[블록미디어 오수환 기자] 국내외 디지털자산(가상자산) 거래소에서 해킹과 개인정보 유출 사고가 잇따르는 가운데 최근 고팍스는 해킹 협박으로 거래 서비스까지 중단했다.

보안 위협이 자산 탈취와 정보 유출을 넘어 거래소 운영에도 영향을 미치면서 내부 접근 통제와 사고 확산 방지, 탈취 자산 추적은 물론 서비스 연속성까지 확보할 수 있는 종합적인 대응 체계가 필요하다는 지적이 나온다.

9일 업계에 따르면 고팍스는 지난 6일 해킹을 주장하는 세력으로부터 협박 이메일을 받은 뒤 디지털자산 입출금과 매매 서비스를 중단했다. 사흘이 지난 이날까지도 거래는 재개되지 않았다.

고팍스는 앞서 지난달 초 일부 이용자 계정에서 비정상적인 접근이 있었던 사실을 확인했다. 9월 초부터 이어진 이 접근으로 고객 7명과 전·현직 임직원 2명의 개인정보가 유출됐다.

고팍스는 이용자 자산을 보호하기 위해 핫월렛에 보관하던 자산을 콜드월렛으로 옮기는 등 대응에 나섰다. 하지만 거래 중단이 길어지면서, 사고 예방 못지않게 위협이 닥쳤을 때 이용자 자산을 지키면서 서비스를 안정적으로 유지하는 대응 능력이 중요해지고 있다.

주변부를 노려, 내부로 침투한다

금융위원회도 잇따른 침해사고에 대응해 지난 5일 가상자산사업자를 포함한 580여개 금융회사를 대상으로 연말까지 보안 전수점검에 들어갔다. 금융당국이 꼽은 주요 취약점은 핵심 전산시스템이 아니라 웹·모바일 서비스와 응용프로그램 인터페이스(API) 등 외부와 연결된 주변부 시스템이다.

최근 빗썸 해킹에서도 같은 취약점이 드러났다. 외부 비인가자가 빗썸의 사내 모바일 그룹웨어 ‘다우오피스’에 접근하면서 고객 6444명과 임직원 715명의 정보가 유출됐다. 고객 가운데 5600명의 정보는 암호화돼 있었지만, 나머지 844명은 주민등록번호와 계좌번호, 신분증 사본 등 민감한 정보가 그대로 노출됐다.

빗썸은 그동안 정보보호 예산과 전담 인력을 꾸준히 늘려왔지만, 외부 업체가 제공하는 업무 시스템을 통한 유출은 막지 못했다. 보안 투자 규모뿐 아니라 외부 연동 시스템의 접근 권한과 정보 관리 체계까지 점검해야 한다는 점이 확인된 셈이다.

바이낸스 사고는 한층 심각하다. 북한 연계 해킹 조직은 엔지니어에게 가짜 채용 제안을 보내 악성코드를 심는 사회공학적 수법으로 내부 시스템에 침투했다. 그 결과 지난달 29일 10개 블록체인 네트워크에서 약 64억달러(약 8조8000억원) 규모의 자산이 빠져나갔다.

블록체인 분석업체 체이널리시스에 따르면 공격자들은 정상적인 구인 플랫폼을 통해 바이낸스 직원에게 접근한 뒤 두 차례 면접까지 진행했다. 이어 악성코드가 담긴 코딩 과제를 내려받게 해 컴퓨터를 감염시켰고, 내부 인공지능(AI) 도구 접근 권한까지 악용해 침투 범위를 넓혔다.

빗썸과 바이낸스는 피해 유형과 규모는 다르지만, 직원의 업무 환경이 공격 경로가 됐다는 공통점이 있다. 핵심 거래 시스템의 보안을 아무리 강화해도 외부와 연결된 업무 시스템에서 내부 접근 권한이 탈취되면 공격이 주요 시스템까지 번질 수 있다는 얘기다.

다만 국내 거래소는 외부 인터넷망과 내부 업무망을 분리하는 망분리 체계를 운영하고 있어 바이낸스와 같은 방식의 공격은 상대적으로 어려울 수 있다. 인터넷을 통해 악성코드에 감염되더라도 거래 승인 등 주요 시스템이 있는 내부망까지 공격이 번지는 것을 막는 장벽이 있기 때문이다.

