거래소 권한 뚫리면 콜드월렛도 방패 못 된다

바이낸스 해킹은 블록체인 자체를 변조하지 않고 거래소의 출금·서명 권한을 장악해 코인을 옮겼을 가능성이 제기됐다. 거래 승인에 쓰이는 전자서명을 관리자 권한으로 생성할 수 있다면 개인키를 직접 알아내지 않고도 자산을 빼낼 수 있다. 미국 연방수사국은 이번 해킹을 북한 소행으로 지목했다.

개인키가 유출되면 해커는 코인을 원하는 지갑으로 보낼 수 있다. 거래소의 서명 체계를 제어하는 관리자 권한이 탈취돼도 유효한 이체가 가능하다. 바이낸스는 63억 달러 규모 피해 가운데 30억 달러를 동결했다고 밝혔지만, 동결 조치 뒤 해커들은 테더를 이더리움으로 바꾸며 시장가보다 12~26% 낮은 가격에 매도했고 탈중앙화금융 대출 플랫폼에서 담보대출도 받았다.

국내 거래소에서도 유출 사고가 이어졌다. 업비트에서는 2019년 이더리움 약 34만2000개가 외부 지갑으로 빠져나갔고, 2023년 지닥에서는 약 200억 원 상당의 코인이 무단 유출됐다. 지난달에는 코인마켓거래소 프라뱅에서 1억 원 상당의 피해가 발생했다. 업비트 콜드월렛 비중은 지난해 10월 말 98%였지만, 콜드월렛에서 핫월렛으로 옮기는 권한이나 승인 절차가 침해되면 보관 방식만으로 자산을 지키기 어렵다.

보안 전문가들은 다중서명과 승인 권한 분산, 이체 한도, 이상거래 탐지를 포함한 통제가 필요하다고 지적한다. 양자컴퓨터 위협과 인공지능을 활용한 해킹 우려도 커지는 가운데, 국내 거래소의 보안 관리 문제도 드러났다. 빗썸에서는 지난달 고객과 임직원 1500여 명의 개인정보가 유출됐고, 고팍스는 예산 문제로 정보보호·개인정보보호 관리체계(ISMS-P) 인증을 받지 않은 상태다.