자유기고란 암호화폐 거래소는 왜 거듭 해킹당하는가
페이지 정보
본문
암호화폐 거래소는 왜 거듭 해킹당하는가
백세현 / (주)엔피코어 해외전략이사
개인키를 넘어 자산 이전 권한을 지켜야 하는 이유
2026년 10월 29일 발생한 바이낸스의 대규모 자산 탈취에서 주목해야 할 것은 피해 규모만이 아니다. 바이낸스는 다음 날 공식 공지에서 온라인 출금용 지갑인 핫월렛의 침해로 약 63억 달러(한화 약 8조 4,042억 원) 상당의 자산이 무단 출금됐다고 밝혔다.
처음에는 직원 노트북의 침해 가능성을 언급했지만, 후속 조사에서 추가 침해 지점이 발견됐다고 설명했다. 거래 서명에 쓰이는 비밀값인 개인키가 유출됐다는 증거는 아직 발견되지 않았고 전체 공격 경로를 조사중인 사안이다.
이런 사건은 앞으로도 더욱 늘어날 것이기에 우리에게도 중요한 질문을 던진다.
개인키가 외부로 빠져나갔다는 증거가 없는데도 거액이 이동했다면, 공격자는 어떤 시스템의 권한을 이용했는가. 그 시스템은 왜 요청을 정상으로 판단했으며, 여러 방어 장치 가운데 무엇이 실제 송금을 중단할 수 있었는가. 노트북에서 발견된 침해 흔적은 조사 출발점이 될 수 있지만, 그것만으로 수십억 달러가 빠져나간 과정을 설명하기는 어렵다.
2025년 바이비트 사건에서도 비슷한 질문이 제기됐다. 미국 연방수사국은 2월 21일 무렵 발생한 약 15억 달러(한화 약 2조 25억원)의 탈취를 북한의 트레이더 트레이터(TraderTraitor) 활동으로 지목했다. 이후 공개된 조사에서는 지갑 서비스 공급업체의 개발 환경과 서명 화면이 공격 경로의 일부였음이 드러났다. 콜드월렛과 복수 서명이라는 보호 장치가 있었지만, 사람들이 무엇에 서명하고 있는지 판단하는 과정이 훼손됐다.
암호화폐 탈취에 있어서는 개인키, 직원, 악성코드, 스마트계약 가운데 하나를 골라 원인으로 생각하고 싶을 수 있는데 이런 생각에서 탈피해야 한다.
공격자가 들어온 지점, 내부에서 확보한 권한, 자산을 이전시킨 방식, 피해를 제한하지 못한 통제는 서로 다른 문제이기 때문이다. 이 단계들이 어떻게 연결됐는지 잘 살펴볼 필요가 있다. 핵심은 조직 안팎의 어떤 사람이나 시스템이 고객과 회사의 자산을 움직이게 할 수 있는가에 있다.
침입과 송금을 구분해야 한다
가령 개발자가 채용 과제를 가장한 악성 프로그램을 실행했다고 가정해보자. 프로그램이 로그인 상태를 유지하는 업무용 세션 정보를 훔치고, 공격자가 그 세션으로 클라우드에 접속해 지갑 화면을 변경한다. 승인자는 정상적인 업무라고 믿고 거래에 서명한다. 이 하나의 사건에는 사람을 속여 행동을 유도하는 사회공학(social engineering), 악성코드, 인증정보 탈취, 공급망 침해, 거래 조작이 모두 종합적으로 관여되어 있다. 어느 단계도 다른 단계를 대신하는 완전한 설명은 아니다.
첫 번째 질문은 최초 침입이다. 피싱 메시지, 취약한 원격접속 장비, 외주 직원 계정, 악성 의존성 가운데 무엇이 발판이 됐는지 확인할 필요가 있다. 두 번째는 침입 이후의 행동이다. 공격자가 어떤 계정으로 가장했고, 어떤 시스템으로 이동했으며, 어떤 설정이나 코드를 바꿨는지를 확인할 필요가 있다. 세 번째는 실제 자산 이전의 원리다. 개인키를 직접 사용했는지, 정상 서명 서비스를 악용했는지, 스마트계약의 검증 오류를 이용했는지 구분할 필요가 있다.
마지막 질문은 손실 확대를 허용한 조건이다. 한 시스템이 너무 많은 자산을 통제했는지, 거래 한도를 우회할 수 있었는지, 경보가 발생해도 출금을 멈출 권한자가 없었는지 살펴볼 필요가 있다. 최초 침입에 성공한 사실과 준비금 대부분을 잃은 결과 사이에는 여러 결정과 통제가 존재한다. 조사보고서가 최초에 발견한 취약점이나 직원 행동에서 끝난다면 이 구간을 놓친 미완의 조사서로 남게 되고 이로 인해 차기 공격에 대한 방어가 제대로 안될 가능성이 높다.
2024년 5월 31일 일본 암호화폐 거래소 디엠엠 비트코인(DMM Bitcoin)에서 발생한 비트코인 탈취 사건은 최초 침입 경로와 실제 자산 이전 과정을 나누어 살펴봐야 하는 이유를 잘 보여주는 사례이다.
당시 탈취된 자산은 4,502.9 BTC로, 약 3억 800만 달러(한화 약 4,264억 원)에 달했다. 같은 해 12월 23일 미국 연방수사국(FBI), 미국 국방부 사이버범죄센터, 일본 경찰청이 발표한 공동 조사 결과에 따르면, 공격자는 채용 담당자를 사칭해 지갑 소프트웨어 공급업체 긴코(Ginco) 직원에게 접근하고 채용 과제를 가장한 악성 코드를 실행하도록 유도했다.
이후 세션 쿠키를 악용해 해당 직원을 사칭하고 통신 시스템에 접근했다. 당국은 공격자가 이 접근 권한을 이용해 DMM Bitcoin 직원의 정상적인 거래 요청을 조작했을 가능성이 높다고 평가했다. 즉, 공급업체 직원에 대한 접근과 세션 악용은 당국이 설명한 조사 결과이지만, 최종 거래 요청을 조작한 과정에는 여전히 가능성 판단이 포함되어 있다. 이 사건을 단순한 개인키 유출로 설명하면 공급업체의 보안과 사용자 인증, 거래 승인 과정이 어떻게 연결되어 있었는지를 놓치게 된다.
