블록체인 보안과 거래소 시스템의 치명적 괴리

블록체인 기술이 해킹에 강력한 방어력을 갖췄다는 인식과 달리, 가상자산 거래소에서는 수조 원 규모의 자산이 증발하는 사고가 빈번하게 발생하고 있다. 세계 최대 규모인 바이낸스에서 약 8조 4,000억 원(63억 달러)에 달하는 자산이 탈취된 것으로 추정되는 사건이 발생하며 이러한 의구심은 더욱 증폭되는 양상이다.

사고의 근본적인 원인은 블록체인 네트워크의 보안성과 가상자산 거래소의 운영 보안 체계가 완전히 별개라는 점에 있다. 블록체인은 거래 기록의 위변조를 막는 데 탁월하지만, 해커가 거래소의 출금 권한이나 거래 서명 권한을 장악할 경우 시스템은 이를 정상적인 거래로 인식해 자산을 외부로 유출시킨다. 즉, 블록체인 자체를 파괴하지 않고도 합법적인 절차를 모방해 코인을 훔칠 수 있다는 것이다. 전문가들은 블록체인의 기술적 안전성을 거래소 전체의 보안 수준과 동일시하는 오류를 경계해야 한다고 조언한다.

서버 침입을 통한 권한 탈취와 국내외 피해 현황

업계에 따르면 지난달 29일(현지시간) 바이낸스는 해킹으로 인해 막대한 피해를 입었다고 밝혔다. 초기 조사 결과, 개발 및 운영을 담당하는 엔지니어의 노트북이 침해당하면서 공격자가 서비스 컨테이너에 접근해 승인되지 않은 출금 명령을 내렸을 가능성이 제기됐다. 블록체인 분석 기업인 랩스는 이번 공격의 배후로 북한 해킹 조직을 지목했다.

국내 시장에서도 침해 사고는 끊이지 않고 있다. 코인마켓 거래소인 프라뱅은 지난달 24일 핫월렛에서 비정상적인 출금 정황을 포착해 약 1억 원 규모의 피해를 입었으며, 이로 인해 서비스가 잠정 중단됐다. 빗썸 역시 지난달 27일 사내 모바일 그룹웨어 시스템인 '다우오피스'가 해킹당하며 고객 6,444명의 개인정보와 임직원 715명의 정보가 유출되는 사고를 겪었다. 빗썸 측은 유출된 고객 중 5,600명은 암호화된 상태였으나 844명의 정보는 직접 노출되었다고 설명했다.

출금 구조의 취약점과 개인키 탈취의 위험성

거래소 해킹의 메커니즘을 이해하기 위해서는 가상자산의 출금 프로세스를 살펴볼 필요가 있다. 거래소는 이용자 편의를 위해 인터넷에 연결된 '핫월렛'을 운영하는데, 출금 요청이 들어오면 내부 검증, 승인, 거래 서명, 블록체인 전송이라는 일련의 단계를 거친다. 문제는 이 과정에서 해커가 시스템 취약점을 이용해 관리자의 계정을 탈취하거나 거래 서명 기능을 호출할 권한을 얻는 방식이다.

박찬암 스틸리언 대표는 공격자가 자산을 이동시킬 수 있는 수단을 확보하는 것이 핵심이라고 설명하며, 개인키를 직접 훔치지 않더라도 정상적인 서명 시스템이나 승인 절차를 악용해 자산을 옮길 수 있다고 경고했다. 보안 전문가들은 실제 공격 경로를 파악하기 위해 최초 침입 지점뿐 아니라 출금과 승인, 서명 중 어느 단계가 오염되었는지 정밀하게 규명해야 한다고 강조한다.

반복되는 자산 탈취 사례와 보안 대책의 필요성

과거에도 거래소의 내부 시스템이나 입출금 기능을 악용한 사례는 많았다. 과거 한 거래소에서는 핫월렛을 통해 약 200억 원의 자산이 유출되었고, 2019년에는 업비트에서 이더리움 약 34만 2,000개가 외부로 빠져나갔다. 또한 지난해 2월 바이비트에서는 공격자가 거래 승인 과정에 개입해 약 15억 달러 상당의 자산을 탈취하기도 했다.

업계 관계자들은 블록체인의 무결성이 외부 시스템의 안전까지 보장하지 않는다는 점을 명확히 인지해야 한다고 말한다. 이는 마치 은행 금고 자체가 뚫린 것이 아니라, 금고 열쇠를 관리하는 직원이 해킹당한 것과 같은 원리다. 따라서 거래소는 출금 승인과 서명 권한을 엄격히 분리하고, 이상 거래를 실시간으로 탐지 및 차단할 수 있는 고도화된 보안 체계를 구축하는 것이 무엇보다 중요하다.