ack3 연구팀, 감사받은 DeFi 프로토콜 손실 72.1%가 감사 범위 밖 공격으로 발생

ack3 연구팀은 2026년 상반기 동안 감사를 받은 DeFi 프로토콜이 감사 범위를 완전히 벗어난 공격으로 총 8억 8,500만 달러의 손실을 입었으며, 이는 데이터셋 내 감사받은 프로토콜이 입은 전체 손실의 72.1%에 해당한다고 밝혔다. 이 연구는 온체인 익스플로잇 데이터와 공개된 감사 보고서를 교차 분석했으며, 각 프로토콜이 인정된 업체로부터 최소 한 건의 완료된 감사를 받았을 것을 요건으로 했다. 조사 기간은 2026년 1월 1일부터 6월 30일까지의 사고를 다뤘으며, 운영상의 맥락을 위해 2026년 8월에 추가 사고가 포함됐다.

연구진은 각각 2억 달러를 초과하는 손실을 기록한 2026년 상반기 두 건의 이상치 사고를 제외했는데, 이를 포함하면 범위 밖 공격 비율이 80%를 넘어 전체 통계를 왜곡했을 것이라고 설명했다. 두 건 모두 범위 밖 공격이었기 때문에 이를 제외함으로써 감사 범위 공백에 대한 보다 보수적인 추정치를 제공한다.

가장 큰 공격 범주는 통합 레이어로, 프로토콜이 대출 시장, 유동성 풀, 크로스체인 브리지 같은 외부 DeFi 프리미티브에 연결됐을 때 취약점이 프로토콜 자체의 감사받은 계약이 아닌 통합 로직에 존재하는 경우였다. 두 번째 범주는 감사인이 검토하지 않은 제안 실행, 타임락 메커니즘, 투표 인프라를 겨냥한 거버넌스 공격을 다뤘다.

이 프리프린트는 감사인이 표준 범위를 통합 레이어, 거버넌스 인프라, 오라클 의존성까지 확대할 것과 프로토콜이 감사 범위를 정의하기 전에 위협 모델링을 수행할 것을 권고한다. ack3 팀은 책임 있는 공개 일정에 따라 특정 프로토콜과 감사 업체를 명명하는 후속 연구를 발표할 계획이다.