반복되는 사건에서 드러나는 실패 패턴은 무엇일까
일본 암호화폐 거래소 마운트 곡스(Mt. Gox) 사건은 오래된 침해가 어떻게 장기간의 자산 유출로 이어질 수 있는지를 보여준다. 미국 법무부가 2023년 공개한 기소장에는 피고인들이 2011년 9월 무렵 고객의 비트코인 지갑과 개인키가 보관된 서버에 무단으로 접근한 뒤, 2014년까지 최소 약 64만 7,000 BTC를 탈취했다는 혐의가 담겼다.
법원의 확정 판단과는 구분해야 하지만, 이 기소 내용에서 주목할 점은 최초 침입 이후 자산 유출이 수년에 걸쳐 이어졌다는 것이다. 대형 손실을 이해하려면 공격자가 어떻게 들어왔는지와 함께, 이후의 유출을 왜 조기에 발견하고 차단하지 못했는지도 살펴봐야 한다.
수탁기관에는 침입 탐지와 자산 대조가 함께 필요하다. 블록체인에서 확인되는 실제 보유 자산을 내부 장부에 기록된 고객별 잔액 및 입출금 내역과 지속적으로 대조하고, 설명되지 않는 차이가 발생하면 원인을 조사해야 한다. 장부에 고객 잔액이 표시돼 있다는 사실만으로 이를 뒷받침할 자산이 실제로 존재한다고 판단해서는 안 된다.
보안팀이 시스템의 이상 징후를 감시하고 재무팀이 장부를 확인하는 업무가 서로 분리돼 있다면, 침해와 자산 부족의 연관성을 놓칠 수 있다. 두 영역의 정보를 연결하고 필요할 때 자산 이전을 제한할 수 있어야, 한 번의 침입이 반복적인 유출과 대규모 손실로 이어지는 것을 줄일 수 있다.
코인체크가 공개한 2018년 사건 설명에 따르면 회사는 직원 단말의 악성코드 감염, 내부망 접근, NEM 서버 통신의 도청, 개인키 탈취가 이어진 것으로 추정했다. 2019년 바이낸스는 피싱과 바이러스 등으로 확보된 사용자 API 키와 이중인증 코드가 공격에 이용됐고, 보안 검사를 통과한 거래로 7000 BTC가 출금됐다고 발표했다. 두 사례 모두 일상적인 기업 IT 문제와 지갑의 자산 통제가 관련성이 있었다.
대형 디지털자산 탈취 사건을 비교할 때는 피해액보다 공격자가 자산을 움직일 권한을 어떻게 확보했는지를 먼저 살펴봐야 한다. 중앙화 거래소의 내부 시스템에 침입하는 공격과 블록체인 사이의 자산 이동을 연결하는 브리지의 검증 기능을 악용하는 공격은 작동 방식이 다르다. 같은 거래소 사건이라도 개인키 탈취, 공급업체 침해, 거래 승인 과정의 조작을 구분해야 미래지향적인 대책을 마련해나갈 수 있다.
내부 시스템에 접근했다고 곧바로 자산을 옮길 수 있어서는 안 된다. 2016년 8월 2일 발생한 비트파이넥스(Bitfinex) 사건에서 공격자는 거래소 네트워크에 침입한 뒤 2,000건 이상의 거래를 부정 승인해 비트코인을 이전했다. 최초 침입 수법까지 정확하게 알기는 어렵고 특정 취약점만이 원인이었다고 단정하기도 애매하기는 하지만 주목해야할 것은 내부 접근 권한이 대규모 자산 이전으로 이어진 경로이다. 직원 계정이나 업무 시스템이 침해되더라도 출금 권한과 한도, 승인 정책이 별도의 통제 아래 작동해야 하는 이유다.
2018년 1월 26일 일본 거래소 코인체크(Coincheck)에서 발생한 사건은 업무용 단말과 자산 보관 시스템 사이의 연결을 보여준다. 회사는 직원 단말의 악성코드 감염과 내부망 접근을 거쳐 개인키 정보가 탈취된 것으로 평가했다. 회사 조사에 따르면 직원의 컴퓨터에서 시작된 침해가 자산 통제 권한까지 도달할 수 있다는 문제가 있었다. 단말 보안과 함께 내부망 분리, 접근 권한 제한, 키 관리 시스템의 격리가 필요한 이유가 여기에 있다.
여러 승인자가 존재한다는 사실만으로 승인 체계가 독립적인 것은 아니다. 2022년 3월 23일 공격을 받은 로닌(Ronin)은 거래소가 아니라 블록체인 사이에서 자산을 이동시키는 브리지였다. 공격자는 검증자 9개 중 5개의 서명 권한을 확보했으며, 사고는 6일 뒤인 3월 29일 발견되고 공개됐다.
이 사례는 승인 주체의 숫자뿐 아니라 이들이 어떤 관리자, 계정, 운영 환경에 의존하는지를 확인해야 한다는 점을 잘 보여준다. 여러 서명 권한이 공통된 관리 경로를 통해 침해될 수 있다면, 형식적인 분산이 실제 방어력을 보장하지 못한다. 이상 출금을 신속하게 발견하는 감시 체계도 승인 구조만큼 중요하다.
같은 해 10월 6일 발생한 비에스씨 토큰 허브(BSC Token Hub) 사례는 다른 유형의 사건이었다. 이 역시 블록체인 사이의 자산 이동을 연결하는 브리지에서 발생했지만, 핵심은 서명 권한 탈취가 아니라 다른 블록체인의 거래가 유효한지 확인하는 기능의 오류였다.
공격자는 이를 악용해 BNB 체인에서 거래 수수료 지급 등에 사용하는 암호화폐인 비앤비(BNB)를 부정 생성했다. 이는 기존 고객 자산을 빼돌리는 것과 달리, 정상적인 근거 없이 새로운 토큰을 만들어낸 경우다. 따라서 생성된 토큰의 평가액을 거래소 고객 계정에서 빠져나간 자산이나 공격자가 실제로 현금화한 금액과 동일하게 취급해서는 안 된다. 이러한 공격에 대응하려면 거래의 유효성을 확인하는 프로그램을 철저히 검증하고, 비정상적인 토큰 생성을 탐지해 피해 확산을 제한하는 비상 통제를 갖춰야 한다.
