“바이비트 해킹에는 전례 없는 고급 기술이 들어갔다. 개인이 대응할 방법은 사실상 없고 거래소 보안이 강화돼야 하는데, 현재 국내 거래소 보안 수준으로는 막기 어렵다.”
‌
김승주 고려대 정보보호대학원 교수가 바이비트 해킹 사태가 국내에서도 일어날 수 있다며 지적한 말이다. 세계 2위 가상자산 거래소 바이비트는 지난달 14억6000만 달러(약 2조1000억 원)어치 이더리움을 해킹으로 탈취당하는 피해를 입었다. 역대 해킹 사건 가운데 가장 큰 규모다. 배후로 지목된 북한 정찰총국 산하 해커 조직 라자루스가 점점 수법을 고도화하며 몸집을 키우고 있어 국내 거래소도 안심할 수 없다는 지적이 나온다.

단순 ‘계정’ 아닌 ‘보안시스템’ 해킹

라자루스는 이번 바이비트 해킹에서 ‘다중 서명’(멀티 시그)을 위조하는 방식으로 비교적 안전성이 높다고 여겨지는 ‘콜드월렛’을 무력화했다. 통상 가상자산을 거래하려면 거래소가 인터넷에 연결되지 않은 금고 역할의 콜드월렛에서 온라인 지갑인 ‘핫월렛’으로 자금을 옮겨야 한다. 이때 콜드월렛에서 프라이빗키(개인 암호키)로 1차 소유권 증명이 이뤄진다고 해도, 이후 2명 이상의 보안 담당자가 동시에 그 유효성을 인정하는 서명을 마쳐야 실제 거래가 체결된다. 라자루스는 피싱으로 각 보안 담당자의 컴퓨터를 악성코드에 감염시킨 뒤 이들의 서명을 위조해 자금을 탈취했다.
‌
이는 과거와 비교해 한층 진화한 수법이다. 내부자 계정을 해킹해 정보를 빼내는 데 그치지 않고, 거래소 보안시스템 자체를 와해했기 때문이다. 콜드월렛과 멀티 시그는 거래소가 해킹 방지를 위해 도입한 대표적인 안전장치다. 그럼에도 라자루스는 콜드월렛이 소유권을 증명하기 위해 온라인 상태가 되는 순간을 특정하고, 다중으로 잠겨 있는 인증 절차를 뛰어넘었다.
‌
라자루스의 해킹 수법이 이처럼 정교해지면서 피해 규모도 커지는 추세다. 블록체인 정보분석업체 체인널리시스에 따르면 라자루스는 지난해 47건의 해킹으로 가상자산 13억4000만 달러(약 1조9400억 원)를 탈취했는데, 이번 바이비트 해킹으로 그 이상을 훔쳤다. 한 차례 범행이 억 단위에서 조 단위로 커진 것이다. 지난해에는 와지르엑스, DMM비트코인 거래소가 각각 2억3500만 달러(약 3390억 원), 3억500만 달러(약 4400억 원)를 라자루스에 뺏겼다. 2019년 국내 거래소 업비트도 이더리움 34만2000개(당시 시세 약 580억 원)를 탈취당한 바 있다.
‌
현재로서는 해커들의 자금세탁을 막거나 동결하기도 어렵다. ‘믹싱’ 플랫폼에서 가상자산을 잘게 쪼개고 섞어 여러 지갑 주소로 재분배해 소유권을 익명화할 수 있는 것은 물론, 믹싱을 거친 자금이 종국에 특정 지갑에 모이더라도 탈중앙화 지갑일 경우 실제 소유자를 특정할 수 없어서다. 탈중앙화 거래소 및 지갑 속 자금에 대해서는 동결 등 국제 협력도 이뤄지지 않는다. 이에 바이비트는 일반 사용자가 자신의 가상자산 지갑을 연결해 라자루스의 자금세탁을 추적하는 ‘크라우드 소싱’ 방식으로 이번 사태에 대응하고 있다. 현재까지 4230만 달러(약 610억 원) 자금을 동결하는 데 성공했는데, 이는 전체 피해 규모의 3% 수준이다. 바이비트 측이 파악한 바에 따르면 현재 라자루스는 훔친 2조1000억 원 중 1조3000억 원가량을 믹싱한 뒤, 탈중앙화 거래소에서 크로스체인 스왑을 통해 비트코인으로 변환하는 등 빠르게 자금세탁을 하고 있다.

“제1 금융권 수준 보안 강화 필요”

언제 라자루스의 타깃이 될지 모른다는 불안감에 전 세계 가상자산 시장은 얼어붙었다. 특히 국내에서는 게임업체 위메이드가 발행하는 가상자산 위믹스(약 88억 원어치)까지 해킹으로 탈취당하는 사건이 연달아 발생해 긴장감이 더 커졌다. 국내 거래소의 보상 기준을 알 수 없다는 점도 불안을 증폭하고 있다. 2019년 라자루스의 업비트 해킹 당시 피해자에게 전액 보상이 이뤄지긴 했지만, 가상자산이용자보호법상 ‘핫월렛에 보관된 이용자 자산가치의 5% 준비금 적립 의무’ 기준을 넘어서는 피해가 발생했을 때 국내 거래소가 어떻게 대응할지 알 수 없기 때문이다. 현재 국내 5대 거래소(업비트·빗썸·코인원·코빗·고팍스)는 해킹과 관련한 구체적인 보상 기준을 모두 비공개하고 있다.
‌
전문가들은 1차적으로 국내 거래소의 보안 수준을 고도의 해킹 공격을 방어할 수 있을 정도로 높여야 한다고 지적했다. 염흥열 순천향대 정보보호학과 교수는 “(라자루스 등 해커 조직이) 이다음에는 분명 더 지능적인 공격을 벌일 것이고, 그 대상이 국내 거래소가 되지 말라는 법이 없다”며 “멀티 시그에 5명 넘는 보안 담당자가 포함될 수 있게 하고, 콜드월렛이 온라인 상태가 될 때 보안 검사를 획기적으로 강화하는 등의 노력이 필요하다”고 설명했다. 김승주 교수는 “국내 거래소 보안이 아직 제1 금융권 수준은 아니다”라며 “탈중앙화 거래소 및 지갑에 관한 국제 공조체제도 갖춰야 한다”고 말했다.

_{*유튜브와 포털에서 각각 ‘매거진동아’와 ‘투벤저스’를 검색해 팔로잉하시면 기사 외에도 동영상 등 다채로운 투자 정보를 만나보실 수 있습니다.}