"블록체인 해킹 불가능하다더니" 8조원 바이낸스 해킹의 경고…코인만 문제일까

[서울=뉴시스]박은비 기자 = "블록체인 기술은 해킹하기 어렵다"는 시장의 절대적 신뢰에 금이 갔다.

세계 최대 가상자산 거래소 바이낸스에서 사상 최대 규모의 해킹 사고가 발생하면서다. 블록체인의 암호화 기술 자체는 뚫리지 않았다. 하지만 블록체인을 운영하는 외부 시스템과 관리자 권한이 공격당하면서 대규모 자산 탈취로 이어졌다.

전문가들은 이번 사건이 블록체인 보안의 치명적인 취약점을 드러냈다고 지적한다. 블록체인 알고리즘만 맹신하지 말고 이를 운영하는 서버와 계정, 인증 시스템까지 보안 점검 범위를 넓혀야 한다는 것이다.

지난달 29일(현지 시간) 바이낸스에서 발생한 약 63억달러(약 8조원) 규모 가상자산 무단 인출 사고는 블록체인 네트워크 자체의 결함 때문에 발생한 건 아니다.

공격자들은 바이낸스의 핫월렛(Hot Wallet·온라인 지갑) 거래 승인 시스템을 노렸다. 핫월렛은 인터넷에 연결돼 있어 가상자산을 빠르게 주고받을 수 있는 지갑이다.

거래를 승인하려면 암호화된 전자 서명이 필요하다. 공격자들은 이 서명 시스템을 악용해 여러 블록체인에서 정상적인 거래로 인식되는 자금 이동을 일으킨 것으로 파악됐다.

블록체인은 정해진 규칙과 전자 서명 요건을 충족한 거래를 정상적인 것으로 처리한다. 하지만 해당 거래가 실제 운영자의 의도에 따른 것인지, 해커가 시스템을 장악해 만든 것인지는 스스로 판단하기는 어렵다.

블록체인 분석업체 TRM랩스는 서로 다른 블록체인과 지갑에서 유효한 서명을 이용한 자금 이동이 확인됐다고 분석했다. 공격자가 바이낸스의 거래 승인 시스템에 접근해 원하는 거래가 정상적으로 승인되도록 만들었을 가능성이 있다는 설명이다.

바이낸스도 초기 조사에서 직원 노트북이 침해됐을 가능성을 언급했다. 이후 추가 침해 지점도 발견했다고 밝혔다. 다만 개인 키가 유출됐다는 증거는 아직 확인되지 않았다. 최초 침투 경로와 구체적인 공격 과정을 조사 중이다.

거래소만의 문제 아니다…'디지털 신원·인증' 등 산업 전반 확산

이번 사고는 블록체인 자체가 안전하더라도 이를 운영하는 시스템이 뚫리면 자산을 빼앗길 수 있다는 사실을 보여줬다. 문제는 이런 위험이 가상자산 거래소에만 국한되지 않는다는 점이다.

블록체인은 이제 단순한 거래 기록 기술을 넘어 다양한 산업의 핵심 인프라로 활용되고 있다. 디지털 신원증명과 전자 인증, 공공 데이터 관리 등 적용 분야도 빠르게 넓어지고 있다.

이들 서비스 역시 블록체인과 연결된 서버와 관리자 계정, 인증 시스템 등에 의존한다. 블록체인 네트워크가 안전하더라도 이를 관리하는 시스템에 허점이 있으면 공격자가 정상적인 권한을 악용할 수 있다.

예를 들어 블록체인 기반 디지털 신원증명 서비스가 있다고 가정해 보자. 블록체인에 저장된 정보를 직접 바꾸지 않더라도 신원 확인 시스템이나 관리자 계정이 해킹되면 문제가 생길 수 있다.

전자 인증 서비스 역시 인증 정보를 발급하거나 검증하는 외부 시스템이 공격받으면 기술 자체의 결함이 없는 것과 무관하게 신뢰성에 금이 갈 수 있다. 금융 분야도 마찬가지다.블록체인 기반 결제나 자산 관리 서비스는 거래 승인 시스템과 외부 데이터 제공자, 지갑 관리 인프라 등 다양한 구성 요소가 맞물려 작동한다.

이 가운데 하나라도 침해되면 정상적인 기술적 절차를 통해 비정상적인 결과가 발생할 수 있다. 특히 여러 서비스가 함께 사용하는 소프트웨어나 클라우드 시스템이 뚫리면 피해는 더 커진다. 하나의 보안 허점이 여러 서비스로 번질 수 있기 때문이다.

전문가들이 이번 사건에서 주목하는 것도 블록체인 기술 자체보다 이를 둘러싼 운영 환경이다. 서버 취약점을 통해 내부 시스템에 들어가거나 개발자 계정을 탈취해 권한을 뺏는 방식은 기존 사이버 공격에서도 반복됐다. 여기에 블록체인의 자산 관리 및 거래 승인 권한이 연결되면서 피해 규모가 수조원대로 커진 것이다.

이에 따라 블록체인 서비스의 보안 점검 범위도 대폭 넓혀야 한다는 진단이 나온다. 운영자 계정에 대한 추가 인증과 최소 권한 부여 원칙이 필수다. 암호 키를 보호하는 하드웨어 보안 모듈(HSM)과 거래 승인 단계를 분리하는 등 다층적인 보안 체계 투자가 뒷받침돼야 한다.

거래 승인 절차를 여러 단계로 나누고, 평소와 다른 자금 이동을 실시간으로 탐지하는 체계도 갖춰야 한다. 한 곳의 보안 허점이 전체 시스템의 위기로 번지지 않도록 방어선을 여러 겹으로 만드는 것이다.

조재우 한성대 교수는 "이번 사태는 블록체인 기술 자체의 문제라기보다 외부 운영 시스템의 취약점을 통해 거래소나 개발자, 운영사의 권한이 탈취되면 곧바로 피해로 이어질 수 있다는 점을 보여줬다"며 "한 사람의 권한이 뚫렸다고 전체 자산이 탈취되는 일이 벌어지지 않도록 기본적인 보안 체계를 철저히 갖춰야 한다"고 말했다.

인호 고려대 블록체인 연구소장은 "거래 주문이 누구로부터 왔고, 정상 거래가 맞는지 한 번 더 점검하는 시스템과 첫 거래 상대방한테 출금될 때는 자동 차단에서 검증하는 절차, 이상 출금시 비상 프로토콜을 발동해서 즉시 대응할 수 있도록 하는 조치가 필요하다"며 "아울러 중앙화되면 관리감독이 쉽지만 그래서 더 해커들의 표적이 되기도 쉽기 때문에 탈중앙화하는 방향도 고민해볼 문제"라고 설명했다.


◎공감언론 뉴시스 [email protected]