거래소 밖의 공급업체도 자산 탈취의 출발점이 될 수 있다. 2024년 5월 31일 일본 디엠엠 비트코인(DMM Bitcoin)에서 발생한 사건에서 당국은 지갑 소프트웨어 공급업체 직원에 대한 위장 채용 접근과 악성코드 실행, 세션 쿠키 악용을 설명했다. 다만 이러한 접근이 정상 거래 요청의 조작으로 이어졌다는 부분은 가능성이 높다는 평가로 제시했다. 확인된 침입 과정과 아직 추정이 포함된 자산 이전 과정을 구분해야 한다. 동시에 외부 업체의 직원 계정과 통신 시스템이 거래소의 자산 관리 절차에 어떤 영향을 줄 수 있는지까지 수탁 위험에 포함해야 한다.
2025년 2월 21일 바이비트 (Bybit) 사건에서는 공급업체 개발 환경의 침해와 지갑 인터페이스 코드 변조가 거래 승인 과정에 영향을 미쳤다. 이 사건은 개인키를 안전하게 보관하는 것과 안전한 거래에 서명하는 것이 서로 다른 문제임을 보여준다. 여러 사람이 서명하더라도 모두 같은 변조된 화면을 보고 판단한다면 잘못된 승인을 반복할 수 있다. 거래를 생성하는 시스템과 별개의 신뢰할 수 있는 경로에서 실제 서명 대상의 목적지, 권한 변경, 자산 이동 효과를 검증해야 한다.
사고 원인을 밝히는 데에는 계약 경계를 넘는 증거가 필요하다. 2024년 7월 18일 인도 거래소 와지르엑스(WazirX)의 다중서명 지갑에서 자산이 유출된 뒤, 거래소와 지갑 서비스 공급업체는 거래 처리 및 서명 경로의 침해 지점과 책임에 관해 서로 다른 설명을 내놓았다. 공개된 주장만으로 어느 한쪽의 설명을 확정된 원인으로 채택하기는 어렵다. 거래소와 공급업체가 각각 보유한 로그, 승인 기록, 시스템 변경 이력을 함께 조사할 수 있어야 전체 경로를 재구성할 수 있기 때문이다. 외주 계약에는 서비스 제공 범위뿐 아니라 사고 통보, 증거 보존, 공동 조사에 관한 의무도 명시돼야 한다.
2026년 10월 29일 UTC 기준으로 발생한 바이낸스(Binance) 사건은 초기 발표를 최종 결론으로 받아들이지 말아야 한다는 점을 보여준다. 회사는 핫월렛의 무단 출금을 확인했지만, 처음 의심한 노트북 침해 외에 추가 침해 지점을 발견했다고 밝혔다. 당시 공개 내용에서 개인키 유출 증거를 찾지 못했다는 설명은 개인키가 어떤 방식으로도 노출되지 않았다는 최종 입증과 다르다. 노트북이 침해됐는지와 별개로, 공격자의 요청이 어떤 권한으로 출금 시스템에 도달했고 어떤 검증을 통과했는지는 추가로 밝혀져야 한다.
이 사례들을 살펴보면 하나의 보안 제품이나 지갑 방식에 대한 건으로 단순화하기 어렵고, 내부 접근과 출금 권한을 분리하고, 승인자의 실질적인 독립성을 확보하며, 공급업체가 침해돼도 거래의 내용을 별도로 검증할 수 있어야 한다. 그와 동시에 한 번의 통제 실패로 이동할 수 있는 자산 규모를 제한해야 한다.
사고 분석의 목적은 최초 침입 지점을 찾는 데서 끝나서는 안되며, 침입이 자산 탈취로 이어지고 손실이 커지는 동안, 어느 통제가 작동하지 않았는지를 밝혀야 한다. 즉 이미 침해가 될 것이라는 것을 전제로 피해를 최소화할 수 있는 방안에 대해 더 많은 연구가 필요하다.
피해액과 사고 건수는 별개의 문제이다
산업 통계는 반복되는 실패의 규모를 보여주지만, 거래소가 해킹 당하는 원인을 정확한 백분율로 나눠주는 자료는 드물다. 거래소, 수탁회사, 탈중앙화 금융 프로토콜, 개인 지갑을 함께 관찰하는 보고서가 많기 때문이다. 탈중앙화 금융, 즉 DeFi는 스마트계약으로 교환이나 대출 같은 기능을 수행하는 서비스를 가리킨다. 이 서비스의 코드 오류와 거래소 직원의 계정 탈취를 하나의 모집단으로 묶으면 분석 목적부터 달라진다.
체인널리시스(Chainalysis)가 2024년 12월 19일 공개한 집계는 약 22억 달러(한화 약 3조 360억원)와 303건의 해킹을 제시했고, 개인키 침해에 배정된 피해액 비중을 43.8%로 계산했다. 이는 해당 시점의 암호화폐 플랫폼 자료에서 도난 금액을 기준으로 산출한 비율이다. 거래소의 43.8%가 비밀번호 유출로 해킹됐다는 뜻도, 모든 사고의 43.8%가 같은 경로로 시작됐다는 뜻도 아니다. 발간 시점이 연말 이전이므로 이를 임의로 확정된 연간 전수조사로 바꿔 읽어서도 안 된다.
같은 기관의 2025년 12월 18일 분석은 그해 1월부터 12월 초까지 34억 달러(한화 약 4조 5,349억원) 이상이 탈취됐다고 밝혔다. 특히 상위 세 사건이 서비스 제공자 관련 손실의 69%를 차지했다. 여기서 69%의 분모는 개인 지갑 피해까지 포함한 전체 피해액과 같지 않다. 이 보고서는 개인 지갑에서 관찰한 약 15만8000건의 피해와 약 8만 명의 피해자도 별도로 제시했다. 이 숫자를 플랫폼 해킹 건수에 그대로 더하면 계정, 지갑, 기관이라는 서로 다른 집계 단위가 섞여 버린다.
