전 세계 디지털자산 해킹 피해액 11.9조원 역대 최대…이 중 바이낸스 탈취가 70% [크립토360]

[헤럴드경제=경예은 기자] 디지탈자산 거래소 바이낸스에서 역대 최대 규모의 해킹 사고가 발생해 충격을 던진 가운데, 올해 전 세계 디지털자산 해킹·보안 사고가 지난해 같은 기간보다 약 3배 늘어난 것으로 나타났다. 대형 거래소를 겨냥한 해킹으로 피해 규모 또한 역대 최대치를 기록한 가운데 탈취 자산을 디파이 대출에 활용하는 등 자금 분산 방식도 복잡해지면서 추적과 환수에 어려움이 커지고 있다.

11일 보난자팩토리의 실시간 자금 추적 서비스 블랙페이퍼(Blackpaper)에 따르면 지난 9일까지 전 세계에서 발생한 디지털자산 해킹·보안 사고는 353건으로 지난해 같은 기간(121건)의 약 2.9배에 달했다. 올해 누적 피해액은 88억7000만달러(11조8760억원)로 역대 최대치를 기록했다. 이 중 바이낸스에서 탈취된 금액이 63억달러에 달해 70%를 차지한다.

지난 2011년 6월부터 올해 11월까지 발생한 사고는 총 1353건으로 누적 피해액은 약 275억3000만달러에 달했다. 이와 달리 회수된 피해액은 약 13억3200만달러로 전체의 4.8%에 그쳤다.

해킹 피해가 집중된 분야도 뚜렷했다. 올해 전체 해킹 피해액의 81%는 개인키와 관련 시스템을 겨냥한 키·인프라 침해에서 발생했다. 피해 대상별로는 거래소가 전체 피해액의 76%를 차지했다.

▶“탈취 자금 담보로 또 대출”…추적해도 환수는 난항=최근 바이낸스 해킹은 거래소 내부 시스템이 침해됐을 때 대규모 자산 유출로 이어질 수 있다는 점을 보여주는 사례다. 이번 사고로 바이낸스 핫월렛에서 탈취된 자산은 약 63억4000만달러로 추산된다. 이 가운데 약 28억5000만달러가 동결되거나 이동이 차단됐다.

그러나 동결된 자산이 모두 바이낸스로 돌아온 것은 아니다. 바이낸스가 자체 재원으로 피해 자산을 보충한 것과 탈취된 자산을 실제로 회수하는 것은 별개의 문제다. 보난자팩토리가 지난 8일 기준 확인한 공격자 관련 자산은 이더리움 약 52만2409개, 비트코인 약 1만8270개다.

허세현 보난자팩토리 블록체인테크사업본부 주임은 “바이낸스 해킹의 탈취 자금은 아직 본격적으로 현금화되지 않은 것으로 보고 있다”며 “상당 규모의 이더리움과 비트코인이 관련 주소에 남아 있고, 지금까지 확인된 주요 흐름도 온체인에서의 자산 교환과 이동이었다”고 말했다.

이번 사고의 특징은 디파이 대출 서비스가 자금 이동에 활용됐다는 점이다. 해커는 탈취한 테더(USDT) 6000만달러를 디파이 대출 프로토콜 아베(Aave)에 담보로 맡기고 래핑이더리움(WETH) 1만9762개를 빌렸다. 아베는 사고 직후 추가적인 범죄자금 유입을 차단하기 위해 신규 예치와 대출을 일시 제한하는 등 대응에 나섰다.

허 주임은 “공격자는 빌린 자산을 다른 곳으로 옮길 수 있는 반면 탈취 자산은 담보로 남는다”며 “이후 그 담보가 실제로 동결돼 처분할 수 없게 되면 대출금을 회수하는 데 문제가 생길 수 있어 탈취 자산의 위험이 대출 프로토콜로 번질 수 있는 구조”라고 설명했다. 이어 “이런 거래를 추적할 때는 공격자가 가져간 자산뿐 아니라 프로토콜에 남겨진 담보와 채무 관계까지 함께 확인해야 한다”고 강조했다.

