|
금융위는 거래소 내부 시스템에 누가 접근할 수 있는지, 자산을 외부로 보낼 때 어떤 절차로 승인하는지 등을 점검했다. 인터넷과 분리해 자산을 보관하는 콜드월렛의 비중을 높이고, 사고에 대비한 준비금도 추가로 쌓도록 당부했다. 입출고 흐름을 상시 감시하고 대응인력을 확보하는 한편, 비정상적인 접근 시도가 발견되면 신속하게 보고·공유하도록 당부했다.
가상자산과 보안 업계에서는 이러한 점검이 실제 공격 경로를 차단하는 구체적인 조치로 이어져야 한다고 본다. 황석진 동국대 국제정보보호대학원 교수는 “콜드월렛 비중 확대 등은 해킹 예방책이 아니다”며 “이번 바이낸스 사고의 핵심은 내부 시스템과 출금 승인·서명 체계가 침해됐을 가능성이 상당히 높다는 것”이라고 강조했다. 그러면서 “단순히 보관 비중을 확대하기보다 관리자 권한과 접근 권한을 통제하고, 서명 체계를 분리한 뒤 이상 행위를 탐지해야 한다”고 말했다.
바이낸스의 초기 조사 결과도 거래 승인 과정에 주목할 필요성을 보여준다. 바이낸스는 지난달 30일 핫월렛에서 약 63억달러 상당의 가상자산이 유출됐다고 밝혔다. 초기 조사에서는 개발·운영 담당 엔지니어의 노트북이 해킹됐을 가능성이 제기됐으며, 지갑의 개인키가 유출됐다는 증거는 나오지 않았다.
개인키는 가상자산을 다른 지갑으로 보낼 때 전자서명을 만드는 데 쓰이는 비밀정보다. 개인키를 직접 훔치지 않더라도 공격자가 조작한 거래를 정상적인 거래로 받아들이게 해 서명을 얻어내면 자산을 빼낼 수 있다. 개인키를 안전하게 지키는 것과 승인할 거래의 내용을 제대로 확인하는 것은 서로 다른 문제인 셈이다.
이에 전문가들은 거래 생성부터 검증·서명까지 전 과정을 점검해야 한다고 지적한다. 김태일 코어시큐리티 대표는 “개인키를 탈취하지 않더라도 공격자가 원하는 거래를 만들어 서명만 받을 수 있으면 된다는 식의 공격이 최근 등장하고 있다”며 “거래가 만들어지고 검토가 이뤄지고, 서명이 되는 전 과정의 보안에 좀 더 집중해야 한다”고 말했다.
특히 이러한 검증 절차는 블록체인의 기능 변화에 맞춰 보완해야 한다. 예컨대 지난해 5월 이더리움 ‘펙트라’ 업그레이드에는 일반 계정에 스마트계약 기능을 부여하는 기능이 포함됐다. 이처럼 거래나 권한 부여 방식이 달라지면 거래소도 악용 가능성을 분석해 검증 절차에 반영해야 한다. 기능 자체의 결함 여부와는 별개로 보안 점검 방식도 바뀌어야 한다는 의미다.
해외에서는 해킹 사고에서 드러난 취약점을 구체적인 점검 기준으로 연결한 사례도 있다. 홍콩 증권선물위원회(SFC)는 지난해 발생한 바이비트 해킹 사고를 토대로 외부 지갑 서비스 침해, 거래 내용 확인 부족, 승인 기기에 대한 접근 관리 부실 등을 주요 문제로 제시하고, 고객 콜드월렛 운영 기준에서 거래 생성부터 블록체인 전송까지 여러 단계에 걸쳐 거래 데이터가 변조되지 않았는지 독립적으로 확인하도록 했다.
아울러 거래 승인 기기는 일반 업무용 컴퓨터와 분리하고, 절차·시스템·승인 인력을 크게 변경하기 전에는 공격 위험을 평가하도록 했다. 자산을 어디에 보관하는지뿐 아니라 거래를 어떤 절차로 확인하고 승인하는지까지 관리하는 방식이다.
예방 체계와 함께 사고 직후 피해 확산을 막을 준비도 필요하다. 테더(USDT)와 서클(USDC)처럼 동결 기능이 있는 스테이블코인은 발행사가 자금 이동을 막을 수 있다. 그러나 해커가 이를 동결 기능이 없는 다른 코인으로 바꾸면 같은 방식으로 대응하기 어렵다. 거래소와 수사기관, 자금 추적업체, 발행사가 신속하게 정보를 공유하고 동결을 요청할 연락망을 평소 갖춰야 하는 이유다.
김 대표는 “바이낸스가 해킹을 당한 것과는 별개로 대응 과정은 굉장히 신속했다”며 “동결 기능이 있는 스테이블코인 발행사 등과 협력하는 핫라인이 평소 갖춰져 있었기 때문에 그나마 피해 규모를 줄일 수 있었던 것”이라고 평가했다. 이어 “국내 거래소도 수사기관과 조사·분석업체, 코인 발행사 간에 핫라인이나 공조를 위한 체계가 구축돼야 한다”며 “업계가 자율적으로 구축하든 수사기관이나 당국이 주도하든, 공조 체계를 마련하기 위한 논의가 필요하다”고 말했다.