2026년 상반기 자료는 빈도와 금액의 차이를 더 분명하게 드러낸다. TRM Labs는 해킹과 익스플로잇 207건, 약 9억7200만 달러(한화 약 1조 2,965억 원)의 피해를 집계했다. 자산을 통제하는 시스템과 인증정보, 서명 기반시설을 겨냥한 인프라 및 운영 침해는 건수로 약 15%였지만 피해액으로는 약 76%였다. 같은 기간 스마트계약 취약점 공격은 125건이었다.
더 넓은 Web3 보안사고를 집계한 서틱(CertiK)의 상반기 보고서는 344건과 약 13억1568만 달러(한화 약 1조 7,553억 원)를 기록했다. 공개 수치로 계산하면 지갑 침해는 33건으로 건수의 9.6%였지만 피해액의 33.8%를 차지했다. 코드 취약점은 204건으로 59.3%였으나 피해액 비중은 11.5%였다. 피싱은 63건, 건수의 18.3%와 피해액의 27.8%였다. 이 비율은 해당 보고서의 분류와 전체 사고를 분모로 계산한 값이며 거래소만의 비율이 아니다.
두 기관의 상반기 총액을 더하거나 평균을 내는 것도 한계가 있다. 포함하는 사건과 분류 방식이 다르며 동일 사건도 겹치기 때문이다. 지갑 침해라는 결과 중심 분류와 피싱이라는 접근 방식이 같은 표에 놓일 수도 있다. 공급망 침해로 시작된 사건이 다른 보고서에서는 서명 인프라 침해로 분류될 수도 있다. 비밀번호, 세션, 악성코드, 사회공학이 각각 몇 퍼센트의 거래소 해킹을 일으켰는지에 대해서는 신뢰할 만한 공개 분모가 없으면 숫자를 제시하기가 어려운 이유다.
대형 사건 하나가 기간 전체의 인상을 바꾸기도 한다. TRM의 2026년 10월 30일 누적 추정치는 약 87억 달러(한화 약 11조 6,467억 원)였으며, 이 가운데 바이낸스 사건 추정액 약 63억6000만 달러(한화 약 8조 5,141억 원)가 약 73%에 해당한다. 진행 중인 사건과 가격 평가에 따라 달라질 수 있는 잠정치이고, 다른 기관의 상반기 집계와 이어 붙일 수 없다. 그럼에도 한 번의 대형 탈취가 산업 전체의 통계를 바꿀 수 있다는 사실은 분명하게 알 수 있다. 평균 피해액만 보고 준비금 노출이나 대응 예산을 정하면 가장 감당하기 어려운 상황을 과소평가할 수 있다.
또한 신고되지 않은 손실, 아직 발견되지 않은 침입, 이후에 밝혀진 관련 사건이 존재한다. 공개자료가 상세한 사고만 모으면 원인이 잘 알려진 유형의 비중이 과장될 수 있다. 좋은 통계에는 미확정 원인과 누락 가능성도 표시돼야 한다. 전체 건수와 피해액뿐 아니라 상위 사건 집중도, 중간값, 기관이 실제로 노출한 자산 규모를 함께 봐야 방어 역량의 변화를 논할 수 있다.
개인키를 훔치지 않아도 돈은 움직인다
지갑은 동전을 담아두는 파일과 다르다. 자산의 소유와 이동은 블록체인에 기록되며, 지갑은 그 자산을 다룰 수 있는 키와 거래 기능을 제공한다. 개인키는 거래에 디지털 서명을 만드는 비밀값이다. 일반적인 단일 키 지갑에서는 이를 가진 사람이 자산을 이전할 수 있다. 시드 문구는 일부 지갑에서 여러 키를 복구하는 데 사용하는 단어 묶음으로, 단순한 로그인 비밀번호처럼 생각해서는 안 된다. 복구 수단이 노출되면 새 기기에서 같은 자산 통제 권한을 되살릴 수 있다.
수탁 방식에서는 거래소나 수탁기관이 고객을 대신해 키와 이전 절차를 관리한다. 고객 화면에 보이는 잔액과 실제 블록체인 주소별 보유량은 별도의 장부일 수 있다. 따라서 고객 로그인 보안, 내부 장부의 정확성, 수탁 자산을 실제로 움직이는 권한을 각각 검증해야 한다. 고객 계정이 안전하더라도 기관의 공용 지갑이 침해될 수 있고, 지갑의 키가 안전해도 내부 장부가 잘못된 출금 요청을 만들 수 있다.
핫월렛은 온라인 시스템을 통해 신속하게 자산을 이전하도록 운영되고, 콜드월렛은 키나 서명 환경을 온라인 활동에서 격리해 노출을 줄인다. 그러나 콜드월렛에서 자산을 꺼내려면 거래 내용을 작성하고 검토하고 서명하는 절차가 필요하다. 인터넷에서 분리된 장치가 잘못 작성된 요청에 서명한다면 키를 온라인에 복사하지 않고도 손실이 발생할 수 있다. 콜드라는 이름보다 거래가 만들어져 최종 실행되기까지의 경계를 확인해야 하는 이유다.
다중서명은 여러 키 가운데 정해진 수 이상의 서명을 요구하는 방식이다. 다자간 연산인 MPC를 활용한 임계서명은 여러 참여자가 나누어 가진 비밀 정보로 공동 계산을 수행해 서명을 만든다. 정상적인 설계에서는 완전한 개인키를 한곳에 재구성하지 않고도 서명이 가능하다. HSM이라는 하드웨어 보안 모듈이나 하드웨어 지갑은 키를 보호된 장치 안에서 사용하게 해 추출 위험을 줄인다. 각각 유용하지만, 키를 지키는 기능과 서명할 거래의 정당성을 판단하는 기능은 구별해야 한다.
