블록체인은 안전하다는데…내 코인은 왜 털릴까
바이낸스 8조4천억원 피해 추정…거래소 해킹에 자산 탈취 잇따라
블록체인 아닌 출금·서명 권한이 표적…거래소 보안은 별개 문제
(서울=연합뉴스) 권하영 기자 = 블록체인은 해킹에 강한 기술로 알려져 있다. 그런데 왜 가상자산 거래소에서는 수조원대 코인이 털리는 사고가 벌어질까.
세계 최대 가상자산 거래소 바이낸스에서 8조4천억원 규모의 자산이 탈취된 것으로 추정되고 국내 가상자산 거래소에서도 침해 사고가 잇따르면서 이런 의문이 커지고 있다.
해답은 블록체인과 가상자산 거래소의 보안 체계가 서로 다르다는 데 있다. 블록체인은 거래 기록의 위변조를 어렵게 하지만 가상자산 거래소의 출금·서명 권한이 해커에게 넘어가면 정상적인 거래 절차를 통해서도 자산이 빠져나갈 수 있다.
결국 해커가 블록체인 자체를 뚫지 않더라도 코인을 훔칠 수 있다는 얘기다. 전문가들은 블록체인의 보안성을 거래소 전체의 안전성으로 받아들여서는 안 된다고 지적한다.
◇ 서버 침입에서 자산 탈취까지…핵심은 출금·서명 권한
1일 가상자산 업계에 따르면 바이낸스는 지난달 29일(현지시간) 해킹으로 약 63억달러(약 8조4천억원) 규모의 피해가 발생한 것으로 추정된다고 밝혔다.
바이낸스는 초기 조사 결과 개발·운영 엔지니어의 노트북이 침해되면서 공격자가 서비스 컨테이너에 접근해 승인되지 않은 출금 거래를 제출했을 가능성이 있다고 설명했다. 블록체인 분석업체 TRM랩스는 북한 해킹 조직이 배후에 있다고 분석했다.
국내에서도 가상자산 거래소를 겨냥한 사이버 침해가 잇따랐다. 코인마켓 거래소 프라뱅은 지난달 24일 핫월렛에서 비정상적인 출금이 발생한 사실을 인지, 약 1억원 상당의 자산 피해가 발생해 이후 서비스를 잠정 중단했다.
자산 탈취까지 이어지지는 않았지만 빗썸에서도 지난달 27일 사내 모바일 그룹웨어 시스템 해킹으로 고객정보 수백건과 임직원 정보가 유출되는 사고가 발생했다.
거래소 해킹이 실제 자산 탈취로 이어지는 과정을 이해하려면 가상자산의 출금 구조부터 살펴봐야 한다.
거래소는 이용자의 입출금을 처리하기 위해 인터넷에 연결된 가상자산 지갑인 '핫월렛' 등을 운영한다. 일반적으로 출금 요청이 접수되면 내부 시스템의 검증과 승인, 거래 서명, 블록체인 전송 등의 절차를 거쳐 자산이 이동한다.
핫월렛 관련 시스템은 온라인 환경과 연결돼 있어 공격 대상이 될 수 있다. 다만 해커가 서버에 침입했다고 해서 곧바로 자산을 빼돌릴 수 있는 것은 아니다. 실제 탈취를 위해서는 자산 이동을 결정하는 권한이나 처리 절차에 영향을 미쳐야 한다.
예컨대 해커가 직원 계정을 탈취해 출금 관리 시스템에 접근하거나, 내부 서버의 취약점을 악용해 거래 서명 기능을 호출할 권한을 확보하는 방식이 가능하다. 개인키가 유출되면 공격자가 직접 거래에 서명해 자산을 이전할 수도 있다.
이번 바이낸스 사고 역시 직원의 업무용 기기가 침해된 뒤 비인가 출금이 발생했을 가능성이 제기됐다는 점에서 이러한 공격 구조와 맞닿아 있다. 다만 구체적으로 어떤 출금·서명 권한이 악용됐는지는 추가 조사가 필요하다.
