wstETH 드레인에서 1,200만 달러에 코르크 프로토콜 악용 - DeFi 해킹 뉴스 2026

데페그 리스크 토큰화에 초점을 맞춘 이더리움 기반 플랫폼인 Cork Protocol은 래핑된 스테이킹된 ETH(wstETH)에서 약 1,200만 달러에 달하는 손실을 입었습니다. 공격자는 악의적인 계약을 사용하여 프로토콜 저장소에서 3,761.87 wstETH를 인출한 다음, 즉시 세탁하지 않고 수익금을 원시 ETH로 통합했습니다. 몇 시간 내에 계약이 일시 중지되었습니다. 이 익스플로잇은 일련의 최신 공격입니다. 디파이 2026년을 대표하는 보안 실패.

무슨 일이 일어났나요?

Cork 프로토콜은 공격자가 악의적인 계약 상호 작용을 통해 프로토콜에서 일반 가격으로 약 1,200만 달러 상당의 3,761.87 wstETH를 빼냈다고 밝혔습니다. 공격은 몇 시간 내에 억제되었으며 Cork는 추가 손실을 방지하기 위해 관련 스마트 계약을 일시 중지했습니다. 도난당한 wstETH는 포장이 풀려 기본 ETH로 변환된 후 공격자가 제어하는 ​​단일 주소로 통합되었습니다.

가장 최근의 온체인 확인 결과, 자금은 Tornado Cash, Railgun 또는 크로스체인 브리지를 통해 이동되지 않았습니다. 그 유지 패턴은 주목할 만합니다. 많은 DeFi 익스플로잇에서 공격자는 몇 시간 내에 자금 세탁을 위해 경쟁합니다. Cork의 공격자는 지금까지 수익금을 ETH에 보관해 왔으며 Cork 또는 법 집행 기관이 반환을 협상할 수 있는 경우 최소한 이론적 복구 창은 열려 있습니다.

Cork는 익스플로잇에 대한 전체 기술적 사후 분석을 공개하지 않았습니다. 프로토콜의 공개 통신에서는 악의적인 계약 패턴과 wstETH 출금이 확인되었지만 정확한 취약점은 공개되지 않았습니다. 이러한 격차는 해킹 후 처음 48시간 동안 일반적으로 발생하며 팀은 포렌식을 완료하고 공개 절충안을 평가합니다.

코르크 프로토콜이 실제로 하는 일

Cork는 틈새 시장이지만 흥미로운 문제인 자산 디페그의 위험을 토큰화하는 데 초점을 맞춘 상대적으로 젊은 DeFi 프리미티브입니다. 이 프로토콜을 통해 사용자는 stETH 또는 USDC와 같은 대상 자산이 예상 페그에서 정의된 임계값 이상으로 벗어날 경우 지불하는 상품인 "depeg 스왑"을 사고 팔 수 있습니다. 구조는 전통적인 금융의 신용디폴트스왑과 유사합니다.

이러한 스왑을 지원하기 위해 Cork는 기본 자산(이 경우 wstETH)을 담보 금고에 보관합니다. depeg 스왑은 depeg 이벤트가 트리거되는 경우 해당 볼트에서 지불됩니다. 볼트는 익스플로잇이 표적으로 삼은 표면입니다. 공격자는 악의적인 계약을 통해 상호 작용하여 해당 depeg 트리거 없이 담보를 추출할 수 있었습니다.

제품 자체는 개념적으로 건전합니다. 이 공격은 Depeg-swap 경제 모델의 실패가 아니라 구현 시 스마트 계약 실패입니다. 이러한 구별은 모든 재구축에 중요합니다. 팀이 취약점을 명확히 파악하고, 패치하고, 수정 사항을 감사하고, 예금자와 투명하게 소통할 수 있다면 기본 제품은 보안 사고에서 살아남을 수 있습니다.

2026년 해킹 환경에서 이것이 어디에 위치하는지

2026년은 DeFi 보안에 있어 잔인한 해였습니다. 올해 DeFi 프로토콜에서 도난당한 총 금액은 이미 20억 달러를 초과했습니다. 단일 사건 중 가장 큰 사건은 북한의 Lazarus Group에 의한 2억 9200만 달러 규모의 KelpDAO 브리지 익스플로잇으로, 중독된 RPC 조작을 통해 116,500 rsETH를 소모했습니다. Drift Protocol은 Lazarus와 연계된 Solana 공격으로 인해 2억 8천만 달러의 손실을 입었습니다. Sui의 Cetus Protocol은 AMM 오버플로 결함으로 인해 2억 2,300만 달러의 손실을 입었습니다. Verus의 Ethereum 브리지는 5월에 ETH에 해당하는 $5,400 이상에 악용되었습니다.

Cork의 1,200만 달러는 그에 비하면 적지만 패턴에 맞습니다. 대부분의 2026년 익스플로잇은 브릿지 검증 결함, 오라클 조작, 철저한 감사를 완료하기 전에 확장된 최신 프로토콜의 스마트 계약 로직 버그 등 세 가지 벡터 중 하나에서 비롯되었습니다. 코르크는 세 번째 범주에 속합니다. 프로토콜은 젊고, 제품은 참신하며, 공격 표면은 선의의 검토자라도 중요한 경로를 놓칠 수 있을 정도로 복잡합니다.