바이비트 조사에 참여한 시그니아(Sygnia)의 공개 분석에 따르면 Safe 개발자의 컴퓨터 침해 뒤 클라우드 접근 토큰이 악용됐고, 지갑 웹 화면에 제공되는 자바스크립트가 변경됐다. 변조 코드는 특정 바이비트 지갑을 겨냥해 거래를 조작했다. 최초 단말 침해에 사회공학이 사용됐다는 부분은 가능성이 높은 경로로 설명됐으며, 공개되지 않은 내부 활동도 남아 있었다. 이 사건을 암호 알고리즘이 깨졌다고 설명하면 실제로 훼손된 신뢰 경로를 놓친다.
여러 승인자가 같은 공급업체의 화면과 같은 거래 작성 서비스를 사용하면 공통된 오류를 확인하고도 서로 동의했다고 믿을 수 있다. 승인자의 수가 늘어도 판단 근거가 하나라면 독립적인 검증은 늘지 않는다. 거래의 목적지와 금액만 볼 것이 아니라 자산 종류, 네트워크, 호출되는 기능, 서명 이후의 지갑 통제 권한 변화까지 확인해야 하는 이유다. 특히 소유자 교체나 계약 업그레이드는 즉시 송금이 없더라도 이후 전체 자산을 위험에 놓을 수 있다.
복구 절차도 같은 원칙을 따라야 한다. 평소에는 여러 승인자가 필요하지만 관리자 한 명이 복구를 통해 승인자를 모두 바꿀 수 있다면, 공격자는 그 예외 경로를 노릴 수 있다. MPC의 키 조각이 서로 다른 서버에 있어도 동일한 클라우드 관리자나 백업 계정이 전부를 통제하면 분산 효과가 줄어든다. 장비 수와 서명 수를 세는 점검에서 실제로 공유하는 권한과 실패 지점을 찾는 점검으로 바꿔야 한다.
평범한 IT 침해가 자금 사고로 번진다
암호화폐 기업도 이메일을 사용하고, 직원을 채용하며, 원격접속과 클라우드로 업무를 수행한다. 공격자는 이 익숙한 환경을 통과해 자산에 접근할 수 있다. 미국 연방수사국(FBI)는 2024년 경보에서 직원의 경력과 관심사를 조사한 뒤 채용이나 투자 제안을 가장해 신뢰를 쌓고 악성코드를 실행시키는 활동을 설명했다. 기술을 잘 아는 직원도 목표가 될 수 있다는 점에 주목해야 한다. 직원에게 의심스러운 메시지를 잘 구별하라고 교육하는 것만으로 해결책이 되기 어려운 이유다.
정보탈취형 악성코드인 인포스틸러는 비밀번호뿐 아니라 브라우저 세션, 인증 토큰, 지갑 관련 정보, 개발 환경의 비밀값을 노릴 수 있다. 비밀번호는 사용자를 인증하는 한 수단이고, 세션은 인증을 마친 상태를 이어주는 정보다. 이미 인증된 세션이 탈취되거나 감염된 단말에서 그대로 악용되면, 공격자가 처음부터 비밀번호와 추가 인증을 모두 통과하지 않아도 되는 경우가 있다. 따라서 비밀번호 변경이 단말 격리와 세션 폐기, 별도 API 자격증명 회수를 대신하지 못한다.
API는 프로그램끼리 기능을 요청하는 통로다. 그 자격증명이 조회만 허용하는지, 거래나 출금까지 허용하는지에 따라 피해 가능성이 달라진다. 사람이 로그인하지 않는 서비스 계정도 실제로는 강력한 신원이다. 개발자의 노트북에 저장된 토큰이 운영 서버를 변경할 수 있고, 그 서버가 출금 요청을 만들 수 있다면 개발 환경 침해가 곧 자금 위험으로 이어질 수 있다. 도난당한 정보가 무엇인지보다 그 정보로 어디까지 갈 수 있는지를 확인해야 한다.
단말 탐지 및 대응 체계는 악성코드 실행과 비정상 행위를 발견하고 감염 기기를 격리하는 데 필요하다. 하지만 모든 공격을 탐지할 수는 없을 것이고, 이미 허용된 관리 도구나 정상 계정이 악용되는 상황에는 다른 증거가 필요하다. 단말의 실행 기록, 계정과 세션의 변화, 클라우드 권한 부여, 출금 요청과 서명 기록을 연결해야 한다. 서로 다른 팀의 경보가 같은 공격의 연속 단계인지 알 수 있어야 대응도 빨라진다.
내부자의 정상 권한도 위험을 만들 수 있다. 코인베이스(Coinbase)는 2025년 5월 공시에서 공격자가 고객지원 인력에게 돈을 주고 업무상 접근 가능한 정보를 수집한 것으로 보인다고 밝혔다. 회사는 비밀번호와 개인키가 침해되지 않았고 해당 인력이 고객 자금에 직접 접근할 수 없었다고 설명했다. 그러나 유출 정보는 고객을 속여 송금을 유도하는 데 쓰일 수 있었다. 이는 거래소 수탁 지갑에서 직접 자산을 탈취한 사건과는 구별되지만, 데이터 접근 통제가 금전 피해와 연결된다는 점에서는 같은 관리 과제다.
외주 직원과 협력사에는 필요한 업무만 수행할 권한을 주고, 지원 상담에 필요하지 않은 전체 잔액이나 대규모 고객정보의 열람은 제한해야 한다. 퇴사자 접근을 차단할 때도 중앙 로그인 계정만 정지해서는 부족하다. 별도로 발급된 API 키, 패키지 배포 권한, 복구 코드, 장기 세션까지 소유자와 만료 조건을 관리해야 한다. 사람의 신뢰성과 시스템상 최소 권한은 서로 대체할 수 없는 통제다.
안전한 코드와 안전한 배포는 다르다
코드 취약점은 여전히 독립적인 공격 경로다. 스마트계약은 정해진 조건에 따라 자산을 처리하는 프로그램이다. 접근 권한 검사나 상태 변경에 오류가 있으면 운영자 계정을 탈취하지 않고도 예상하지 못한 자산 이동이 발생할 수 있다. 거래소의 일반 애플리케이션 역시 입금 확인, 내부 잔액 반영, 출금 승인 사이의 논리 오류로 손실을 낼 수 있다. 블록체인이 올바르게 거래를 기록했다고 해서 그 거래를 만든 업무 논리까지 올바른 것은 아니다.