박찬암 스틸리언 대표는 "핵심은 공격자가 원하는 자산 이동을 실행할 수 있는 수단을 확보해야 한다는 점"이라며 "개인키를 직접 훔치지 않아도 정상적인 서명 시스템이나 승인자를 악용해 자산을 옮길 수 있다"고 설명했다.
실제 공격 경로를 규명하려면 최초 침입 지점뿐 아니라 출금 요청과 승인, 거래 서명 중 어느 단계가 침해됐는지 확인해야 한다는 것이 보안 전문가들의 설명이다.
◇ 블록체인은 멀쩡한데 코인은 사라졌다…왜 못 막나
이처럼 거래소의 출금·서명 절차가 악용되면 블록체인 자체의 보안 체계가 정상적으로 작동하더라도 자산 탈취를 막지 못할 수 있다. 블록체인은 거래 기록의 위변조를 어렵게 하지만, 거래가 실제 자산 소유자의 의사에 따라 이뤄졌는지까지 판단하지는 않기 때문이다.
국내 보안 기업 관계자는 "블록체인은 거래가 정상 서명으로 생성됐는지만 검증하므로 공격자가 거래소의 개인키나 승인 권한 등을 탈취하면 정상 거래로 인식되며 거래가 확정된다"며 "은행 금고가 해킹된 게 아니라 금고 열쇠를 관리하는 직원 PC가 해킹된 것과 같은 개념"이라고 설명했다.
실제 거래소는 블록체인 네트워크와 별개로 고객 계정과 인증정보, 거래 처리, 출금 승인, 지갑 관리 등을 위한 다양한 시스템을 운영한다. 이 과정에서 소프트웨어 취약점이나 인증정보 탈취, 관리자 권한 악용 등의 보안 위협에 노출될 수 있다는 설명이다.
거래소 해킹으로 실제 가상자산이 유출된 사례는 과거에도 있었다.
2023년 지닥(GDAC)에서는 거래소 핫월렛에서 약 200억원 상당의 가상자산이 외부 지갑으로 유출됐다. 당시 보안업계에서는 개인키를 직접 탈취하기보다 거래소 내부 시스템이나 입출금 관련 기능을 악용했을 가능성을 제기했다.
2019년 업비트에서는 이더리움 약 34만2천개가 외부 지갑으로 유출됐다. 경찰은 2024년 북한 정찰총국 산하 해킹 조직인 라자루스와 안다리엘의 소행이라고 발표했으나, 구체적인 해킹 수법은 공개하지 않았다.
지난해 2월에는 해외 거래소 바이비트에서 약 15억달러 상당의 가상자산이 탈취됐다. 당시 공격자는 거래 승인 과정에 개입해 악의적인 거래가 승인되도록 만든 것으로 조사됐다.
◇ '블록체인=안전'은 착각…거래소 보안은 별개 문제
가상자산 업계에서는 블록체인 기술에 대한 신뢰가 이를 활용하는 서비스 전체의 안전성에 대한 막연한 믿음으로 이어지는 이른바 '블록체인 워싱'을 경계해야 한다는 지적도 나온다.
한 가상자산 업계 관계자는 "블록체인 자체는 안전하지만 여기에 데이터를 전송하는 거래소 시스템이 부실하면 결국 문제가 된다"며 "블록체인은 거래 기록의 무결성을 보호하지만, 이를 이용하는 외부 시스템의 안전성까지 보장할 수는 없다는 게 한계"라고 말했다.
이번 바이낸스 사고에서는 탈취된 것으로 추정되는 자산 가운데 약 30억달러가 동결됐지만, 동결이 곧바로 자산 회수를 의미하는 것은 아니다. 블록체인에서 거래가 최종 확정되면 거래소가 임의로 이를 되돌리기 어려운 만큼 사전 차단의 중요성이 크다.