시장 영향

wstETH 및 더 넓은 이더리움 스테이킹 생태계에 대한 직접적인 영향은 최소화됩니다. Lido의 stETH 플로트는 300억 달러가 넘고, 래핑된 변형인 wstETH도 비슷한 규모로 유통됩니다. 1,200만 달러의 추출은 정상적인 유동성 흐름의 노이즈 대역 내에 있습니다. Lido 자체는 영향을 받지 않습니다. wstETH는 Lido의 계약이 아닌 Cork의 금고에 보관되었습니다.

광범위한 시장 반응이 음소거되었습니다. ETH 가격은 공개에 대해 의미 있는 반응을 보이지 않았으며 stETH는 계속해서 페그에 긴밀하게 거래되었습니다. 주요 DeFi 프로토콜에 비해 Cork의 작은 크기와 결합된 익스플로잇의 억제된 특성은 전염을 제한했습니다.

Cork의 예금자에게 미치는 영향은 더욱 직접적입니다. 이제 프로토콜의 TVL은 도난당한 금액만큼 낮아졌으며 모든 복구는 공격자와의 협상 또는 최종 법 집행 조치에 따라 달라집니다. 팀은 영향을 받은 사용자가 재무부로부터 보상을 받을지 또는 패치 및 감사 후 프로토콜이 운영을 재개할지 여부를 포함한 수정 계획을 아직 발표하지 않았습니다.

맥락: 복구 질문

Cork 익스플로잇의 특징 중 하나는 도난 후 공격자의 행동입니다. 자금은 혼합되지 않은 상태로 단일 주소의 ETH에 남아 있습니다. 이 패턴은 때때로 착취자가 현상금을 대가로 자금을 반환하려는 화이트햇 또는 그레이햇 활동과 일치합니다. 이는 또한 공격자가 규정 준수에 대한 관심이 사라지기를 바라면서 세탁 전 초기 조사 기간을 기다리는 것과도 일치합니다.

Cork는 공격자와의 온체인 통신이 시작되었는지 여부를 공개하지 않았습니다. 이전의 여러 사건에서 프로토콜은 도난당한 자금의 10~20%를 버그 포상금 및 기소 금지 계약으로 제공하여 성공적으로 수익 협상을 했습니다. 2026년 초 Cetus 프로토콜 사례는 관련 선례입니다. Cetus는 해커에게 2억 2,300만 달러의 도난에 대해 600만 달러의 현상금을 제안했고, 부분 복구 협상은 공개적으로 온체인에서 진행되었습니다.

Cork 공격자가 유사한 포상금 계약을 수락하면 프로토콜은 의미 있는 자본을 회수하고 작업을 재개할 수 있습니다. 그렇지 않은 경우 암호화폐 세탁 경로에 대한 법 집행 기관의 관심이 높아짐에 따라 2년 전보다 신중한 출구가 훨씬 더 어려워졌기 때문에 자금은 이동하기 전에 오랜 기간 동안 ETH에 남아 있을 가능성이 높습니다.

추적 방법

도난당한 wstETH와 그 ETH 파생상품은 여러 온체인 포렌식 계정에 게시된 공격자의 통합 주소를 통해 Etherscan에서 추적할 수 있습니다. 특히 믹서나 브리지로 자금이 이동하는 것은 회복 가능성이 낮다는 첫 번째 신호가 될 것입니다.

Cork 사용자의 경우 공식 프로토콜 채널이 보상 또는 재시작 타임라인의 유일한 소스입니다. DeFiLlama 및 DexTools를 포함한 일반 DeFi 모니터링 서비스는 실현되는 모든 TVL 또는 거래 회복을 반영합니다.

FAQ

Cork 프로토콜이 아직 작동하나요?

익스플로잇으로 인해 작업이 일시 중지되었습니다. 팀은 아직 재시작 일정을 발표하지 않았습니다. 향후 운영은 취약점 수정, 감사 완료, 영향을 받은 사용자에 대한 보상 계획에 따라 달라집니다.

Lido 사용자가 영향을 받나요?

아니요. 이 익스플로잇은 Lido의 계약 내부가 아닌 Cork의 금고 내부에 보관된 wstETH를 소모했습니다. stETH와 wstETH는 계속해서 정상적으로 거래되며 Lido 인프라는 영향을 받지 않습니다.

자금을 회수할 수 있나요?

아마도요. 도난당한 ETH는 아직 세탁 활동이 없는 단일 공격자가 제어하는 ​​주소에 남아 있습니다. 복구는 협상, 자발적 반환 또는 최종 법 집행 조치에 따라 달라집니다.

코르크 익스플로잇이 북한과 연관되어 있었나요?

공개 귀속이 이루어지지 않았습니다. 몇몇 주요 2026년 DeFi 익스플로잇은 Lazarus Group과 연결되어 있지만, 공개 보고 당시 Cork는 국가 후원 행위자와 연관되어 있지 않았습니다.

이는 더 큰 2026년 해킹과 어떻게 비교됩니까?

코르크 손실 1,200만 달러는 KelpDAO 2억 9,200만 달러, Drift 2억 8,000만 달러 또는 Cetus 2억 2,300만 달러 사고에 비해 적습니다. 이는 전체적으로 2026년 20억 달러 이상의 DeFi 손실의 대부분을 차지하는 중간 규모 DeFi 익스플로잇의 꾸준한 흐름에 적합합니다.