2억8500만 달러 해킹 뒤 ‘벨로시티’로 재출발…독일 투자자가 볼 변화

솔라나 기반 무기한 선물 거래소 드리프트(Drift)는 2026년 4월 약 2억8,500만 달러 규모의 해킹 이후 ‘벨로시티(Velocity)’라는 이름으로 재출발했다. 첨부 자료에 따르면 공동창업자 신디 리오(Cindy Leow)는 경영 일선에서 물러났고, 9월 말 새 운영진 체제로 전환했다. 이름과 팀이 바뀌었다고 이용자 위험까지 사라진 것은 아니다.

해킹 이후 무엇이 달라졌나

공개된 설명에 따르면 공격자는 위조 담보 토큰을 이용해 금고 자산을 빼냈다. 단순한 코드 취약점이 아니라 관리자 권한을 얻기 위한 장기간의 사회공학이 공격 경로에 포함됐다는 점이 중요하다. 감사에서 코드 문제가 발견되지 않더라도 권한 관리와 내부 운영 절차가 취약하면 자산이 위험해질 수 있다.

프로토콜은 약 5개월간 중단된 뒤 단계적으로 거래를 재개했다. 첨부 자료에는 코드 공개, 공개 베타 전환, 운영진 교체가 이어졌다고 적혀 있다. 새 운영자는 무기한 선물에 집중하고 일부 기능을 축소했다. 거래 결제 통화도 기존 USDC에서 USDT로 바뀌었다. 따라서 기존 잔액을 보유한 이용자는 전환 방식과 수수료, 출금·보상 처리 상태를 계정에서 직접 확인할 필요가 있다.

항목	이용자가 확인할 점
해킹 피해	본인 잔액·청구 처리 여부
재출시	스마트계약, 관리자 권한, 운영 주체
결제 통화	USDC에서 USDT로 변경된 영향
상품	축소된 기능과 레버리지 조건

구제 자금과 보안 감사의 한계

첨부 자료는 해킹으로 약 2억8,500만 달러가 유출됐고, 테더가 최대 1억2,750만 달러와 파트너 자금 2,000만 달러를 지원하기로 했다고 설명한다. 이는 최대 약 1억4,750만 달러로 피해액의 절반가량이다. 구제 자금이 있다는 사실만으로 모든 이용자 손실이 전액 보전됐다고 볼 수는 없다. 실제 배분액과 개별 청구 결과를 따로 확인해야 한다.

재출시 전 보안 감사와 운영 보안 검토가 진행됐다는 설명도 있다. 그러나 감사는 특정 시점의 코드나 절차를 살펴보는 작업이지, 향후 해킹이 불가능하다는 보증은 아니다. 이번 사건처럼 사람을 속여 권한을 얻는 공격은 코드 검사만으로 막기 어렵다.

독일 이용자는 규제·세금도 따로 확인해야

독일에서 접속할 수 있다는 사실이 독일 금융당국의 인가나 법적 보호를 뜻하지는 않는다. 이용 전에는 운영 주체와 독일·EU에서의 서비스 제공 자격, 이용약관, 분쟁 처리 절차를 공식 자료로 확인해야 한다. MiCA는 암호자산 서비스 규율의 한 축이지만, 레버리지 파생상품의 적용 법률과 보호 범위는 상품 구조에 따라 달라질 수 있다. ‘탈중앙화’라는 표현만으로 규제 여부를 단정하기도 어렵다.

세금도 현물 코인과 무기한 선물 계약을 똑같이 취급한다고 가정하면 안 된다. 파생상품의 손익 분류와 신고 방식은 계약 조건 및 개인 상황에 따라 달라질 수 있으므로 거래 내역을 보관하고 독일 세무 전문가에게 확인하는 편이 안전하다. 이 글은 법률·세무 자문이 아니다.

헬퓨경제의 의견

벨로시티의 재출시는 거래 재개이지, 신뢰 회복이 완료됐다는 뜻은 아니다. 특히 피해액보다 적은 구제 약정, USDT 결제로의 변경, 레버리지 상품의 청산 위험은 이용자가 직접 따져야 한다. 새 이름이나 보안 감사 횟수보다 실제 피해 배상 내역, 관리자 권한 통제, 출금 안정성, 규제상 지위를 확인하는 것이 우선이다.

독일 이용자라면 플랫폼에 자금을 넣기 전에 본인이 감당할 수 있는 손실 한도를 정하고, 장기간 거래소 금고에 자산을 두지 않는 편이 낫다. 무기한 선물은 담보가 부족해지면 포지션이 강제 청산될 수 있으며, 재출시 소식만으로 안전성이 보장되지는 않는다.

출처 및 유의사항

자료명: 첨부 영문 기사, 파이낸셜타임스의 드리프트 해킹 보도, 월스트리트저널의 사건 분석, MiCA 및 독일 금융 규제 안내 자료. 수치와 재출시 세부사항은 제공된 자료 기준이며, 독일 규제·세금 적용은 개별 사안에 따라 달라질 수 있다. 가상자산 파생상품은 원금 전액 손실 위험이 있다.