총 상금 400만 달러 이상의 해커톤 12곳을 조사했다. 제출물을 보호하는 곳은 단 한 곳도 없었다.

12개 행사 감사 완료. 6가지 인프라 공백 확인. 표절, 지적 재산권 탈취, 불공정 심사 등 실제 사례 8건 기록 — 모두 공개 출처에서 확인 가능하며 독립적으로 검증됨.

작년 한 해커톤에서 어떤 팀이 1차 라운드에서 아이디어를 발표했다. 2주 후, 같은 심사위원단에 접근 가능한 다른 팀이 의심스러울 정도로 유사한 컨셉을 제출했다. 감사 추적 기록은 없었다. 접근 로그도 없었다. 누가 무엇을 언제 보았는지 증명할 방법이 전혀 없었다.

원래 아이디어를 만든 팀은 아무런 구제 수단이 없었다. 복제했을 가능성이 있는 팀은 어떤 조사도 받지 않았다. 그리고 주최 측은 원한다 하더라도 조사할 도구 자체가 없었다.

우리는 이것이 예외적인 사례라고 생각했다. 그런데 4개 대륙의 해커톤 12곳을 조사한 결과 — 이것이 기본값이었다.

상금 너머의 문제

해커톤은 단순한 대회가 아니다 — Web3로 진입하는 가장 주요한 관문이다. 이 파이프라인은 잘 알려져 있다: 개발자가 해커톤에 참가하고, 첫 프로젝트를 만들고, 프로토콜 팀의 주목을 받고, 그랜트를 받고, 실제 인프라가 되는 것을 출시한다. Uniswap, Filecoin, ENS를 비롯한 수십 개의 주요 프로토콜이 해커톤 제출물에서 시작되었다.

제출물 보안이 실패하면 한 팀만 피해를 입는 것이 아니다 — 전체 파이프라인이 오염된다. 첫 해커톤에서 표절을 당한 개발자는 돌아오지 않는다. 복제된 프로젝트가 상을 받는 것을 본 빌더는 더 이상 만들지 않는다. 생태계는 차세대 기여자를 잃는다 — 경쟁자에게가 아니라 환멸에 의해서.

이것은 상금을 보호하는 문제가 아니다. 차세대 Web3 빌더를 배출하는 메커니즘 자체를 보호하는 문제다. 해커톤이 신뢰를 잃으면 전체 생태계의 인재 파이프라인이 무너진다.

문제의 규모

2025년에만 ETHGlobal — 최대 규모의 이더리움 해커톤 주최자 — 이 5개 대륙에서 행사를 운영하며 10,000명 이상의 개발자에게 총 200만 달러 이상의 상금을 수여했다. 단일 행사 상금 규모는 이제 100만 달러를 넘는다(ETHDenver, Avalanche Build Games, Hedera).

기업 해커톤은 그 규모가 더욱 크다 — TCS는 58개국 281,000명이 참가한 AI 해커톤을 운영했으며, 제출물은 상업적 통합을 위해 평가되었다.

그럼에도 모든 주요 해커톤 플랫폼은 동일한 것에만 집중한다: 등록, 팀 구성, 심사 양식. 접근 로그 없음. 공유 자료에 대한 관리 연속성 없음. 공식 실격 절차에 대한 공개된 타임라인 없음. 감사 추적 없음.

1부: 인프라 공백 — 6대 해커톤 감사 결과

우리는 먼저 6개 주요 해커톤 프로그램의 제출물 보안을 감사했다 — 최대 규모 이더리움 행사부터 기업 대회까지. 분명히 말하지만, 이것은 비난이 아니다. 이것은 공개적으로 문서화된 프로세스에 대한 관찰이다. 아래 나열된 모든 주최자는 합법적이고 선의에 기반한 행사를 운영한다. 문제는 무능이 아니라 — 아직 존재하지 않는 인프라의 부재다.

공백의 요약

2부: 이미 일어나고 있다 — 6건의 기록된 사례 (2025–2026)

위의 공백은 이론적인 문제가 아니다. 우리는 제출물 보안의 부재가 실질적 피해로 이어진 6개 해커톤 사례를 조사했다 — 표절, 지적 재산권 탈취, 부당 실격, 편향 심사, 검열. 모든 사례는 2025–2026년에 발생했으며 공개 출처로 문서화되어 있다.

3부: 패턴의 반복 — 추가 사례 2건 (2025)

위 사례들은 엘리트 행사에만 국한되지 않는다. 동일한 구조적 결함이 모든 수준에서 반복된다 — 대학 해커톤에서 크로스 플랫폼 파밍까지.

패턴

이것들은 개별 사건이 아니다. 대학 행사부터 100만 달러 이상 대회까지, 동일한 구조적 공백에서 비롯된 8가지 증상이다:

주석: ETHGlobal은 위 감사 섹션에 포함되어 있으나(플랫폼 인프라 감사), 사례 4는 Ethereum Argentina(Devconnect Buenos Aires)가 현지 주최자로서 운영한 이벤트에 관한 것이므로 이 패턴 표에는 포함되지 않는다.

모두가 문제를 외면하는 것은 아니다

우리 조사에서 두 조직은 무결성 실패에 구체적인 조치로 대응했다. SuperteamIN(사례 2)은 표절 보고를 접수하고 조사를 개시했다. CRED(사례 3)는 공개적 반발 후 24시간 내에 약탈적 IP 조항을 철회했다. 이러한 대응은 조직이 무결성을 진지하게 받아들일 때 시스템이 자정될 수 있음을 보여준다 — 다만 문제가 공개되었을 때만. 질문은 이것이다: 예방적 인프라가 존재하는데 왜 공개적 사건을 기다리는가?

법적 관점

IP 법률 전문가들은 이미 해커톤 제출물 보안을 증가하는 우려 사항으로 지적하고 있다. CRED Rabbit Hole 사례에서 IP 변호사는 해커톤 약관이 사실상 참가자가 주최자를 위해 무료로 작업하는 것과 같다고 공개적으로 경고했다 — 대부분의 참가자가 전혀 고려하지 않는 리스크다. 2025년 3월 마르세유 법원 판결은 블록체인 타임스탬프를 유효한 저작권 증거로 인정했으며, 법적 프레임워크를 확립했다: IP 보호 도구는 존재하며 법원도 이를 인정한다. 공백은 기술이 아니라 채택의 문제다.

왜 악화되고 있는가