글로벌 최대 Web3 보안 기업 CertiK이 ‘Skynet 2026 스테이블코인 위협 인텔리전스 보고서’를 발표하고, 2026년 스테이블코인 인프라가 직면한 핵심 보안 위협과 국가 차원의 제재 회피 네트워크 실태를 종합 분석했다.
보고서는 상호 연결된 금융 인프라를 겨냥한 기회주의적 공격의 지속적 증가와 국가 연계 세력에 의한 제재 회피 네트워크 구축을 주요 리스크로 지목했다. 또한 브리지, 커스터디 시스템, DeFi 조합성(Composability) 전반에서 나타나는 공격 트렌드에 대한 데이터 기반 분석과 함께, 디지털자산 생태계에서 국가 주도의 제재 회피 사례로 가장 파급력이 큰 러시아 루블 연동 스테이블코인 A7A5에 대한 심층 사례 연구도 포함했다.
브리지 공격과 지갑 탈취로 사상 최대 규모 피해 발생
2026년 스테이블코인 관련 공격은 두 가지 구조적 변화에 의해 특징지어졌다. 첫 번째는 크로스체인 브리지 및 상호운용성 프로토콜을 겨냥한 대규모 공격이 지속적으로 집중되고 있다는 점이다. 2026년 상반기 브리지 관련 사고로 발생한 손실은 총 3.28억달러를 넘어섰으며, 이 가운데 4월 발생한 Kelp DAO 지갑 탈취 사건은 단일 사건으로 2.913억달러의 피해를 기록했다.
두 번째 변화는 지갑 탈취가 금액 기준 가장 큰 공격 벡터로 부상했다는 점이다. 2026년 주요 DeFi 해킹 사건들을 분석한 결과, 지갑 탈취는 전체 피해액의 대부분을 차지하며 코드 취약점을 넘어 가장 주요한 자금 탈취 원인으로 나타났다. 이는 공격자들이 과거의 온체인 로직 자체의 취약점을 노리기보다, 키 관리, 접근 통제, 커스터디 인프라 등 운영상 취약점을 집중적으로 겨냥하고 있음을 보여준다.
보고서는 스테이블코인이 전통 금융 시스템과 점차 통합되면서 공격 표면 역시 DeFi를 넘어 더욱 광범위하게 확대되고 있다고 분석했다. 공격자들은 점차 컴플라이언스 인프라, KYC 제공업체, 결제 API, 제재 스크리닝 시스템 등을 표적으로 삼고 있으며, 공격 양상 역시 초기 크립토 네이티브(가상자산 특화) 공격 범죄보다 전통 금융 범죄와 유사한 형태로 진화하고 있다고 설명했다.
A7A5: 국가 주도형 제재 회피의 실증 사례
보고서의 두 번째 섹션은 제재 대상 러시아 재벌 일란 쇼르(Ilan Shor)와 러시아 국영 방산금융기관 PSB(Promsvyazbank)가 통제하는 키르기스스탄 소재 Old Vector LLC가 2025년 1월 출시한 러시아 루블 연동 스테이블코인 A7A5에 대한 가장 포괄적인 공개 분석을 담고 있다. A7A5는 테더(USDT)의 기술 구조를 모방하면서도 발행, 준비금, 컴플라이언스 권한을 서방의 제재 집행 범위 밖에 두도록 설계됐으며, 2025년 3월 Garantex 폐쇄 이후 러시아 암호화폐 경제의 핵심 결제 인프라로 빠르게 자리 잡았다.
출시 후 1년 만에 A7A5의 누적 온체인 거래 규모는 1100억달러를 넘어섰으며, 글로벌 비달러 스테이블코인 시장의 약 43%를 차지한 것으로 나타났다. 러시아 중앙은행은 2025년 10월 A7A5를 디지털 금융자산(DFA)으로 공식 인정했으며, 이는 서방 국가들이 이를 제재 대상 자산으로 규정한 것과 정면으로 대조되는 움직임이라고 보고서는 분석했다.
