써클(CRCL) 주가 8% 급락! 드리프트 해킹과 USDC 동결 거부 논란 완전 정리

- 4월 10, 2026

🗓 최종 업데이트: 2026년 4월 10일 | Inverstor K

써클(CRCL) 주가 8% 급락! 드리프트 해킹과 USDC 동결 거부 논란 완전 정리

Q: GENIUS Act는 이 문제를 어떻게 해결하나요?

2025년 7월 서명된 GENIUS Act는 2027년 1월 시행 예정으로, 스테이블코인 발행자를 은행비밀법(BSA) 적용 금융기관으로 규정하고 불법 거래 차단·동결 기술 역량과 AML/KYC 프로그램을 의무화합니다.

⚠️ 투자 유의사항: 이 글은 정보 제공 목적의 분석 콘텐츠입니다. 특정 자산의 매수·매도를 권유하지 않으며, 투자 결정은 반드시 본인의 판단과 책임 아래 이루어져야 합니다. 가상화폐 및 관련 주식은 원금 손실 위험이 있습니다.

왜 이번엔 동결하지 않았을까? 단순한 의문이 글로벌 스테이블코인 시장을 뒤흔들고 있습니다.

2026년 4월 1일 새벽, 솔라나 기반 탈중앙화 파생상품 거래소 드리프트 프로토콜(Drift Protocol)에서 약 2억 8,500만 달러가 유출됐습니다. 공격자는 탈취 자산을 USDC로 전환한 뒤 써클의 크로스체인 전송 프로토콜(CCTP)을 통해 6시간에 걸쳐 솔라나→이더리움으로 이전했습니다. 그리고 써클은 아무것도 하지 않았습니다.

결과는 냉혹했습니다. 써클의 상장 주식 CRCL이 장중 고점 대비 8% 이상 하락했고, 커뮤니티는 "그때(3월 23일)는 하면서 왜 이번엔 안 하냐"며 들끓었습니다. 오해부터 짚겠습니다. 하락한 것은 USDC 스테이블코인이 아닌 NYSE 상장 주식 CRCL입니다. USDC는 달러 페깅 자산으로, 디페깅이 아닙니다.

드리프트 해킹, 실제로 어떻게 일어났나?

단순 해킹이 아닙니다. 수개월짜리 작전이었습니다.

블록체인 분석 기업 Elliptic은 이번 사건을 북한 정부 연계 해킹 조직 라자루스 그룹(Lazarus Group)의 소행으로 귀속했습니다. 공격자들은 2025년 가을부터 정식 퀀트 트레이딩 기업을 사칭하며 드리프트 기여자들에게 접근했습니다. 컨퍼런스에서 신뢰를 쌓고, 기여자 기기에 악성 소프트웨어를 침투시켰습니다.

핵심 기술은 durable nonce 메커니즘이었습니다. 나중에 실행할 수 있도록 미리 서명된 트랜잭션을 준비해두고, 멀티시그 승인을 사전에 획득해 드리프트의 Security Council 관리자 권한을 순식간에 탈취했습니다. 가짜 토큰을 정식 담보 자산으로 등록하고, 출금 한도를 극단적으로 올린 뒤 실제 자산을 빼돌렸습니다.

탈취된 자산은 JLP, SOL, USDC, cbBTC, wBTC 등 다양했으나, 공격자는 이를 빠르게 USDC로 전환했습니다. 이후 100건 이상의 CCTP 트랜잭션을 통해 총 2억 3,200만 달러 상당의 USDC가 솔라나에서 이더리움으로 건너갔습니다. 미국 영업시간 중에, 6시간 동안, 아무 제지 없이.

📌 핵심 팩트 (의미론적 트리플)

① 라자루스 그룹은 드리프트 프로토콜에서 2억 8,500만 달러를 탈취했다. (Elliptic, 2026)

② 써클은 6시간 동안 2억 3,200만 달러의 USDC가 CCTP를 통해 이전되는 동안 아무런 동결 조치를 취하지 않았다.

왜 써클은 USDC를 동결하지 않았나?

