기술 요약: 블록체인 보안의 감사 격차 (The Audit Gap in Blockchain Security)

문제 제기

Web3 보안 영역은 감사 보고서와 익스플로잇(exploit) 사고가 서로 일관되지 않은 분류 체계를 통해 이질적인 채널로 추적되는 파편화된 증거 기반의 문제를 겪고 있다. 핵심적이고 정량화되지 않은 질문이 남아 있다: 감사인이 소스 코드에서 식별한 취약성 패턴이 실제 배포된 시스템에서 발생하는 실질적인 금융 손실 결과와 일치하는가? 기존 연구들은 주로 특정 취약성 클래스의 분류학적 조사나 정적 분석 도구의 효용성에 초점을 맞추어 왔으며, 종종 탐지된 취약성과 실제 익스플로잇 사이의 약한 결합을 발견하곤 했다. 본 논문은 공적 감사 결과의 결합 분포를 실제 발생한 익스플로잇 사건과 경험적으로 비교함으로써, 감사가 커버하는 리스크 표면이 공격자가 악용하는 리스크 표면과 일치하는지를 결정하여 "감사 격차(audit gap)"를 다룬다.

방법론

본 연구는 4년 3개월의 관찰 기간(2022년 1월 1일부터 2026년 3월 27일까지)에 걸쳐 집계된 경험적 분석을 수행한다. 본 연구는 감사 출력물과 익스플ロ잇 출력물을 서로의 직접적인 통계적 샘플이 아닌 별개의 모집단으로 취급하는 병렬적 분석 관습을 채택한다.

데이터 소스:

• 감사 결과(Audit Findings): 22개 독립 보안 기업으로부터 수집된 23,818개의 결과물 코퍼스. 데이터는 출판 편향을 피하기 위해 공적 GitHub 저장소(git log 커밋 날짜 사용) 및 구조화된 웹 네이티브 채널(API, 포털)에서 집계되었다.
• 익스플로잇 사건(Exploit Incidents): rekt.news에서 추출한 품질 필터링된 218개의 사건 데이터셋으로, 약 77.6억 달러의 총 손실액을 나타낸다. 러그풀(rug-pulls) 및 편집용 항목을 제외하도록 필터링하여, 손실 금액이 총 예치 자산(TVL)이나 시가총액이 아닌 실제 탈취된 금액을 반영하도록 했다.

분류 및 처리:

• 감사 분류 체계(Audit Taxonomy): 결과물들을 제목 수준 패턴 매칭, 확장 컨텍스트 재분류, 그리고 치명적/높음 심각도 결과물을 위한 타겟 LLM 재분류의 3단계 절차를 거쳐 약 20개의 카테고리로 구성된 평면적 분류 체계로 분류하였다. "기타(Other)" 카테고리는 전체 결과물의 7.9%를 차지했다.
• 사건 분류 체계(Incident Taxonomy): 일관성을 보장하기 위해 rekt.news의 자유 텍고 필드와 구별되는 커스텀 분류 체계에 루트 원인(root causes)을 매핑하였다.
• 휴먼 벡터(Human-Vector) 정의: 개인키 탈취, 피싱/사회 공학, 공급망 공격, 거버넌스 공격을 포함하는 특정 루트 원인 하위 집합을 "휴먼 벡터"로 분류하였으며, 이는 감사 대상 프로토콜의 정적 소스 코드 외부에서 발생하는 근접 원인으로 정의된다.

주요 기여

1. 데이터셋 구축: 본 논문은 현재까지 분석된 공적 감사 결과 중 가장 큰 규모의 교차 기업 코퍼스(23,818개 결과물)와 엄격하게 필터링된 사건 데이터셋(218개 사건, 77.6억 달러)을 제시한다.
2. 분포의 안정성 대 변동성: 감사 결과(심각도 및 카테고리별)의 분포는 시간의 흐름에 따라 놀라울 정도로 안정적인 반면, 실현된 손실의 분포는 변동성이 크고 집중되어 있음을 기록한다.
3. 범주적 불일치: 본 연구는 근본적인 괴리를 정량화한다: 실질적인 손실을 주도하는 카테고리들(운영 보안, 휴먼 벡터 공격)은 발표된 감사 결과에서 차지하는 비중이 미미하다.
4. 헤비 테일(Heavy-Tailed) 손실 특성 규명: 실현된 손실이 가우시안 가정을 따르지 않는 헤비 테일 분포를 따르며, 소수의 사건이 대부분의 누적 손실을 차지함을 규명한다.

