세계 최대 규모의 가상자산 거래소인 바이낸스에서 약 63억 달러, 한화로 8조 4000억 원에 달하는 암호화폐가 탈취되는 초유의 사태가 발생하며 투자자들의 공포가 확산되고 있다. 이번 사건을 계기로 국내 거래소의 보안 실태와 해킹 발생 원인, 그리고 도난된 자산의 회수 및 보상 가능 여부에 대한 의문이 쏟아지고 있다. 1일 서울신문은 전문가들과 함께 이번 사태의 핵심 쟁점을 분석했다.

블록체인 기술과 거래소 보안의 간극

블록체인 기술 자체는 거래 내역을 기록하는 장부로서 위변조가 매우 어렵지만, 이것이 곧 거래소의 보안을 담보하는 것은 아니다. 조재우 한성대 사회과학부 교수(블록체인연구소장)는 이번 사고가 블록체인 시스템 자체의 결함 때문이 아니라고 설명했다. 해커가 코인을 옮길 수 있는 권한을 탈취할 경우, 블록체인 네트워크가 안전하더라도 자산은 도난될 수 있다는 것이다. 즉, 해커가 획득한 권한으로 출금을 실행하면 블록체인상에서는 이를 유효한 거래로 인식하게 된다. 이는 튼튼한 금고를 갖췄더라도 금고 열쇠를 도둑맞으면 재산을 잃는 것과 유사한 원리다.

국내 거래소 역시 해킹 위협에서 자유롭지 못하다. 지난 2019년 업비트에서는 북한 해킹 조직의 공격으로 당시 시세 기준 약 580억 원 상당의 이더리움이 빠져나간 사례가 있다. 보통 국내 거래소들은 고객 자산을 인터넷과 차단된 '콜드월렛'에 보관하지만, 이를 '핫월렛'으로 이동시키거나 출금을 승인하는 과정에서 보안 취약점이 노출될 수 있다. 임종인 고려대 정보보호대학원 명예교수는 콜드월렛에 있는 코인이라도 이동에 필요한 권한이나 비밀번호가 탈취되면 피해를 입을 수 있다고 지적했다. 김명주 서울여대 정보보호학과 교수(AI안전연구소장)는 출금 승인 직후 거액이 순식간에 이동할 수 있는 만큼, AI를 활용해 수상한 출금을 실시간으로 감지하고 차단하는 시스템이 필수적이라고 강조했다.

추적의 한계와 자산 회수의 난제

해커의 지갑 주소를 찾아낸다 해도 자산을 되찾는 것은 별개의 문제다. 블록체인상에 이동 경로가 남긴 하지만, 지갑 소유자를 즉각 파악하기는 어렵다. 특히 코인을 꺼내기 위한 디지털 열쇠인 '개인키'가 없다면 강제로 자산을 가져오는 것도 불가능하다. 김 교수는 해커가 코인을 여러 지갑으로 분산하거나 다른 종류의 코인으로 교환할 경우 추적에 상당한 시간이 소요되며, 그 사이 현금화가 이루어지면 회수가 더욱 어려워진다고 덧붙였다.

자산을 묶어두는 '동결'과 피해자에게 돌려주는 '회수' 개념도 차이가 있다. 비트코인이나 이더리움처럼 중앙 발행사가 없는 코인은 직접적인 동결이 어렵지만, 거래소로 유입된 경우에는 해당 계정을 동결해 회수 절차를 밟을 수 있다. 테더와 같은 일부 스테이블코인은 발행사가 동결할 수 있으나 실제 반환에는 별도의 과정이 요구된다. 조재우 교수는 은행 시스템과 달리 코인은 자금 이동을 중간에 막을 수 있는 장치가 부족하다고 분석했다.

보상 범위와 국내 금융권 해킹 연관성

해킹 피해에 대한 보상 역시 전액을 장담하기 어렵다. 바이낸스는 고객 손실을 전액 책임지겠다고 공언했으나, 현재까지는 회사 자금과 이용자보호기금을 통해 부족해진 자산의 약 95%를 채워놓은 상태로, 이는 탈취된 코인을 직접 되찾은 것과는 다른 차원의 조치다. 국내 거래소는 법적으로 고객 자산의 80% 이상을 콜드월렛에, 5% 이상은 보험이나 준비금으로 확보해야 한다. 민병덕 더불어민주당 의원실이 금융감독원으로부터 받은 자료에 따르면, 지난 9월 말 기준 국내 5대 원화거래소의 준비금 및 보험 보상한도는 총 1854억 원 규모다. 하지만 가상자산은 예금자 보호 대상이 아니며, 김 교수는 거래소가 감당할 수 없을 만큼 피해 규모가 커질 경우 고객이 전액 보상받지 못할 가능성을 언급했다.

한편, 이번 사건이 최근 국내 금융권에서 발생한 연쇄 해킹과 직접 연결되었는지는 아직 확인되지 않았다. 지난 9월 말부터 국내 금융권 해킹이 이어졌고 북한 IP를 통한 접근 시도도 포착되었으나, 바이낸스 건은 특정 거래소를 노린 계획적 공격인 반면 국내 사례는 여러 금융사의 취약점을 탐색한 양상을 보여 차이가 있다. 보안업계 관계자는 국내 해킹 사건에서 고도로 훈련된 조직의 흔적이 뚜렷하지 않다고 설명했다. 금융위원회는 오는 5일 금융권 해킹 대응을 위한 대책회의를 개최할 예정이다.