블록체인에 거래 시각, 수량, 수수료 등 정보다 남더라도 탈취 자금의 최종 행방이나 실소유자를 파악하기 어렵다. 허 주임은 “거래 기록이 공개돼 있다는 것과 그 돈의 출처, 지갑을 실제로 통제하는 주체, 현금화 상대를 확인할 수 있다는 것은 다른 문제”라고 짚었다.

믹서나 프라이버시 기술을 활용하면 추적 난도는 더욱 높아진다. 토네이도캐시(Tornado Cash)는 입금 주소와 출금 주소의 연결 관계를 파악하기 어렵게 만들고 코인조인(CoinJoin)은 여러 이용자의 거래를 하나로 결합해 자금 흐름을 흐린다.

거래 당사자와 금액 등을 숨기는 모네로(XMR)로 전환하면 공개된 기록에서 확인할 수 있는 정보가 줄어든다. 이외 장외거래(OTC)를 통해 디지털자산을 법정화폐로 바꿀 경우에도 블록체인 기록만으로 실제 자금을 받은 사람까지 특정하기 어렵다는 설명이다.

이 때문에 자금 추적과 실제 환수 사이에는 간극이 존재한다. 허 주임은 “비트코인과 이더리움은 스테이블코인처럼 발행사에 동결을 요청해 자금 이동을 막을 수 없다”며 “스테이블코인으로 바뀌는 순간 또는 중앙화 거래소·수탁 사업자 등으로 들어가는 순간을 잡아야 한다”고 강조했다.

▶“출금 요청·서명 권한 분리로 내부 보안체계 강화해야”=탈취 자금의 추적과 환수뿐 아니라 해킹을 사전에 차단하기 위한 거래소 내부 보안체계의 중요성도 커지고 있다. 특히 이번 바이낸스 사고에서는 핫월렛 키가 유출되지 않았는데도 해커가 내부 지갑 서명 시스템을 악용해 대규모 자산을 외부로 빼돌린 것으로 분석됐다.

김영석 보난자팩토리 대표는 “거래소가 서명키를 안전하게 보관하는 데서 나아가 서명 요청 자체가 합리적인지 판단하는 단계까지 보안의 범위를 넓혀야 한다”며 “키가 안전하게 보관돼 있더라도 내부 시스템이 침해되면 정상 서명 서비스가 공격에 이용될 수 있다”고 말했다.

김 대표는 출금 요청의 수신 주소, 금액, 실행 내용이 사전에 승인된 내역과 일치하는지 서명 직전에 검증하고 이상이 발견되면 서명을 거부하도록 설계해야 한다고 제언했다. 또한 이같은 검증을 고객 출금뿐 아니라 리밸런싱·정산 등 거래소 내부 자산 이동에도 적용할 필요가 있다고 봤다.

출금 요청과 서명 권한을 분리하는 방안도 제시했다. 김 대표는 “출금 의무를 만드는 부서와 실제 서명하는 부서를 분리하는 등의 기준이 필요하다”며 “공격자가 서명 시스템을 장악하더라도 별도로 운영되는 검증체계를 우회하지 못하면 자산 유출 위험을 줄일 수 있다”고 했다.

제도적 보완 또한 과제로 꼽았다. 김 대표는 “디지털자산기본법에 신속한 자산 동결·환수와 국내외 기관 간 공조 근거를 마련하고, 이상거래 모니터링 의무도 고객 거래뿐 아니라 내부 출금 및 서명 단계까지 확대해야 한다“고 덧붙였다.

테더 CEO “원화 결제 대체 안해…7.3억명 이용자 한국 기업의 고객 될 것” [제1회 월드디지털에셋포럼]

https://biz.heraldcorp.com/article/10930243

Google News 에서 헤럴드경제 팔로우