해커들이 Aztec의 폐기된 제품을 일주일 만에 두 번째로 공격하다
프라이버시 프로토콜 Aztec이 폐기된 결제 제품을 대상으로 약 216만 달러 규모의 익스플로잇을 당했다. 검증 취약점과 관련된 이번 공격은 비슷한 210만 달러 규모의 해킹이 발생한 지 4일 만에 일어나, 오래되었지만 여전히 사용되는 스마트 컨트랙트의 보안에 대한 우려를 불러일으켰다.
간략 분석: 실제로 무슨 일이 일어나고 있는가
언뜻 보기에 Aztec에 일어난 일은 또 다른 DeFi 프로토콜 해킹에 불과하다. 2026년에만 30건 이상의 해킹이 발생했으며, 총 도난 자금은 6억 달러를 초과한다. 그러나 여전히 자산을 보유하고 있는 폐기된 컨트랙트에 대한 이중 공격은 Aztec뿐만 아니라 탈중앙화의 전체 철학을 위협하는 시스템적 문제를 드러낸다. 이는 '레거시 리스크'에 관한 문제다. 즉, 초기 DeFi 프로토콜의 아키텍처에 내장된 시한폭탄으로, 최대한의 탈중앙화를 추구한 창시자들이 이를 통제 불가능하고 패치에 면역이 되도록 만들었지만 공격에는 취약하게 만든 것이다.
2026년 6월 14일부터 6월 17일 사이에 해커들은 각각 2022년과 2023년에 비활성화된 두 개의 서로 다른, 그러나 동등하게 무방비한 스마트 컨트랙트를 공격하여 Aztec으로부터 430만 달러 이상을 훔쳤다. 첫 번째 해킹은 Aztec Connect에 영향을 미쳤고, 두 번째는 Private Rollup Bridge에 영향을 미쳤다. Aztec 재단이 현재 네트워크와 AZTEC 토큰은 영향을 받지 않았다고 시장을 안심시키기 위해 서둘렀지만, 토큰 가격은 여전히 약 1.6% 하락하여 투자자 신뢰가 흔들렸고 그들이 프로젝트의 '구' 인프라와 '신' 인프라를 구분하지 못함을 보여주었다.
타임라인 및 맥락
첫 번째 사건은 2026년 6월 14일에 발생했으며, 공격자는 2023년 3월에 공식적으로 종료된 Aztec Connect 컨트랙트에서 취약점을 발견했다. 이는 영지식 증명 검증 프로세스의 불일치를 이용한 전형적인 공격이었다. 증명 검증 시스템은 32개 트랜잭션 배치로 트랜잭션을 처리한 반면, 온체인 정산 코드는 배치에 선언된 트랜잭션 수만 처리했다. 해커는 이 불일치를 이용하여 14개의 가짜 배치를 생성하고 약 909 ETH, 270,513 DAI 및 wstETH를 포함한 기타 자산(총 약 219만 달러)을 인출했다. 다음 날인 6월 15일, 동일한 기술을 사용하여 DeFi 브리지의 나머지 포지션에서 추가로 88,000달러를 인출했다.
그러나 가장 놀라운 것은 불과 3일 후인 6월 17일에 발생한 두 번째 사건이었다. 이번에는 2021년에 출시되어 2022년에 종료된 오래된 브리지인 Private Rollup Bridge가 표적이 되었다. 익스플로잇은 RollupProcessor 컨트랙트의 비상 인출 함수 escapeHatch()와 관련이 있었다. 이 함수는 메인 프로세스 실패 시 비상 인출을 위해 설계되었지만, 서명 검증을 포함한 중요한 권한 확인이 누락된 것으로 드러났다. 해커는 rollupSize 매개변수를 0으로 설정하여 취약점을 악용했고, 이로 인해 검증자가 가짜 증명을 수락하고 1,158 ETH, 150,000 DAI 및 0.46 renBTC(약 216만 달러 상당)를 인출했다.
따라서 공격은 기술과 대상 컨트랙트가 달랐지만, 한 가지 근본적인 문제를 공유했다. 두 컨트랙트 모두 불변이었고 Aztec 팀은 이를 중지하거나 업그레이드할 관리 키가 없었다는 점이다.
누가 이기고 누가 지는가
이 상황에는 명백한 패자와 암묵적인 패자가 있으며, 타인의 불행으로 이익을 볼 수 있는 자도 있다.
패자: 사용자 및 자산 보유자. 430만 달러의 직접적인 손실은 Aztec 팀이 2024년부터 경고했음에도 불구하고 어떤 이유로 폐기된 컨트랙트에서 자산을 인출하지 않은 실제 사용자의 자금이다. 이 사람들은 단지 돈을 잃은 것이 아니라 보안 보증인으로 설계된 시스템에서 돈을 잃었다.
패자: Aztec의 평판과 프라이빗 zk-롤업 부문. 기술적으로 이번 해킹이 현재 Aztec 네트워크에 영향을 미치지는 않았지만, 전체 프로젝트와 기술에 대한 신뢰에 심각한 타격이다. 투자자들은 "개발자가 오래된 컨트랙트를 보호할 수 없다면 새로운 컨트랙트는 어떻게 보호할 것인가?"라고 묻기 시작한다. AZTEC과 같은 위험 자산은 이러한 뉴스에 반응하여 변동성이 증가한다.
간접적 패자: 전체 DeFi 업계. 이러한 해킹은 우려스러운 추세 속에서 발생한다. DefiLlama에 따르면 2026년 6월 상반기에만 DeFi 프로토콜 손실이 4,300만 달러를 초과했다. Aztec, Thetanuts Finance 및 기타 프로젝트의 사건은 "DeFi는 무법지대"라는 내러티브를 만들어 규제 당국을 더욱 엄격한 조치로 몰아갈 수 있다. 이는 MiCA 마감일을 고려할 때 특히 시기적절하지 않다.