가장 많이 받는 질문입니다. 직접 해보니, 이게 생각보다 단순하지 않습니다.

써클의 공식 입장은 명확합니다. "당사는 제재, 법집행기관 명령, 법원 명령 등 법적으로 요구될 때에만 자산을 동결한다." 불과 9일 전인 3월 23일에 16개 사업용 지갑을 동결한 것도 뉴욕 법원의 봉인 명령(추정 사건번호 26-cv-2327)에 따른 의무 이행이었습니다.

이번 해킹 건은 달랐습니다. 실시간으로 법적 근거가 없었습니다. 법원 명령 없이 자의적으로 동결했다가는 써클이 역으로 사용자에게 거액의 손해배상 소송을 당할 수 있습니다. Plume의 법무 책임자 Salman Banei는 "법적 승인 없는 동결은 발행자를 법적 위험에 노출시킨다"고 못 박았습니다.

공격의 성격도 판단을 어렵게 했습니다. Bluechip의 CEO Ben Levit은 "이번 사건은 단순 해킹이 아닌 시장·오라클 조작 성격이 혼재된 사안으로, 써클의 조치가 단순 컴플라이언스 결정이 아닌 재량적 판단 영역"이라고 분석했습니다. 겉으로는 정상적인 CCTP 이전처럼 보였다는 점도 실시간 개입을 어렵게 만든 요소입니다.

"그때는 되고 이번엔 안 된다?" — 두 사건 비교

ZachXBT가 쏘아올린 비판의 핵심입니다. 예상과 달리, 두 사건은 구조 자체가 다릅니다.

구분	3월 23일 16개 지갑 동결	4월 1일 드리프트 해킹
법적 근거	✅ 뉴욕 법원 봉인 명령	❌ 없음 (실시간 법원 명령 불가)
사고 규모	민사 사건 관련 자산	$285M (역대급)
공격 성격	-	소셜 엔지니어링 + durable nonce 탈취
공격 주체	-	북한 라자루스 그룹 (Elliptic 귀속)
CCTP 경유	-	100건+ 트랜잭션, 6시간
써클 조치	동결 (의무 이행)	미개입 (법적 근거 부재)

하지만 비판도 완전히 틀리지는 않습니다. ZachXBT는 2022년 이후 15건의 사건에서 써클이 약 4억 2,000만 달러 상당의 의심 USDC 거래를 방치했다는 데이터를 공개했습니다. 같은 해 Cetus DEX 해킹($200M) 당시 6,100만 달러 USDC가 90분에 걸쳐 CCTP로 이전됐고, 블랙리스트 처리는 자금이 이미 교환된 이후였습니다.

솔직히 말하면, 써클이 완전히 결백하다고 보기도 어렵습니다. 테더(Tether)가 2024년 4월 보고서에서 플래그된 라자루스 그룹 연계 주소를 동결하는 데 써클보다 4.5개월 빨랐다는 ZachXBT의 지적은 날카롭습니다.

규제의 공백이 진짜 범인인가? GENIUS Act가 답이 될 수 있을까

이번 논란의 구조적 원인은 써클이 아니라 Safe Harbor의 부재입니다.

Salman Banei는 명확하게 진단합니다. "입법부는 디지털 자산 발행자가 불법 거래가 발생했다고 합리적으로 판단해 개입할 때 민사 책임으로부터 보호하는 safe harbor를 마련해야 한다." 지금 써클은 '개입하면 과잉'이고, '안 하면 방치'라는 이중 압박 속에 있습니다.

변화는 이미 입법화됐습니다. 2025년 7월 트럼프 대통령이 서명한 GENIUS Act는 2027년 1월 시행 예정입니다. 이 법은 스테이블코인 발행자를 은행비밀법(BSA) 적용 금융기관으로 규정하고, AML/KYC 프로그램 운영과 불법 거래 차단·동결 기술 역량을 의무화합니다. 쉽게 말해, 2027년부터는 써클이 이번처럼 손을 놓고 있을 수 없게 됩니다.