국내 거래소 관계자는 “국내는 망분리로 인해 외부 인터넷망과 핵심 업무망이 분리돼 있어 바이낸스와 같은 방식으로 내부 시스템에 침투해 자산을 탈취하기는 상대적으로 어렵다”고 말했다.

비정상 출금 신속 차단이 관건

그렇다고 망분리가 모든 침해사고를 막아주는 것은 아니다. 빗썸 사례처럼 외부와 연결된 업무 시스템에서는 여전히 개인정보 유출 위험이 있고, 내부 접근 권한이나 거래 승인 시스템이 뚫리면 자산 탈취로 이어질 가능성도 배제할 수 없다.

바이낸스 사고는 자산 유출을 알아챈 뒤에도 피해를 온전히 수습하기 어렵다는 점을 보여준다. 블록체인 보안업체 TRM랩스에 따르면 사고 직후 테더와 서클 등 관련 업체들의 조치로 약 27억달러 상당의 자산이 동결됐다.

그러나 공격자 지갑에는 여전히 이더리움과 비트코인 등 약 24억달러어치의 주요 자산이 남아 있었고, 트론과 솔라나 네트워크에서는 탈취 자금이 계속 움직였다.

공격자들은 탈중앙화금융(DeFi·디파이) 서비스를 이용해 자금 추적을 어렵게 만들었다. 트론 네트워크에서 자체 토큰을 발행해 유동성 풀을 자금세탁 통로로 쓰거나, 대출 서비스에서 받은 토큰을 다른 지갑으로 옮겨 이동 경로를 감췄다. 여러 블록체인을 잇달아 거치며 자산을 옮기는 수법도 동원됐다.

탈취 자산이 이처럼 여러 블록체인과 디파이 서비스로 흩어지면 거래소가 자금 흐름을 파악하고 동결을 요청하기가 한층 어려워진다. 일단 외부로 빠져나간 자산은 되찾을 수단이 마땅치 않은 만큼, 사고 초기에 비정상 출금을 빠르게 탐지하고 차단하는 것이 피해를 줄이는 핵심이라는 분석이다.

국내 거래소의 비상정지 체계도 단순히 출금을 막는 데 그치지 않고, 실제 침해 상황에서 얼마나 빠르고 독립적으로 작동하는지 따져볼 필요가 있다. 내부 승인 권한이 탈취된 상황에서도 비정상 거래를 가려내고 추가 유출을 막을 수 있느냐가 관건이다. 고팍스처럼 거래 중단이 불가피한 경우에는 이용자 불편을 최소화하면서 서비스를 안전하게 정상화하는 절차도 갖춰야 한다.

사고 발생 후 재무적 대능 능력이 ‘실력’

사고 이후 이용자 피해를 보전할 재무적 대응 능력도 과제다. 현행 가상자산이용자보호법은 해킹에 대비한 보험·공제 가입이나 준비금 적립을 의무화하고 있지만, 해킹 피해에 대한 사업자의 손해배상 책임은 직접 규정하지 않고 있다.

국회에서는 이강일·박상혁 더불어민주당 의원이 각각 대표 발의한 법안을 중심으로 사업자의 배상 책임을 강화하는 방안이 논의되고 있다. 금융당국도 고의·과실 여부와 관계없이 일정 요건을 충족하면 피해를 배상하도록 하는 무과실 손해배상 책임 도입을 검토하고 있다.

금융위는 이번 전수점검에서 외부 연결 시스템뿐 아니라 접근 권한 관리, 최고경영자(CEO)와 정보보호최고책임자(CISO)의 내부통제 운영 실태까지 들여다볼 방침이다. 내년 1분기에는 점검 결과를 반영한 보안 내부통제 가이드라인을 내놓고, 가상자산사업자 등 보안 규율의 사각지대를 없애기 위한 ‘디지털금융 안전법’ 제정도 추진한다.

금융위 관계자는 “최근 금융권 침해사고가 핵심 전산시스템보다 외부와 연결된 업무 시스템에서 주로 발생하고 있는 만큼, 이번 전수점검에서는 그동안 관리가 소홀했던 주변부 시스템과 접근 권한 관리 실태를 집중적으로 살펴볼 계획“이라고 말했다.