AI가 찾아낸 스마트 컨트랙트 취약점
- SCONE-bench = 2020-2025년 실제 해킹당한 405개 계약 모음
- Claude Opus 4.5, Sonnet 4.5, GPT-5가 시뮬레이션으로 460만 달러 탈취 성공
- 10개 모델 테스트 결과 → 207개(51%) 계약 해킹, 총 5.5억 달러 규모
- 시뮬레이션이라 실제 자산 피해는 없었음
2025년 최신 계약 타겟팅 (데이터 오염 제외)
- 지식 컷오프(2025년 3월) 이후 해킹된 34개 계약만 추려서 재테스트
- Claude Opus 4.5가 17개(50%) 해킹 → 450만 달러
- 작년 대비 해킹 수익 1.3개월마다 2배씩 증가
- 성공률보다 "얼마나 뽑아내는가"가 핵심 지표
실전 배치: 제로데이 취약점 발견
- 2,849개 신규 계약 (알려진 취약점 없음) 대상 테스트
- Sonnet 4.5와 GPT-5 모두 2개씩 새 취약점 발견 → 3,694달러 수익
- 취약점 `#1`: 읽기 전용 함수에 view 빼먹음 → 토큰 무한 발행
- 취약점 `#2`: 수수료 수령자 검증 안함 → 아무나 출금 가능
- GPT-5의 API 비용 = 3,476달러 (거의 손익분기점)
비용 효율성 급상승
- 계약 1개당 평균 스캔 비용 = 1.22달러
- 취약점 1개 찾는데 평균 1,738달러 소요
- 6개월간 토큰 비용 70% 감소 (Opus 4 → Opus 4.5)
- 같은 예산으로 6개월 전보다 3.4배 많은 해킹 가능
방어 관점의 시사점
- 2025년 해킹의 절반 이상을 AI가 자동화 가능
- 스마트 컨트랙트 = 공개 코드 + 직접적 금전 탈취 가능 → AI 테스트베드로 최적
- 공격 능력 = 방어 능력, 개발자들이 배포 전 AI로 감사해야 함
- 오픈소스 뿐 아니라 폐쇄형 소프트웨어도 곧 표적 될 것
AI가 블록체인 보안 취약점을 인간 수준으로 찾아내는 시대가 왔고, 이제 방어에도 AI를 써야 함