[더밸류뉴스=추승수 기자]

세계 최대 가상자산 거래소 바이낸스에서 63억4000만달러(약 8조원대) 규모의 자산이 유출되면서 거래소 보안 체계의 허점이 드러났다. 해커가 지갑의 개인키를 직접 훔친 것이 아니라 내부 거래 승인 시스템을 악용한 것으로 조사됐기 때문이다. 블록체인 인프라 기업 DSRV는 최근 발간한 '바이낸스 핫월렛 해킹 사고 리포트'에서 가짜 채용 면접과 내부 인공지능(AI) 도구를 이용한 침투 과정을 분석했다. 이번 사고는 국내 거래소의 출금 승인 체계와 해킹 피해 배상 제도에도 과제를 던지고 있다.

바이낸스 CI. [이미지=바이낸스]

◆ 바이낸스서 63억4000만달러 유출…역대 최대 해킹

이번 사고는 지난해 바이비트 해킹 피해액을 4배 이상 웃도는 역대 최대 규모의 가상자산 탈취 사건으로 집계됐다.

DSRV CI. [아미지=DSRV]

DSRV 보고서에 따르면 지난달 29일 오후 8시 5분(세계협정시·UTC) 바이낸스의 핫월렛에서 무단 이체가 시작됐다. 핫월렛은 이용자의 입출금을 처리하기 위해 인터넷에 연결해 두는 지갑이다. 바이낸스가 이달 3일 발표한 초기 조사 보고서에서 밝힌 유출 규모는 63억4000만달러다. 지난해 2월 바이비트에서 발생한 약 15억달러 규모의 피해와 비교하면 4배 이상 많다.

공격은 여러 블록체인에서 진행됐다. 분석업체 TRM랩스는 해커가 10개 블록체인의 핫월렛을 공격했다고 집계했다. 바이낸스에 따르면 비트코인 1만8270개, 리플(XRP) 2억3346만개, 솔라나(SOL) 약 97만500개 등이 빠져나갔다. 이더리움에서는 특정 핫월렛을 통해 약 25억달러 규모의 자산이 4분 만에 유출된 것으로 파악됐다.

바이낸스는 사고 직후 출금을 중단하고 이용자 손실을 전액 부담하겠다고 밝혔다. 테더와 서클 등 스테이블코인 발행사도 해커의 지갑 주소를 동결해 자산 이동 차단에 나섰다. 바이낸스가 이달 3일 발표한 동결·차단 규모는 약 28억5000만달러다. 그러나 동결된 자산이 모두 회수된 것은 아니며 해커가 보유한 자산 상당액은 여전히 추적 대상이다.

바이낸스는 자체 자금과 이용자 보호기금 등을 활용해 피해 자산을 보충했다. 이달 3일 기준 보충 비율은 98%였고, 4일에는 전체 손실을 부담할 자금을 확보했다고 발표했다. 출금도 1일부터 단계적으로 재개됐다. 다만 거래소가 자체적으로 메운 금액은 실제 탈취 자산을 되찾은 금액과 구분해야 한다.

◆ 가짜 채용 면접에 사내 AI까지 악용…수개월 걸쳐 지갑 서명 시스템 침투

해커는 수개월에 걸쳐 직원을 속이고 업무용 기기를 장악한 뒤, 가상자산 이체를 승인하는 내부 서명 시스템까지 접근했다.

가짜 채용 면접과 악성코드를 통해 직원의 업무용 컴퓨터에 침투한 해커가 내부 AI 도구와 지갑 서명 시스템까지 접근했다. [이미지=더밸류뉴스 | AI 생성] 

DSRV 보고서에 따르면 지난 6월 지갑 인프라팀 엔지니어가 AI 코딩 도구를 찾다가 변조된 소프트웨어를 설치했다. 보안팀은 이상 징후를 발견해 기기를 교체하고 인증정보를 변경했으나, 공격자에게 해당 직원의 업무와 동료 정보가 노출된 것으로 조사됐다. 초기 대응에도 침투 시도가 이어진 셈이다.

