[코인] 디파이 거래소가 해킹으로 2억 9,500만 달러를 잃었다. 그런데 피해자에게 돌아온 건 “죄송합니다, 자금은 사라졌습니다”라는 통보가 아니었다. 손실 1달러당 토큰 1개. 그리고 결정적으로, 그 토큰은 시장에 내다 팔 수 있다. 해킹 피해 보상이 그 자체로 거래되는 하나의 시장이 된 것이다.
2억 9,500만 달러가 사라진 4월 1일
솔라나 기반 무기한 선물 거래소 드리프트(Drift)는 2026년 4월 1일, 약 2억 9,500만 달러를 해킹으로 잃었다. 솔라나 역사상 최대급 익스플로잇으로 기록됐다. 보안 분석업체 맨디언트는 공격 배후로 북한(DPRK) 연계 해커 조직을 지목했다.
주목할 점은 무너진 지점이다. 이번에도 스마트 컨트랙트 코드 자체의 결함이 아니라, 관리자 승인 체계의 허점이 뚫렸다. 코드가 부서진 게 아니라 운영의 빈틈이 열린, 익숙한 패턴이다.
빚을 ‘증권화’하다 — 리커버리 토큰의 작동법
드리프트가 꺼낸 카드는 ‘리커버리 토큰(recovery token)’이다. 구조는 단순하다.
- 토큰 1개 = 검증된 손실 1달러. 잃은 만큼 토큰을 받는다.
- 양도 가능. 피해자는 보상 풀이 다 채워질 때까지 몇 년을 기다리지 않고, 자신의 청구권을 지금 시장에 팔아 현금화할 수 있다.
- 풀이 차는 만큼 상환. ‘리커버리 풀’에 자금이 쌓이고, 풀이 총손실(약 2억 9,540만 달러)에 도달하면 토큰은 1달러 전액으로 상환된다. 풀이 약 500만 달러에 이르면 그 전에 할인된 값으로 조기 상환도 열린다.
즉 피해자는 ‘8년을 기다려 100%를 받을지’, ‘지금 시장가에 팔아 즉시 일부를 회수할지’를 선택할 수 있다. 손실 청구권이 사고파는 자산으로 바뀐 셈이다.
문제는 ‘돈이 충분하지 않다’는 것
설계는 매끄럽지만, 현실의 산수는 냉정하다.
리커버리 풀은 프로토콜에 남은 약 380만 달러에서 출발한다. 드리프트는 자체 매출과 테더(Tether)·파트너 지원을 더해 풀을 약 1억 5,100만 달러까지 키운다는 목표를 세웠다. 테더가 최대 약 1억 2,750만 달러, 파트너가 최대 약 2,000만 달러를 보태는 구조다.
그러나 이 목표치마저 총손실 2억 9,500만 달러의 절반을 겨우 넘는 수준이다. 외부 지원 없이 자체 매출(2025년 약 1,900만 달러)만으로 메운다면, 전액 보상까지 약 8년이 걸릴 수 있다. 보상안 발표 이후에도 드리프트 토큰이 약 0.04달러에서 미동도 없었던 건, 시장이 ‘완전한 회복’에 그만큼 회의적이라는 신호로 읽힌다.
다시 문을 여는 드리프트 — ‘보안 우선’으로
드리프트는 2026년 7월 이전 재출범을 예고했다. 방향은 분명하다. 더 가볍고, 더 안전하게.
이자(earn) 상품과 담보 자산 종류를 덜어내고 무기한 선물에 집중하는 ‘보안 우선’ 거래소로 돌아온다는 구상이다. 운영 측면에서는 멀티시그 통제, 시간 잠금(time-lock), 키 교체 같은 절차를 강화한다. 이번에 뚫린 곳이 코드가 아니라 운영이었던 만큼, 손질의 초점도 운영에 맞춰졌다.
보상마저 거래되는 시대
리커버리 토큰은 두 얼굴을 가진다. 한편으로는 피해자에게 ‘기다림’ 대신 ‘유동성’이라는 선택지를 준다. 몇 년을 묶이는 대신 지금 일부라도 회수할 길이 열린다. 다른 한편으로는, 1달러짜리 청구권이 시장에서 1달러보다 한참 싸게 거래된다면 그 가격은 곧 ‘이 보상은 다 못 받을 것’이라는 집단적 의심의 표시가 된다.
해킹이 일상이 된 디파이에서, 사고 자체보다 사고 이후를 어떻게 수습하느냐가 프로토콜의 명운을 가르는 시대다. 드리프트의 실험은 그 수습의 새로운 문법 — 피해 보상을 사고파는 시장 — 을 시험대에 올렸다. 이 토큰이 끝내 1달러에 가까워질지, 아니면 헐값에 머물지가 그 답이 될 것이다.
