올해 가상자산 해킹 집계 87억7600만달러 — 동결·보충·회수는 서로 다른 숫자다

디파이라마는 11월 4일 기준 집계에서 올해 가상자산 해킹 피해를 328건, 87억7600만달러로 분류했고, 10월 바이낸스 보안사고를 63억6000만달러 규모의 최대 단일 사건으로 봤다. 바이낸스는 10월 30일 오전 5시5분 핫월렛 침해로 약 63억달러 상당 자산이 영향을 받았다고 밝혔다. 같은 공지에서 약 30억달러가 온체인에서 동결됐고 사용자 손실은 회사 재원과 SAFU로 부담한다고 했으며, 11월 4일에는 보충 비율이 약 98%라고 알렸다. 남은 2%는 유동성이 낮아 매입에 시간이 더 걸릴 수 있다는 설명이다.

여기서 세 단어를 구분해야 한다. 동결은 도난 자산의 이동을 막는 조치로, 자산이 피해자에게 돌아갔다는 뜻이 아니다. 보충은 사업자가 자기 자금으로 영향받은 자산을 메운 비율이고, 회수는 해커에게서 도난 자산을 되찾아 반환한 것이다. 바이낸스의 98%는 보충 쪽 숫자다. 체이널리시스가 11월 2일 밝힌 브라질 거래소 Mercado Bitcoin 약 4900만달러 도난 건에서도 법 집행기관·발행사와 협력해 일부 자산을 '동결'했다고 했을 뿐이다.

기관별 숫자도 그대로 더할 수 없다. TRM랩스는 2026년 상반기 207건 9억7200만달러, 서틱은 같은 기간 웹3 보안 사고 344건 13억1567만6432달러, 해큰은 3분기 107건 11억8000만달러를 제시했다. 조사 기간과 포함 사고, 분류 기준이 다르기 때문이다. 크립토브리핑이 제시한 '회수율 1% 미만'도 집계 대상·기간과 회수의 정의가 함께 제시되지 않아 업계 전체 수치로 쓰기 어렵고, Blockaid의 2026년 주요 온체인 공격 60건 분석 보고서 역시 총 피해액이나 회수율 산식 없이 공개돼 연간 통계와 같은 기준으로 놓을 수 없다.

이용자가 볼 지점은 셋이다. 첫째, 거래소 사고 공지에서 '동결'과 '보충'과 '회수'를 각각 어느 뜻으로 썼는지 읽는다. 둘째, 손실 보전의 주체와 재원(회사 자금·자체 기금)이 공지에 적혀 있는지 확인한다. 셋째, 수치를 볼 때 집계 기관·기준일·대상 사건군이 무엇인지 함께 본다. 국내 거래소는 가상자산이용자보호법에 따라 이용자 예치금·자산 보관과 사고 대응 의무를 적용받고, 해외 거래소 자체 기금이나 공지는 국내 제도상 보호 장치와 같은 것이 아니다.