다. 가짜 신원과 대화 스크립트를 AI로 손쉽게 생성할 수 있게 되면서 북한 등 국가 배후 해킹조직의 침투 시도가 더 정교하고 빈번해질 수 있다는 분석이었다. 이는 단순 기술적 취약점을 넘어 인간 신뢰 관계를 노리는 공격이 디파이 업계의 새로운 핵심 위협으로 부상했음을 보여줬다. 보안 전문가들은 서명 권한 관리와 다중 검증 절차 강화를 업계에 촉구했다. 이 사건은 이후 비트고, 폴리곤 등 대형 업체들이 금리·리스크 제한 정책을 추진하는 계기로 이어졌다.