지난 9월에는 다른 엔지니어가 가짜 구인 제안을 받았다. 공격자는 가상 회사의 관계자를 사칭해 화상·채팅 면접을 진행하고 채용 과제라며 코드 저장소를 내려받도록 유도했다. 이 과정에서 악성코드가 실행돼 컴퓨터가 감염됐지만, 당시 단말 보안 도구는 이를 탐지하지 못했다.

지난달 20일 공격자는 감염된 단말과 바이낸스 내부 AI 도구를 이용해 지갑 담당 직원들의 기기를 추가로 장악했다. 이어 확보한 배포 권한으로 29일 내부 지갑 서명 서비스에 무단 접근해 정상 출금 절차 밖에서 거래를 실행했다. 바이낸스는 지갑 개인키가 유출됐다는 증거는 발견하지 못했다고 설명했다.

이더리움에서는 계정에 실행 권한을 위임하는 'EIP-7702' 기능도 악용됐다. 다만 DSRV는 해당 기능 자체의 결함이 아니라 장악된 서명 서비스가 핵심 문제라고 분석했다. 개인키를 여러 곳에 나눠 관리하더라도 거래를 승인하는 시스템이 공격자 요청을 받아들이면 자산 유출을 막기 어렵다는 의미다. 미국 연방수사국(FBI)은 북한 연계 해킹조직 '트레이더트레이터'를 배후로 지목했으며, 북한은 관여를 부인했다.

◆ 국내 거래소 피해 보상 제도 주목…무과실 배상 책임 도입 검토

국내에서도 콜드월렛 보관 비중을 높이는 것과 별개로 실제 출금 승인 과정의 안전성을 확보해야 한다는 과제가 부각됐다.

지난해 11월 27일 업비트에서도 솔라나 기반 핫월렛에서 약 445억 규모의 자산이 외부로 유출됐다. 업비트는 남은 자산을 콜드월렛으로 옮기고 피해액을 자체 자산으로 보전하겠다고 밝혔다. 콜드월렛은 인터넷 연결을 차단해 자산을 보관하는 지갑으로, 국내 거래소는 이용자 가상자산 가치의 80% 이상을 이 방식으로 보관해야 한다.

국내 주요 가상자산거래소 콜드월렛 보관 비율. [이미지=더밸류뉴스 | AI 생성] 

올해 9월 말 기준 주요 거래소의 콜드월렛 보관 비율은 업비트 99.17%, 빗썸 94.76%, 코인원 85.00%, 디지털엑스 82.79%, 고팍스 80.54%로 집계됐다. 모두 법정 기준을 충족하지만, 보관 비중만으로 온라인 지갑의 서명 권한까지 안전하다고 판단할 수는 없다. DSRV는 보관 장소뿐 아니라 거래를 누가 어떤 절차로 승인하는지가 중요하다고 짚었다.

금융위원회는 이달 2일 금융감독원과 금융보안원, 주요 거래소 등이 참여한 긴급 점검회의를 열었다. 금융당국은 콜드월렛 비중 확대와 입출금 상시 감시, 비정상 접근 시 신속한 정보 공유, 준비금 추가 적립 등을 당부했다.

피해가 발생했을 때 거래소의 배상 책임을 어디까지 인정할지도 쟁점이다. 현행 규정상 거래소는 콜드월렛 보관분을 제외한 이용자 자산 가치의 5% 이상을 보험·공제·준비금 등으로 확보해야 한다. 최소 금액은 원화마켓 30억, 코인마켓 5억이다. 하지만 전자금융거래법상 무과실 배상 책임이 가상자산 거래소에 동일하게 적용되지는 않는다.

금융당국은 디지털자산기본법 등 2단계 입법 과정에서 해킹·전산 사고에 대한 무과실 배상 책임 도입을 검토하고 있다. DSRV는 거래소의 보안 수준을 평가할 때 출금 한도와 다중 승인, 서명 권한 분리, 외부 감사 및 사고 대응 절차까지 종합적으로 확인해야 한다고 제언했다.

als20517@thevaluenews.co.kr

[저작권 ⓒ 더밸류뉴스. 무단 전재 및 재배포 금지]