내부 시스템 보안 취약 우려…핫월렛 관리 강화 지적도
바이낸스 피해보상 재원 1조…업비트 800억·빗썸 500억 그쳐
1일 금융권에 따르면 빗썸은 지난달 27일 그룹웨어 '다우오피스'에 외부 비인가자가 침입해 고객 6444명과 임직원 715명의 개인정보가 유출됐다. 같은 달 24일에는 중소형 거래소 프라뱅의 핫월렛(온라인 연결 지갑)에서 약 1억원을 탈취당했다.
국내 거래소의 해킹 피해는 이번이 처음이 아니다. 업비트는 지난해 11월 솔라나 계열 가상자산 약 445억원이 외부 지갑으로 무단 전송되는 사고를 겪었다. 2019년 11월에도 이더리움 약 34만2000개를 탈취당했다. 당시 피해액은 약 580억원에 달했다.
가상자산 거래소에서 해킹 사고가 잇따르면서 내부 시스템의 보안과 권한 관리가 주요 과제로 떠오르고 있다. 바이낸스 해킹에서도 공격자들이 내부 승인 절차를 우회할 수 있는 서명 권한을 확보한 것으로 파악됐다. 가상자산을 외부로 전송할 때 필요한 서명 권한이 악용된 만큼 접근 권한 관리와 내부 통제 체계를 강화하고 임직원 대상 보안 교육도 확대해야 한다는 지적이 나온다.
김형중 고려대 정보보호대학원 교수는 "피싱 등으로 사람에 대한 정보를 끊임없이 모은 후 서명, 개인 키 등을 확보해 공격을 시도한다"며 "결국 내부 시스템 관리는 직원 관리로 귀결돼 보안 교육 등이 필요하다"고 말했다.
핫월렛 관리 역시 국내 거래소의 주요 보안 과제다. 국내 거래소는 이용자 자산 80% 이상을 인터넷과 연결되지 않은 '콜드월렛(오프라인 지갑)'에 보관해야 한다. 콜드월렛은 외부 네트워크를 통한 침입 위험이 상대적으로 낮지만 나머지 자산을 보관하는 핫월렛은 인터넷에 연결돼 있어 해킹 위험에 노출돼 있다.
실제 2019년 업비트에서 탈취된 자산도 모두 핫월렛에 보관돼 있었다. 콜드월렛 보관 비율을 준수하는 것만으로는 해킹 위험을 완전히 차단하기 어려운 만큼 핫월렛에는 거래에 필요한 최소한의 가상자산만 보관하는 등 관리 체계를 강화해야 한다는 지적이 나온다.
해킹 피해보상 재원도 부족하다는 평가가 제기된다. 바이낸스는 10억 달러(약 1조3300억원)의 보험기금(SAUF)을 확보하고 있다. 반면 국내 거래소의 보험 준비금은 업비트 800억원, 빗썸 534억원, 코인원 300억원, 디지털엑스(옛 코빗) 190억원, 스트리미(고팍스) 30억원 등에 그쳤다. 김 교수는 "향후 대규모 피해 발생을 대비해 충분한 보상책을 마련해야 한다"고 말했다.
한편 국내 거래소들도 해킹 위험에 대응하기 위한 보안 조치를 강화하고 있다. 업비트는 관련 상황을 지속적으로 모니터링하고 있으며, 빗썸은 비정상 로그인과 의심 출금을 24시간 집중 감시하고 중요 거래 시 추가 본인확인 절차를 의무적으로 적용하고 있다. 코인원은 금융보안원 등 유관기관에서 공유받은 공격 인터넷주소(IP) 등 위협 정보를 차단 정책에 반영하고 관련 모니터링을 진행하고 있다.