탈중앙화 시대의 중앙화된 취약점…바이낸스가 드러낸 민낯

[서울=뉴시스]박은비 기자 = 탈중앙화를 지향하는 블록체인 산업이 실제로는 중앙화된 내부 운영 시스템에 의존하고 있는 것으로 나타났다. 최근 발생한 세계 최대 가상자산 거래소 바이낸스 해킹 사건이 이런 구조적 모순을 드러냈다는 게 전문가들의 진단이다.

7일 IT업계에 따르면, 블록체인은 특정 기업이나 기관이 거래 기록을 독점하거나 임의로 바꾸지 못하도록 여러 컴퓨터에 기록을 나눠 보관하고, 참여자들이 서로 확인하는 방식으로 구현된다. 중앙기관을 거치지 않아도 거래와 진위 여부를 확인할 수 있는 게 기존 시스템과의 차별점이다.

하지만 블록체인이 실제 서비스로 어떻게 구현되는지 보면 현실은 사뭇 다르다. 이용자는 편리한 플랫폼을 찾고, 기업은 빠르고 안정적인 서비스를 제공하기 위해 운영 권한과 핵심 시스템을 내부 관리자나 일부 전문업체에 맡긴다. 거래 기록은 여러 곳에 분산돼 있어도 이를 관리하고 서비스를 움직이는 권한은 소수에게 집중된다.

이런 구조였던 바이낸스 해킹에서 공격자는 블록체인 네트워크 전체를 무너뜨리는 대신 직원의 컴퓨터와 내부 계정, 디지털 자산 이름을 승인하는 내부 시스템을 겨냥했다.

바이낸스가 공개한 사고 경위에 따르면, 공격자는 악성 프로그램이 포함된 소프트웨어 설치 파일과 가짜 채용 면접 등을 이용해 직원 장비와 계정에 접근했다. 이후 내부 지갑 서명 시스템을 악용해 비정상적인 거래를 승인하도록 했다.

거래를 승인하는 권한과 이를 관리하는 계정이 뚫리면 분산된 기록 시스템도 안전을 보장하기는 어렵다. 블록체인 자체가 뚫리지 않아도 이를 운영하는 사람과 시스템이 뚫리면 피해가 발생할 수 있다는 얘기다.

김태진 라온시큐어 최고기술책임자(CTO)는 "블록체인은 거래 기록의 무결성과 위변조 방지 측면에서 높은 보안성을 갖추고 있지만, 사용자의 키를 위탁·운영하는 거래소 시스템에 대한 접근 권한까지 모두 안전하다는 의미는 아니다"라며 "공격자가 개발자나 운영자의 계정, 기기 또는 인증정보를 탈취해 정상적인 권한을 악용한다면 블록체인에서 거래되는 자산 탈취 등 심각한 피해를 일으킬 수 있다"고 우려했다.

중앙화 현상은 가상자산 거래소에만 국한되지 않는다. 금융·공공·물류 등 블록체인을 도입한 산업에서도 실제 운영 주체와 데이터 접근 권한, 핵심 인프라가 소수 기업이나 기관에 집중되는 경우가 적지 않다. 네트워크는 분산돼 있더라도 이를 운영하고 이용하는 과정에서 중앙화된 구조 형성되는 식이다.

한국인터넷진흥원(KISA)의 블록체인 산업 실태조사에 따르면 국내 블록체인 공급기업은 553개사로 집계됐다. 수요처를 살펴보면 은행·보험·증권·투자 분야가 31.5%로 가장 높은 비중을 차지했지만, 정부·공공 분야도 31.3%에 달했다.

방송통신·정보서비스는 28.3%, 문화콘텐츠·출판·영상은 26.8%, 전문·과학·기술 서비스는 24.6%였다. 제조업과 교통·물류·운수, 보건·의료 분야도 각각 10% 안팎의 비중을 보였다.

공공 분야에서는 블록체인을 활용해 신원과 자격, 행정 기록의 위·변조를 방지하거나 기관간 정보를 확인하는 서비스가 추진되고 있다. 교육 이력과 자격증, 복지 수급 자격, 각종 증명서 등을 여러 기관이 확인할 수 있도록 하는 방식이다. 한 기관이 모든 정보를 독점하는 대신 관련 기관들이 기록을 공유하고 진위를 확인한다는 구상이다.

물류 분야에서도 블록체인은 여러 기업과 기관이 화물의 이동 경로와 거래 정보를 공유하는 수단으로 각광받고 있다. 항만과 운송업체, 화주 등이 각자 보유한 정보를 연결하면 화물의 이동 과정을 투명하게 확인하고 서류의 위·변조를 줄일 수 있다는 기대다. 국내에서도 여러 참여 기관이 물류 정보를 공동으로 기록하고 확인하는 블록체인 기반 플랫폼 연구가 진행됐다.

산업별 활용 방식은 다르지만 보안 측면에서 살펴보면 공통점이 있다. 블록체인 서비스가 기존 기업 시스템과 연결되는 경우가 많다는 것이다. 이용자 정보는 별도의 데이터베이스에 보관하고, 블록체인에는 해당 정보의 진위나 변경 이록만 기록할 수 있다.

거래를 승인하는 비밀 키 역시 별도 보안 장비나 내부 시스템에서 관리될 수 있다. 이처럼 블록체인 바깥에서 작동하는 블록체인 외부 인프라 연결 지점이 취약하면 공격자는 우회로를 찾을 수 있다.

관리자 계정과 인증 수단도 핵심 위험 요소다. 바이낸스 사건에서 보여준 것처럼 공격자는 반드시 복잡한 암호 기술을 깨트릴 필요가 없다. 사람이 사용하는 컴퓨터와 계정, 내부 업무 절차를 노리는 것만으로도 핵심 시스템에 접근 가능하다.

전문가들은 이번 바이낸스 사고를 계기로 블록체인 산업의 탈중앙화가 보안과 운영 측면에서도 실질적으로 구현되고 있는지 점검해야 한다고 지적한다.

인호 고려대 블록체인 연구소장은 "중앙화가 되면 효율적이고 관리·감독이 쉽지만, 해커에게 너무 좋은 먹잇감이 될 수 있다"며 "방어 기술을 쌓더라도 뚫을 수 있는 방법을 찾으려고 엄청 노력을 할 것이고 이렇게 되면 궁극적인 솔루션은 되지 않을 것"이라고 우려했다.

다만 "탈중앙화 거래소(DEX)로 운영하더라도 개인이 키를 관리해야 되는데 이를 분실하거나 기기를 잃어버리는 경우가 생길 수 있다"며 "이를 지원할 수 있는 시스템이 뒷받침돼야 한다"고 덧붙였다

김 CTO는 "향후 해커들은 블록체인의 암호체계 자체를 공격하기보다 정상적인 사용자와 운영 시스템의 접근 권한을 탈취하는 방식으로 더욱 정교해질 것으로 전망된다"며 "특히 AI 기반 피싱과 신원 사칭, 정상 소프트웨어로 위장한 악성코드 유포 등 다양한 공격 수법이 복합적으로 활용될 가능성이 높다"고 설명했다.

그러면서 "이에 대응하기 위해서는 다중인증(MFA), 통합계정·관리(IAM), 제로트러스트 기반의 지속적인 신뢰 검증이 필요하다"며 "아울러 AI 기반 이상행위 탐지 및 위협 대응 역량을 강화하는 것이 중요하다"고 덧붙였다.


◎공감언론 뉴시스 [email protected]