북한 해킹 조직의 8조 원대 해킹이 드러낸 가상자산 거래소의 민낯

북한 해킹 조직의 소행으로 지목된 조직이 세계 최대 가상자산 거래소 바이낸스에서 63억 달러(약 8조 4212억 원) 상당의 디지털 자산을 탈취한 사건으로 가상자산 업계의 구조적 보안 허점을 적나라하게 드러났다.
로이터통신은 11월 11일(현지시각) 단 한 명의 임직원만 침해당해도 대규모 자산 탈취로 직결될 수 있는 업계의 고질적 취약성이 다시 확인됐다고 보도했다.

블록체인 업계는 이번 사태를 계기로 일관성 없는 보안 관행과 느슨한 내부 통제를 서둘러 정비해야 하는 압박에 직면했다.


로이터통신에 따르면 지난 10월 29일 발생한 이번 탈취는 수개월간의 치밀한 준비 기간을 거쳐 단 몇 분 만에 완료됐다. 바이낸스가 진행한 초기 조사 결과에 근거한 내용이다.
전문가들은 이번 사건을 역대 최대 규모의 가상자산 절도로 평가했다.

블록체인 보안 기업 오픈제플린의 조나단 알렉산더 최고기술책임자는 사회공학 기반 공격이 업계에서 이미 잘 알려진 위협이라면서도, 엔지니어의 컴퓨터가 뚫린 이후 공격자의 접근 권한 확대와 자산 이동을 저지할 내부 차단 장치를 거래소들이 갖추지 못한 점이 더 근본적인 문제라고 지적했다. 사회공학 기법(Social Engineering)은 사람의 심리적 허점이나 신뢰를 교묘하게 악용해 비밀번호나 기밀 정보를 빼내는 해킹 수법을 지칭한다.

알렉산더 최고기술책임자는 거래 한도 제한이나 지출 패턴 자동 검토 등의 통제 장치가 탈중앙화나 검열 방지 원칙에 절대적으로 반한다는 일부의 오해를 반박하며, 보안 통제와 보호 장치는 충분히 공존할 수 있다고 강조했다.

블록체인 정보 분석 기업 체이널리시스에 따르면 2021년 이후 가상자산 플랫폼에서 탈취된 누적 자금은 223억 달러(약 29조 8084억 원)를 웃돈다. 가상자산 거래소는 막대한 디지털 자산이 보관된 지갑 주소와 시스템 제어 권한을 가진 직원이 외부에 쉽게 노출될 수 있어 해커들에게 매력적인 표적이 되고 있다.

디지털 자산 보안 기업 프로젝트 일레븐의 알렉스 프루덴 최고경영자는 방어자가 공격을 막아내기 위해 매 순간 성공해야 하는 반면 공격자는 단 한 번만 성공하면 되는 구조적 불리함 속에 있다고 진단했다.

프루덴 최고경영자는 이번 바이낸스 해킹 사건이 보안 투자를 견인하는 계기가 될 것으로 내다보면서도, 거래소 내부에서 활용되는 인공지능 도구와 에이전트가 침해당할 경우 공격자의 능력을 대폭 확대해 피해를 되돌리기 어렵게 만들 수 있다고 경고했다.

로이터통신은 주요 거래소들이 이미 방어 체계를 강화하고 사건 정보 공유를 늘리는 조치에 착수했다고 밝혔다.
보안 관행의 불균형은 미국의 파편화된 규제 체계와 맞닿아 있다. 미국 가상자산 거래소들은 은행과 달리 단일한 연방 사이버 보안 규정의 적용 대상에서 비켜나 있으며, 운영 지역과 보유한 주 면허에 따라 요구 사항이 갈린다.

뉴욕주는 금융서비스국을 통해 면허 보유 기업에 사이버 보안 프로그램 운영, 다중 인증 사용, 최고정보보안책임자 지정을 의무화하는 등 업계에서 가장 엄격한 기준을 부과하고 있다.

반면 다른 주들은 주로 송금업자 규정을 통해 사이버 보안 프로그램 정보 보고와 점검을 요구하는 수준에 머물며 암호화 표준과 같은 구체적인 기술 통제 수단은 명시하지 않는 경우가 많다.


북한 해킹 조직의 대규모 가상자산 탈취 사건은 전 세계 가상자산 거래소와 블록체인 인프라 운영사 전반에 강력한 내부 통제와 보안 표준 도입을 압박하는 요인으로 작용하고 있다.

글로벌 가상자산 주요 거래 시장 중 하나인 한국 역시 예외가 아니다. 북한 해킹 조직의 주요 표적이 가상자산 수탁·거래 플랫폼에 집중돼 있는 보안 환경상, 단 한 명의 임직원을 겨냥한 고도화된 사회공학(Social engineering) 공격이 대규모 자산 유출로 직결될 수 있는 위험 경로가 존재한다.

이번 해킹 사건은 한국 가상자산 사업자들이 망분리 체계 고도화, 내부 자산 이동에 대한 실시간 회로 차단 장치 도입, 임직원 엔드포인트 보안 점검을 강화하는 계기가 될 수 있다.

또한 금융당국의 가상자산 이용자 보호와 보안 규제가 한층 강화되면서 관련 보안 솔루션 도입 비용이 증가하는 구조적 변화로 이어질 수 있다.

글로벌 가상자산 시장 전반의 규제 표준화 논의가 진전되고 규제 당국이 실효성 있는 기술적 통제 지침을 안착시킬 경우, 이러한 보안 투자는 업계 전반의 신뢰도를 높이는 방어 기제로 자리 잡을 전망이다.


심완섭 글로벌이코노믹 기자 ciberwld@g-enews.com