위에서 언급한 2022년 비에스씨 토큰 허브(BSC Token Hub) 사건에서는 브리지의 증명 검증 오류가 이용됐다. 다른 체인에서 유효한 사건이 발생했다는 증명을 확인해야 하는 과정이 잘못돼 부정한 토큰 생성이 가능했다. 거래소 직원의 비밀번호 관리와는 다른 유형의 문제다. 브리지 이용에는 연결된 체인의 보안뿐 아니라 증명 방식, 운영자와 검증자 권한, 업그레이드 과정의 위험도 포함된다. 이 사건을 바이낸스 거래소 고객 계정 해킹이라고 부르면 책임 구조와 방어 대상을 모두 잘못 짚게 된다.
안전하다고 검토한 코드를 배포하는 권한이 탈취될 수도 있다. 레져(Ledger)의 2023년 12월 사고 보고서는 퇴사자의 패키지 배포 서비스 접근 권한이 제대로 회수되지 않았고, 피싱으로 확보한 접근이 악성 커넥트 킷(Connect Kit) 배포에 이용됐다고 설명한다. 해당 구성요소를 불러오는 애플리케이션의 사용자들이 악성 거래에 서명하도록 유도됐다. 공급업체의 하드웨어에서 암호키를 추출해야만 가능한 공격이 아니었다.
조직은 배포된 코드의 결함과 코드를 변경할 수 있는 사람이나 시스템의 침해를 별도로 점검해야 한다. 외부 라이브러리, 빌드 서버, 지속적 통합 및 배포를 수행하는 CI/CD 환경, 배포용 비밀값, 웹 화면을 전달하는 저장소가 모두 검토 대상이다. 코드 변경 승인과 실제 배포를 분리하고, 검토한 결과물과 운영 중인 결과물이 같은지 확인하며, 공급업체의 변경이 서명 화면에 즉시 반영되는 구조도 통제해야 한다. 이 과정은 NIST의 안전한 소프트웨어 개발 프레임워크가 강조하는 개발 생애주기 관리와도 맞닿아 있다.
보안 감사와 침투시험은 결함을 찾는 중요한 수단이지만, 특정 시점과 범위에서 수행한 검토다. 이더리움의 개발자 문서도 스마트계약 감사가 모든 오류를 찾아내는 보장은 아니라고 설명하고 있다. 감사 이후 추가된 기능, 새로운 의존성, 변경된 운영 권한은 별도의 위험을 만든다. 인증서 역시 어느 조직과 시스템, 기간과 통제 범위를 다뤘는지 확인해야 한다. 계약 코드가 검토됐다는 사실을 개발자 단말이나 실제 출금 절차까지 검증됐다는 의미로 확대해서는 안 된다.
빠른 이전이 회수까지 보장하지 않는다
암호화폐에서는 자산을 이동시키는 명령이 유효한 서명과 네트워크 규칙을 충족하면 시간대와 국경을 넘어 처리될 수 있다. 전통적인 업무 승인이나 은행의 영업시간을 기다리지 않는 경로가 많고, 충분히 확정된 거래를 피해자의 요청만으로 취소할 보편적 중앙 창구도 없다. 침입이 송금 권한으로 바뀌는 순간 대응에 허용되는 시간이 짧아질 수 있다. 대규모 데이터 유출에서 정보의 악용이 나중에 발생하는 경우와 달리, 자금 통제권의 상실 자체가 즉시 재무 손실로 이어질 수 있다.
물론 암호화폐를 단순히 자금세탁 수단으로만 볼 수는 없다. 자산 이동에도 네트워크 수수료와 혼잡, 블록체인별 처리 속도 등의 제약이 따른다. 다른 자산으로 교환할 때는 거래 규모를 감당할 유동성이 필요하며, 대규모 매매는 가격에도 영향을 준다.
거래소나 중개자는 의심스러운 입금과 계정의 이용을 제한할 수 있고, 일부 스테이블코인 발행사는 해당 토큰을 동결할 권한을 가진다. 반면 비트코인과 이더리움 네트워크의 암호화폐인 이더(ETH)에는 중앙 발행사가 특정 주소의 자산을 직접 동결하는 기능이 없다. 다만 이들 자산도 거래소에 보관돼 있다면 해당 거래소가 계정이나 출금을 제한할 수 있다.
자산을 다른 주소로 이전하는 행위, 출처를 숨기려는 행위, 다른 자산으로 교환하는 행위, 법정화폐나 실제로 사용할 수 있는 재산으로 바꾸는 행위도 구분해야 한다. 블록체인에서 큰 금액이 이동했다는 관찰만으로 공격자가 같은 금액을 자유롭게 현금화했다고 결론 내릴 수 없다. 반대로 일부 자금이 움직이지 않았다는 이유로 피해기관이 통제권을 되찾았다고 볼 수도 없다.
추적 가능성과 회수 가능성 사이에는 기술과 법률의 갭이 있다. 공개 장부는 주소 사이의 이동을 보여줄 수 있지만 그 주소를 누가 통제하는지, 어느 관할권에서 강제 조치를 할 수 있는지, 회수에 필요한 키를 확보할 수 있는지는 별도 문제다. 비트파이넥스 사건에서 미국 수사기관은 2022년 온라인 계정에 대한 적법한 수색을 통해 개인키에 접근하고 9만4000 BTC 이상을 압수했다고 밝혔다. 추적에 더해 계정 조사와 법적 권한, 실제 자산 통제 수단이 필요했던 것이다.
당시 압수 자산의 평가는 36억 달러(한화 약 4조 8,114억 원)를 넘었지만, 이를 2016년 사건의 최초 피해액으로 쓰면 가격 상승을 탈취 규모와 혼동한 것이 된다. 동결도 반환과 다르다. 동결은 처분을 제한한 상태이며 반환에는 권리관계 확인과 법적 절차가 필요할 수 있다. 회사가 자기 자금으로 고객 손실을 보전하는 행위도 도난 자산의 회수와 다르다. 사고 공지는 총 탈취량, 평가 시점, 동결량, 실제 회수량, 고객 보전액을 각각 밝혀야 한다.