한 보안 전문가는 "거래소 내부 시스템이 침해되더라도 실제 자산 탈취로 이어지지 않도록 출금 승인과 거래 서명 권한을 분리해서 보호하고, 이상거래를 탐지·차단하는 체계를 갖춰야 한다"고 지적했다.
kwonhy@yna.co.kr
(끝)
<저작권자(c) 연합뉴스, 무단 전재-재배포, AI 학습 및 활용 금지>
바이낸스 8조4천억원 피해 추정…거래소 해킹에 자산 탈취 잇따라
블록체인 아닌 출금·서명 권한이 표적…거래소 보안은 별개 문제
(서울=연합뉴스) 권하영 기자 = 블록체인은 해킹에 강한 기술로 알려져 있다. 그런데 왜 가상자산 거래소에서는 수조원대 코인이 털리는 사고가 벌어질까.
세계 최대 가상자산 거래소 바이낸스에서 8조4천억원 규모의 자산이 탈취된 것으로 추정되고 국내 가상자산 거래소에서도 침해 사고가 잇따르면서 이런 의문이 커지고 있다.
해답은 블록체인과 가상자산 거래소의 보안 체계가 서로 다르다는 데 있다. 블록체인은 거래 기록의 위변조를 어렵게 하지만 가상자산 거래소의 출금·서명 권한이 해커에게 넘어가면 정상적인 거래 절차를 통해서도 자산이 빠져나갈 수 있다.
결국 해커가 블록체인 자체를 뚫지 않더라도 코인을 훔칠 수 있다는 얘기다. 전문가들은 블록체인의 보안성을 거래소 전체의 안전성으로 받아들여서는 안 된다고 지적한다.
◇ 서버 침입에서 자산 탈취까지…핵심은 출금·서명 권한
1일 가상자산 업계에 따르면 바이낸스는 지난달 29일(현지시간) 해킹으로 약 63억달러(약 8조4천억원) 규모의 피해가 발생한 것으로 추정된다고 밝혔다.
바이낸스는 초기 조사 결과 개발·운영 엔지니어의 노트북이 침해되면서 공격자가 서비스 컨테이너에 접근해 승인되지 않은 출금 거래를 제출했을 가능성이 있다고 설명했다. 블록체인 분석업체 TRM랩스는 북한 해킹 조직이 배후에 있다고 분석했다.
국내에서도 가상자산 거래소를 겨냥한 사이버 침해가 잇따랐다. 코인마켓 거래소 프라뱅은 지난달 24일 핫월렛에서 비정상적인 출금이 발생한 사실을 인지, 약 1억원 상당의 자산 피해가 발생해 이후 서비스를 잠정 중단했다.
자산 탈취까지 이어지지는 않았지만 빗썸에서도 지난달 27일 사내 모바일 그룹웨어 시스템 해킹으로 고객정보 수백건과 임직원 정보가 유출되는 사고가 발생했다.
거래소 해킹이 실제 자산 탈취로 이어지는 과정을 이해하려면 가상자산의 출금 구조부터 살펴봐야 한다.
거래소는 이용자의 입출금을 처리하기 위해 인터넷에 연결된 가상자산 지갑인 '핫월렛' 등을 운영한다. 일반적으로 출금 요청이 접수되면 내부 시스템의 검증과 승인, 거래 서명, 블록체인 전송 등의 절차를 거쳐 자산이 이동한다.
핫월렛 관련 시스템은 온라인 환경과 연결돼 있어 공격 대상이 될 수 있다. 다만 해커가 서버에 침입했다고 해서 곧바로 자산을 빼돌릴 수 있는 것은 아니다. 실제 탈취를 위해서는 자산 이동을 결정하는 권한이나 처리 절차에 영향을 미쳐야 한다.
예컨대 해커가 직원 계정을 탈취해 출금 관리 시스템에 접근하거나, 내부 서버의 취약점을 악용해 거래 서명 기능을 호출할 권한을 확보하는 방식이 가능하다. 개인키가 유출되면 공격자가 직접 거래에 서명해 자산을 이전할 수도 있다.
이번 바이낸스 사고 역시 직원의 업무용 기기가 침해된 뒤 비인가 출금이 발생했을 가능성이 제기됐다는 점에서 이러한 공격 구조와 맞닿아 있다. 다만 구체적으로 어떤 출금·서명 권한이 악용됐는지는 추가 조사가 필요하다.