전례 없는 제재 공조… 그러나 드러난 구조적 한계
A7A5는 단일 암호화폐를 대상으로 시행된 제재 가운데 가장 광범위하고 다국적 차원의 공조 제재를 받은 사례로 기록되고 있다. EU는 제19차 대러시아 제재 패키지를 통해 2025년 11월 25일부터 A7A5를 거래 금지 대상으로 명시했으며, 이는 암호화폐가 직접 거래 금지 대상으로 지정된 첫 사례다. 이어진 제20차 제재 패키지는 주기적으로 명칭(브랜드)을 변경하는 개별 플랫폼을 추적하는 대신, 러시아에 설립된 모든 가상자산사업자(VASP)와의 거래를 전면 금지하는 조치를 도입하며 제재 범위를 더욱 확대했다.
그러나 온체인 데이터는 이러한 조치의 실질적 한계를 보여주고 있다. A7A5 보유자 수는 2025년 2월 약 1만3000명에서 2026년 5월 약 2만9000명까지 지속적으로 증가했으며, 주요 제재 시행 시점에도 눈에 띄는 감소세나 변화는 관찰되지 않았다. 이는 A7A5 이용자 기반이 구조적으로 비서구권에 집중돼 있어 서방의 제재 압력으로부터 상당 부분 영향을 받지 않고 있음을 시사한다.
아프리카 확산… 가장 시급한 미해결 리스크로 부상
보고서는 A7 네트워크의 아프리카 확장을 현재 국제 제재 체계가 해결하지 못한 가장 시급한 공백으로 지목했다. A7은 이미 나이지리아와 짐바브웨에 사무소를 설립했으며, 토고 역시 차기 진출 국가로 거론되고 있다. 또한 세르게이 라브로프 러시아 외무장관은 카이로에서 열린 러시아-아프리카 파트너십 포럼에서 아프리카 국가들의 A7 네트워크 참여를 공개적으로 제안한 바 있다. PSB의 부행장 도로페예프(Dorofeev)는 2026년 1월 마다가스카르를 방문해 남부 아프리카 금융 네트워크 구축 방안을 논의했으며, 이는 해당 지역에서 확대되고 있는 러시아의 군사·외교적 영향력과 맞물린 움직임으로 평가된다.
보고서는 이들 국가의 금융기관이 서방 금융기관과 환거래 관계를 유지하고 있는 경우, 현지 A7 연계 기관과의 거래를 통해 2차 제재에 노출될 위험이 존재한다고 경고했다. 또한 현재까지 미국 해외자산통제국(OFAC), 영국 재무부(HM Treasury), EU 등이 A7A5 관련 리스크에 대해 아프리카 국가들과 공식 협의를 진행하지 않은 상태이며, 이는 국제 공조 대응 체계에서 가장 실질적인 조치가 가능한 공백이라고 분석했다.
보고서 전문 보기:
https://indd.adobe.com/view/b917206b-123b-4f90-8126-aa5e6b863373
CertiK 소개
CertiK은 블록체인 보안 분야의 선구자로서, 현재 최첨단 정형 검증 기술, AI 감사 기술, 보안 전문가 수동 감사를 활용해 블록체인 프로토콜과 스마트 컨트랙트를 스캔 및 모니터링해 그 안전성을 보장한다. 예일대와 컬럼비아대 교수 두 명이 2018년에 설립한 CertiK은 학계 최첨단의 혁신 기술을 산업에 적용함으로써 기업이 중요한 소프트웨어 및 애플리케이션을 충분히 안전하고 올바른 환경에서 구축할 수 있도록 해 Web3 세계를 보호하고 있다. 블록체인 보안 분야에서 가장 빠르게 성장하고 가장 신뢰받는 기업 중 하나인 CertiK은 진정한 업계 리더로 거듭났다. 현재까지 CertiK은 4100개 이상의 기업과 협력해 7만 개 이상의 블록체인 코드 취약점을 탐지했으며, 3700억달러 이상의 자산을 보호했다. 우리의 고객으로는 Aptos, Ripple, Sandbox, Polygon, BNB Chain 및 TON과 같은 주요 프로젝트 등이 있다. 또한 CertiK은 Insight Partners, Sequoia, Tiger Global, Coatue Management, Lightspeed, Advent International, SoftBank, Hillhouse Capital, Goldman Sachs, Coinbase Ventures, Binance, Shunwei Capital, IDG Capital, Wing, Legend Star, Danhua Capital 등 VC들에게 투자를 받았다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}