먼저 한 번에 잃을 수 있는 금액을 줄여라
대응의 첫 순서는 조직이 감당할 수 있는 손실의 상한을 정하고 실제 실행 계층에서 제한하는 일이다. 대규모 구조 개편이 끝날 때까지 모든 자산을 같은 위험에 놓아둘 필요는 없다. 핫월렛에는 운영에 필요한 유동성만 배정하고, 보관 목적의 준비금과 출금 처리 자산을 분리해야 한다. 하나의 계정, 서명 서비스, 클라우드 관리 영역이 침해됐을 때 동시에 노출되는 금액을 계산해 경영진이 승인하도록 해야 한다.
출금 한도는 건별 금액만으로 충분하지 않다. 짧은 시간에 반복되는 거래의 누적 금액과 여러 지갑을 통한 동시 유출도 제한해야 한다. 목적지 허용목록을 운영하고 새 주소 등록, 서명자 교체, 한도 상향, 계약 업그레이드처럼 위험을 크게 바꾸는 작업에는 추가 승인과 대기시간을 적용할 수 있다. 다만 공격자가 같은 관리자 권한으로 한도를 바꾸고 바로 출금할 수 있다면 이 장치는 형식에 머문다. 제한 자체를 변경하는 권한에도 별도의 통제가 필요하다.
준비금이 자동으로 핫월렛에 보충되는 구조라면 지갑 잔액 한도만 낮춰도 전체 손실 상한은 낮아지지 않을 수 있다. 자동 보충의 누적 한도와 비정상 출금 시 중단 조건까지 연결해야 한다. 고객 화면이나 일반 출금 API에만 적용한 제한을 내부 관리 경로가 우회하지 못하는지도 확인해야 한다. 이 점검은 새로운 장비를 도입하기 전에도 시작할 수 있으며, 결과가 자산 배치와 운영 정책으로 이어져야 한다.
이와 동시에 비상 정지와 연락 체계를 실제로 연습해야 한다. 야간이나 휴일에 누가 출금을 중단할 수 있는지, 어떤 증거를 보존할지, 공급업체와 발행사 및 거래소에 어떤 경로로 연락할지 미리 정해야 한다. 계정 잠금만으로 충분한지, 별도 세션과 서비스 토큰, 키, 위임 권한까지 회수해야 하는지도 사고 유형별로 다르다. 재개 결정은 웹사이트가 다시 작동하는지가 아니라 공격자의 자산 이전 권한이 제거됐는지를 기준으로 내려야 한다.
즉시 제한은 비용을 동반한다. 출금 지연은 고객 불편과 유동성 관리 부담을 만들고, 지나치게 민감한 자동 차단은 정상 업무를 멈출 수 있다. 따라서 모든 거래에 같은 마찰을 주기보다 평소의 소액 반복 거래와 신규 목적지의 고액 거래, 지갑 통제권 변경을 구별해야 한다. 높은 위험에 더 강한 검증을 요구하고, 비상 예외는 승인자와 사유, 유효기간을 남겨야 한다. 고객 편의를 이유로 예외가 상시 경로가 되면 제한은 다시 무력해진다.
그다음 우선순위는 거래 작성과 검증, 승인의 독립성이다. 거래를 만드는 시스템이 제공한 요약 화면을 다시 읽는 것만으로는 독립 검증이 되지 않는다. 실제 서명 대상 데이터를 별도 경로에서 해석하고, 예정된 자금 이동 및 지갑 상태 변화와 일치하는지 확인해야 한다. 고액 거래에는 신뢰할 수 있는 별도 장치나 검증 환경을 적용하고, 담당자가 같은 소프트웨어 오류에 함께 노출되지 않도록 설계해야 한다.
거래 시뮬레이션도 도움이 되지만 결과의 전제가 되는 체인 상태와 데이터 제공자가 틀리면 판단이 잘못될 수 있다. 시뮬레이션 결과와 실제 서명 데이터의 일치 여부를 확인하고, 이해할 수 없는 계약 호출이나 통제권 변경은 승인하지 않는 절차가 필요하다. HSM이나 MPC를 도입할 때도 지원하는 체인, 권한 변경 정책, 백업과 복구, 관리자 접근을 함께 평가해야 한다. 특정 기술의 이름만으로 이 절차의 안전성을 판정할 수 없기 때문이다.
권한과 책임을 함께 다시 설계하라
중기 과제는 직원과 시스템의 신원을 자산 권한에 맞게 재설계하는 것이다. 특권 계정에는 피싱 저항성이 있는 인증을 우선 적용하고, 상시 관리자 권한 대신 필요한 업무와 시간에만 권한을 부여하는 방식을 검토해야 한다.
미국 국립표준기술연구소(NIST)는 사용자가 인증 코드를 직접 옮겨 입력하는 일회용 비밀번호(OTP) 방식을 피싱 저항형 인증으로 보지 않는다. 공격자가 가짜 로그인 화면에서 코드를 입력하도록 유도한 뒤 실제 서비스에 전달할 수 있기 때문이다. 다만 피싱에 강한 인증 방식을 도입하더라도 이미 감염된 단말, 탈취된 로그인 세션, 취약한 계정 복구 절차까지 자동으로 보호되는 것은 아니다.
서명용 단말은 이메일과 채용 과제 실행, 일반 웹 검색, 개발 실험을 수행하는 단말과 분리해야 한다. 외부 프로젝트와 의존성은 운영 비밀값이 없는 격리된 환경에서 검토하고, 개발 환경에서 출금 처리 영역으로 이어지는 네트워크와 클라우드 권한을 줄여야 한다. 단말 보호, 신원 관리, 특권 통제, 망 분리, 거래 제한은 서로를 보완한다. 어느 하나의 구매나 인증으로 나머지 책임이 사라지지는 않는다.
장기적으로는 공급업체와 수탁기관의 책임을 업무 단위로 명확히 해야 한다. 누가 키를 보관하고 누가 거래를 작성하며 누가 정책을 바꿀 수 있는지, 문제가 생기면 누가 로그를 제공하고 고객에게 설명할지 계약에 담아야 한다. 와지랙스(WazirX) 사건에서는 거래소와 지갑 서비스 업체가 공개한 설명이 상충했다. 어느 회사의 설명을 최종 원인으로 단정할 수 없는 상황은 수탁 체계 전체를 함께 조사할 수 있는 증거와 접근권이 왜 필요한지를 보여준다.