박찬암 스틸리언 대표는 "핵심은 공격자가 원하는 자산 이동을 실행할 수 있는 수단을 확보해야 한다는 점"이라며 "개인키를 직접 훔치지 않아도 정상적인 서명 시스템이나 승인자를 악용해 자산을 옮길 수 있다"고 설명했다.
실제 공격 경로를 규명하려면 최초 침입 지점뿐 아니라 출금 요청과 승인, 거래 서명 중 어느 단계가 침해됐는지 확인해야 한다는 것이 보안 전문가들의 설명이다.
◇ 블록체인은 멀쩡한데 코인은 사라졌다…왜 못 막나
이처럼 거래소의 출금·서명 절차가 악용되면 블록체인 자체의 보안 체계가 정상적으로 작동하더라도 자산 탈취를 막지 못할 수 있다. 블록체인은 거래 기록의 위변조를 어렵게 하지만, 거래가 실제 자산 소유자의 의사에 따라 이뤄졌는지까지 판단하지는 않기 때문이다.
국내 보안 기업 관계자는 "블록체인은 거래가 정상 서명으로 생성됐는지만 검증하므로 공격자가 거래소의 개인키나 승인 권한 등을 탈취하면 정상 거래로 인식되며 거래가 확정된다"며 "은행 금고가 해킹된 게 아니라 금고 열쇠를 관리하는 직원 PC가 해킹된 것과 같은 개념"이라고 설명했다.
실제 거래소는 블록체인 네트워크와 별개로 고객 계정과 인증정보, 거래 처리, 출금 승인, 지갑 관리 등을 위한 다양한 시스템을 운영한다. 이 과정에서 소프트웨어 취약점이나 인증정보 탈취, 관리자 권한 악용 등의 보안 위협에 노출될 수 있다는 설명이다.
거래소 해킹으로 실제 가상자산이 유출된 사례는 과거에도 있었다.
2023년 지닥(GDAC)에서는 거래소 핫월렛에서 약 200억원 상당의 가상자산이 외부 지갑으로 유출됐다. 당시 보안업계에서는 개인키를 직접 탈취하기보다 거래소 내부 시스템이나 입출금 관련 기능을 악용했을 가능성을 제기했다.
2019년 업비트에서는 이더리움 약 34만2천개가 외부 지갑으로 유출됐다. 경찰은 2024년 북한 정찰총국 산하 해킹 조직인 라자루스와 안다리엘의 소행이라고 발표했으나, 구체적인 해킹 수법은 공개하지 않았다.
지난해 2월에는 해외 거래소 바이비트에서 약 15억달러 상당의 가상자산이 탈취됐다. 당시 공격자는 거래 승인 과정에 개입해 악의적인 거래가 승인되도록 만든 것으로 조사됐다.
◇ '블록체인=안전'은 착각…거래소 보안은 별개 문제
가상자산 업계에서는 블록체인 기술에 대한 신뢰가 이를 활용하는 서비스 전체의 안전성에 대한 막연한 믿음으로 이어지는 이른바 '블록체인 워싱'을 경계해야 한다는 지적도 나온다.
한 가상자산 업계 관계자는 "블록체인 자체는 안전하지만 여기에 데이터를 전송하는 거래소 시스템이 부실하면 결국 문제가 된다"며 "블록체인은 거래 기록의 무결성을 보호하지만, 이를 이용하는 외부 시스템의 안전성까지 보장할 수는 없다는 게 한계"라고 말했다.
이번 바이낸스 사고에서는 탈취된 것으로 추정되는 자산 가운데 약 30억달러가 동결됐지만, 동결이 곧바로 자산 회수를 의미하는 것은 아니다. 블록체인에서 거래가 최종 확정되면 거래소가 임의로 이를 되돌리기 어려운 만큼 사전 차단의 중요성이 크다.
한 보안 전문가는 "거래소 내부 시스템이 침해되더라도 실제 자산 탈취로 이어지지 않도록 출금 승인과 거래 서명 권한을 분리해서 보호하고, 이상거래를 탐지·차단하는 체계를 갖춰야 한다"고 지적했다.
kwonhy@yna.co.kr
(끝)
<저작권자(c) 연합뉴스, 무단 전재-재배포, AI 학습 및 활용 금지>
관련뉴스