승자: 경쟁 프로젝트 및 보험 프로토콜. zkSync, StarkNet 또는 Polygon과 같이 더 관리 가능하고 업그레이드 가능한 솔루션을 제공하는 프로젝트는 이 상황을 자신들의 아키텍처에 대한 논거로 사용할 수 있다. 한편, DeFi 보험 프로토콜(예: Nexus Mutual)은 시장이 새로운 위험을 인식함에 따라 정책에 대한 수요 증가를 볼 수 있다.
승자: 전문 블록체인 보안 회사. 새로운 해킹이 발생할 때마다 PeckShield, SlowMist 및 BlockSec과 같은 회사에 대한 조사 및 감사 계약이 늘어난다. 이들은 전체 생태계의 생존에 중요해진다.
언론이 말하지 않는 것
피상적인 기사들은 해킹 사실과 피해 금액에 초점을 맞추지만, 더 깊은 의미를 가진 몇 가지 근본적인 측면을 놓친다.
인사이트 #1: 불변성이 탈중앙화의 '아킬레스건'이 되다. 사토시 나카모토가 비트코인을 만들 때 불변 코드라는 아이디어는 신뢰의 초석이었다. 그러나 복잡한 DeFi 프로토콜의 경우 불변성은 저주가 된다. 프로젝트는 탈중앙화를 입증하기 위해 소유권을 포기하지만, 결국 '디지털 폐허'—아무도 고칠 수 없는 컨트랙트—를 만들게 된다. 블록체인 분석가 Blockful은 적절하게 지적했다: "오래된 컨트랙트는 해커에게 열린 표적이 되며, 프로토콜이 유지보수에 대한 책임을 부인하면 더욱 매력적인 표적이 된다." Aztec은 사용자가 팀의 개입 없이 독립적으로 자금을 인출할 수 있도록 2024년 4월에 이 조치를 취했다. 이 결정은 이제 값비싼 실수로 보인다.
인사이트 #2: 기술적 결함만이 문제가 아니다. 두 번째 해킹은 '비상 탈출구' 메커니즘의 취약점으로 인해 가능했다. 이는 단순한 코드 버그가 아니라, 적극적인 통제를 통해서만 감지되고 수정될 수 있는 근본적인 아키텍처 결함이다. 사실상 Aztec 팀은 시스템에 '백도어'를 만들고 열쇠를 넘겨준 후 문이 잠겼는지 확인하지 않았다. 이는 증명 검증 실패일 뿐만 아니라 시스템의 경제적 보안 설계 실패였다.
인사이트 #3: 시장에 대한 신호: '오래된' 및 '검증된' 프로토콜을 얼마나 신뢰할 수 있는가? 시장은 스마트 컨트랙트가 오래 실행되고 더 많은 자금을 처리할수록 더 안전하다고 생각하는 데 익숙하다. Aztec 해킹 시리즈는 그 반대를 증명한다. 시간이 지남에 따라 폐기된 컨트랙트는 덜 취약해지는 것이 아니라 더 취약해진다. 새로운 공격 방법에 적응하지 못하고 소스 코드가 해커의 집중 연구 대상이 되기 때문이다. SlowMist 분석가는 이미 자산을 포함하는 오래된 컨트랙트가 영구적인 '시한폭탄'으로 변하고 있다고 경고했다.
예측: 향후 30일 및 90일
30일 예측(2026년 7월): '잊혀진' 자산 보유자들의 패닉. 2026년 7월에는 오래된 컨트랙트의 '정리'가 있을 것이다. 비활성화된 프로토콜(Aztec뿐만 아니라 다른 프로토콜)에서 아직 자금을 인출하지 않은 사용자들은 유사한 공격을 두려워하여 대규모 인출을 시작할 것이다. 이는 가격보다는 2차 자산의 유동성에 추가적인 압력을 가할 것이다. 또한 오래된 컨트랙트에 대한 '긴급 감사'를 제공하는 감사 회사의 활동 증가를 보게 될 것이다.
90일 예측(2026년 9월): 규제 대응 및 패러다임 전환. EU(MiCA)와 미국의 규제 강화 전체 맥락을 고려할 때, 이러한 사건은 입법자들의 '먹잇감'이 될 것이다. 프로토콜이 단순히 비활성화하는 것뿐만 아니라 오래된 컨트랙트를 '동결'하거나 파괴하거나, 그 안에 남아 있는 자금에 대한 보험 적용을 제공하도록 요구하는 요구 사항이 나타날 수 있다. 시장은 관리 가능한 업그레이드 가능한 스마트 컨트랙트를 제공하는 프로젝트의 시가총액 증가와 급진적으로 탈중앙화되었지만 통제 불가능한 프로토콜에 대한 관심 감소로 반응할 것이다.
편집 예측
향후 24~72시간 동안 해킹 뉴스 이후 이미 1.6% 하락한 AZTEC 토큰에 대한 하방 압력이 지속될 것으로 예상된다. 주요 지지선은 0.015달러이며, 이 수준이 깨지면 0.014달러까지 조정될 가능성이 있다. 신뢰 수준은 중간 수준이다. 예측의 주요 위험은 Aztec Labs 또는 재단이 피해 사용자에 대한 보상 프로그램을 발표하여 일시적으로 가격을 안정시킬 수 있기 때문이다. 그러나 근본적으로 프로젝트에 대한 신뢰는 훼손되었으며, 메인넷 개발에 대한 긍정적인 소식이 없으면 단기적으로 토큰 회복은 어려울 것이다. 이는 편집 의견이며 투자 권고가 아니다.
— Editorial Team