결과

1. 감사 결과 분포

• 심각도: 치명적(Critical) 및 높음(High) 심각도 결과물의 비중은 전체 연도(20222025) 동안 1517% 범위 내에서 안정적으로 유지되었다.
• 카테고리: 상위 5개 카테고리(로직/비즈니스 로직, 코드 품질, 입력 유효성 검사, 접근 제어, 초기화/업그레이드 가능성)가 전체 결과물의 54.7%를 차지한다. 역사적으로 스마트 컨트랙트 취약점의 상징이었던 재진입성(Reentrancy)은 결과물의 2.1%만을 차지한다.
• 기술 스택: Solidity/EVM 체인이 연간 79~84%를 차지하며 지배적이다. 비-EVM 스택(Rust/Solana, TON, Move)은 성장세를 보이고 있으나 여전히 소수에 머물러 있다.

2. 실현된 익스플로잇 분포

• 루트 원인: 개인키 탈취(24.4%), 피싱/사회 공학(19.5%), 접근 제어 실패(12.8%)가 누적 손실의 56.7%를 차지한다.
• 휴먼 벡터의 지배력: 휴먼 벡터 공격은 2023년(65.6%), 2024년(74.6%), 2025년(70.8%)에 각각 연간 손실의 과반수를 차지했다.
• 집중도: 분포가 매우 집중되어 있다. 8개의 최대 규모 사건이 누적 손실의 50.6%를 차지하며, 20개의 최대 규모 사건이 71.4%를 차지한다. 단일 최대 사건(Bybit, 14.4억 달러) 하나가 전체 손실의 18.4%를 나타낸다.

3. 감사 격차 (Divergence)

• 불일치: 감사 결과의 빈도와 익스플로잇 손실 규모 사이에는 상관관계가 없다.
  • 감사 상위 4개: 로직 오류, 코드 품질, 입력 유효성 검사, 접근 제어.
  • 손실 상위 4개: 개인키 탈취, 피싱/사회 공학, 접근 제어, 오라클/가격 조작.
  • 교집합: 접근 제어(Access Control)만이 두 분포의 상위 4위에 모두 등장하는 유일한 카테고리이다.
• 범위 제한: 실질적인 손실을 주도하는 카테고리들(키 탈취, 피싱, 공급망 공격)은 일반적인 스마트 컨트랙트 감사에서 거의 보이지 않는다. 감사는 특정 커밋의 소스 코드는 검토하지만, 배포 환경, 서명자 워크플로우 또는 프런트엔드 인프라는 검토하지 않기 때문이다.
• 감사받은 프로토콜: 사건의 48%가 적어도 하나 이상의 공적 감사를 받은 프로토콜에 영향을 미쳤다. 그러나 "감사받았으나 익스플로잇된" 12개의 최대 규모 사건 중 9개는 감사 범위 밖의 루트 요인(예: 멀티시그 서명자의 피싱, 공급망 공격)에 의해 발생했다.

4. 집중도 및 프로토콜 유형

• 체인 집중도: 이더리움과 BNB 체인이 사건의 89%, 손실의 94%를 차지한다.
• 프로토콜 유형: 중앙화 거래소(CEX)와 브릿지(Bridges)는 사건 수에서는 약 21%를 차지함에도 불구하고 누적 손실의 약 60%를 차지한다. 렌딩 프로토콜은 사건 수로는 가장 많지만 손실액은 10% 미만이다.
• 통계적 함의: 사건당 평균 손실은 리스크 프로비저닝(risk provisioning)을 위한 신뢰할 수 없는 지표이다. 예를 들어, 피싱 사건의 평균 손실은 1억 2,600만 달러인 반면 중앙값은 650만 달러이다(약 19:1의 비율).

의의 및 주장

본 논문은 Web3 보안 생태계가 단순히 "덜 안전해진" 것이 아니라, 리스크의 성격이 변화했다고 주장한다. "코드 리뷰 문제"(소스 코드의 정적 분석)는 안정적으로 유지된 반면, "운영 보안 문제"(인적 요인, 키 관리, 인프라)는 실질적인 손실의 주요 동인으로서 크게 성장했다.

연구는 전통적인 감사 범위가 "보안"이라는 용어가 Web3에서 암시하는 리스크 표면보다 좁다는 결론을 내린다. 감사는 작성된 대로의 코드 내 버그를 해결하는 데는 효과적이지만, 더 넓은 리스크 표면(운영 보안, 배포 인프라, 휴먼 워크플로우)에 대해서는 광범리하게 불완전하다.

저자들은 Web3 보안 실무에 대한 포트폴리오 관점을 옹호한다:

1. 코드 리뷰: 소스 코드 내의 버그를 해결하기 위함.
2. 운영 보안 인게이지먼트: 실질적으로 더 큰 손실을 유발하는 카테고리(키 관리, 서명자 워크플로우, 공급망)를 다루기 위함.

본 논문은 감사가 효과적이지 않다는 결론을 명시적으로 거부한다. 오히려 감사는 좁은 의미에서 효과적이지만, Web3 위협의 전체 스펙트럼에 대한 유일한 방어책으로 의존하기에는 불충분하다고 주장한다. 보안 프로그램은 코드 리뷰와 운영 보안을 대체 가능한 것이 아닌, 상호 보완적인 학문으로 취급해야 한다.