따라서 이번 CRCL 주가 하락은 써클의 펀더멘털 결함이라기보다, 과도기적 규제 공백이 만든 노이즈에 가깝습니다. 하지만 이 노이즈가 GENIUS Act 시행 전까지 반복될 가능성은 충분히 있습니다.

결론: 이번 급락, 매수 기회인가 경고 신호인가

시장은 '엄격한 개입'과 '완전한 불개입' 중 하나를 원합니다. 지금 써클은 그 중간 어딘가에 있고, 그 모호함이 곧 리스크입니다.

써클의 원칙은 일관됩니다. "법이 시키면 하고, 안 시키면 안 한다." 그러나 2억 8,500만 달러짜리 해킹 앞에서 그 원칙은 냉정하게 보일 수밖에 없습니다. CRCL 주가는 이미 52주 고점($298.99) 대비 70% 가까이 내려와 있습니다. GENIUS Act 시행(2027년 1월)까지 이러한 규제 공백 논란이 주가에 계속 노이즈로 작용할 가능성이 높습니다.

단기 변동성보다 중요한 것은 스테이블코인 인프라 제공자로서의 책임 범위가 어디까지인가에 대한 사회적 합의입니다. 그 합의가 GENIUS Act라는 형태로 2027년 구체화될 때, 써클의 포지셔닝이 진짜 평가받을 것입니다.

💡 Inverstor K의 시각

이번 하락에서 제가 주목하는 것은 공격자가 USDT가 아닌 USDC로 자금을 집중한 점입니다. 이는 역설적으로 "써클은 함부로 동결 안 한다"는 시장의 기대를 반영합니다. 즉 공격자조차 써클의 원칙을 신뢰한 셈입니다. 하지만 그 신뢰가 악용된다면, GENIUS Act 이후 써클이 얼마나 빠르게 실시간 모니터링 체계를 구축하느냐가 CRCL의 진짜 투자 포인트가 될 것입니다.

자주 묻는 질문 (FAQ)

Q. 왜 이번엔 써클이 USDC를 동결하지 않았나요?

써클은 법원 명령·법집행기관 지시가 있을 때에만 동결한다는 원칙을 갖고 있습니다. 4월 1일 해킹 당시 실시간으로 법적 근거가 없었고, 법적 명령 없이 자의적으로 동결할 경우 오히려 써클이 사용자 손해배상 소송에 노출될 수 있습니다.

Q. 드리프트 해킹을 누가 했나요?

블록체인 분석 기업 Elliptic은 이번 사건을 북한 정부 연계 해킹 조직 라자루스 그룹(Lazarus Group)의 소행으로 귀속했습니다. 공격자들은 수개월간 퀀트 트레이딩 기업을 사칭해 드리프트 기여자들과 신뢰 관계를 구축한 뒤 durable nonce 메커니즘으로 관리자 권한을 탈취했습니다.

Q. USDC가 8% 하락했다는 게 사실인가요?

아닙니다. USDC는 달러 페깅 스테이블코인으로 디페깅되지 않았습니다. 8% 이상 하락한 것은 써클(Circle Internet Group)의 NYSE 상장 주식 CRCL입니다. 두 가지를 혼동하지 않는 것이 중요합니다.

Q. GENIUS Act는 이 문제를 어떻게 해결하나요?

2025년 7월 서명된 GENIUS Act는 2027년 1월 시행 예정입니다. 이 법은 스테이블코인 발행자를 은행비밀법(BSA) 적용 금융기관으로 규정하고, 불법 거래 차단·동결 기술 역량과 AML/KYC 프로그램을 의무화합니다. 시행 이후엔 써클이 이번처럼 법적 명령을 기다리는 것만으로는 충분하지 않게 됩니다.

📚 참고 출처

Inverstor K

가상화폐 투자 분석 블로그 운영자

관심 분야: 가상화폐 투자 분석, 블록체인 생태계 리서치

경력: 해외무역, 5년 이상 가상화폐 시장 직접 투자 및 포트폴리오 운영

"이해한 것에만 투자한다. 잃어도 되는 금액만 넣는다."

이 블로그 검색

미국주식 가상화폐 투자 블로그

애드센스