하청과 재하청을 포함한 공급업체 점검에서는 설문 응답보다 실제 권한을 확인해야 한다. 서비스를 위탁한 기관은 공급업체가 침해됐을 때 자기 조직의 어떤 통제가 남는지 설명할 수 있어야 한다. 공통 클라우드 계정, 동일한 인증 공급자, 하나의 업데이트 경로가 복수 승인자를 동시에 무력화할 수 있는지도 점검해야 한다. 로그 제공과 사고 통보, 공동 조사, 서비스 중단 또는 공급업체 변경에 관한 권리를 확보해야 대응이 계약 해석 단계에서 멈추지 않는다.
고객 자산 분리와 정확한 장부도 보안 정책의 일부다. 고객 자산과 회사 자산의 법적 소유권 및 회계 기록을 명확히 구분하고, 고객별 채무와 실제 보유량을 자주 대조해야 한다. 주소를 나눠 보관하더라도 동일한 운영 권한이 모든 자산을 움직일 수 있다면 사이버 위험은 여전히 집중돼 있다. 반대로 키를 잘 보호해도 회사가 고객 자산을 임의로 사용하는 구조라면 보관 책임이 충족되지 않는다. 해킹과 경영진의 자산 유용은 구분하면서 두 위험에 필요한 통제를 함께 갖춰야 한다.
거래소가 고객 자산을 실제로 보유하고 있는지 확인하는 방법으로 ‘준비금 증명(Proof of Reserves)’이 활용된다. 쉽게 말해, 고객에게 돌려줘야 할 암호화폐에 상응하는 자산이 거래소에 있는지를 보여주려는 것이다. 예를 들어 고객 계좌에 기록된 비트코인이 총 100개라면, 거래소가 그만큼의 비트코인을 실제로 보유하고 있는지 확인하는 방식이다. 다만 보고서마다 확인하는 자산과 고객 잔액의 범위, 검증 방법이 다르므로 무엇을 확인했는지부터 살펴봐야 한다.
준비금 증명은 특정 시점의 자산 보유 현황을 파악하는 데 도움이 되지만, 그것만으로 거래소의 재무 건전성과 보안을 모두 판단할 수는 없다. 확인된 자산이 일시적으로 빌린 것이거나 다른 채무의 담보로 잡혀 있을 수 있고, 보고서에 드러나지 않은 부채가 있을 수도 있다. 확인 당시 보유했던 자산이 이후에도 그대로 남아 있는지, 해킹이나 내부자의 부정한 출금을 막을 통제가 작동하는지도 별개의 문제다.
미국 상장기업회계감독위원회(PCAOB)의 투자자보호 담당 부서는 2023년 주의문에서 준비금 보고서가 재무제표 감사와 같지 않으며, 내부 통제와 지배구조의 효과를 보증하지 않는다고 설명했다. 결국 얼마를 보유하고 있는지, 고객에게 돌려줄 능력이 있는지, 그 자산을 안전하게 지킬 수 있는지는 각각 확인해야 한다.
감독 정책 역시 특정 보안 제품을 도입했거나 자산의 일정 비율을 콜드월렛에 보관한다는 사실만으로 안전을 판단해서는 안 된다. 누가 자산 이전을 요청하고 승인하는지, 외부 공급업체가 어떤 권한을 갖는지, 사고가 발생하면 출금을 얼마나 빨리 중단할 수 있는지까지 살펴봐야 한다. 국제증권감독기구(IOSCO)의 2023년 권고도 고객 자산의 보관과 보호, 운영 및 기술 위험, 국경을 넘는 감독 협력을 함께 다룬다. 이 권고가 모든 나라에서 동일하게 시행되는 법률은 아니지만, 감독 체계를 설계할 때 참고할 공통 기준으로 활용할 수 있다.
사고 공시에는 공격자가 처음 침입한 경로, 침입 후 수행한 행동, 실제 자산을 이전한 방식, 손실이 커진 원인을 구분해 설명하는 공통 형식이 필요하다. 초기에는 확인되지 않은 항목을 미확정으로 표시하고, 조사가 진행되면 내용을 보완하도록 해야 한다. 원인이 밝혀지기 전에 단정적인 설명을 요구하면 잘못된 초기 가설이 공식 결론처럼 굳어질 수 있다. 반대로 수사를 이유로 모든 설명을 무기한 미루지 않도록 후속 보고와 독립 검증 절차도 마련해야 한다. 수사나 보안에 민감한 기술 정보는 보호하되, 고객과 감독기관이 피해 범위와 남아 있는 위험을 판단할 정보는 제공해야 한다.
국경을 넘는 대응을 위해서는 사고 발생 전부터 연락망과 증거 보존 방식을 정해둬야 한다. 발행사나 거래소가 동결할 수 있는 자산과 직접 통제할 수 없는 자산을 구별하고, 긴급 동결 요청에 필요한 근거와 잘못된 동결을 바로잡는 절차도 준비해야 한다. 자금세탁 방지 담당 조직과 사이버 대응팀이 정보를 공유하되, 의심스러운 주소라는 판단을 범죄 수익이 확정됐다는 의미로 취급해서는 안 된다. 신속한 조치와 충분한 근거, 명확한 책임이 함께 갖춰져야 실제 자산 회수와 지속적인 국제 협력으로 이어질 수 있다.
경영진은 보안이 실제로 작동하는지를 지속적으로 확인할 필요가 있다
이런 변화에는 비용과 전문 인력이 필요하다. 독립적인 서명 검증, 별도 단말, 교대 근무, 공급업체 조사권, 복구 훈련은 운영을 복잡하게 만든다. 소규모 조직이 모든 기능을 내부에서 구축할 필요는 없지만, 위탁 이후에도 남는 위험을 이해하고 책임질 역량은 필요하다. 새로운 보안 구조를 배포하기 전에 정상 출금과 장애 복구를 함께 시험해야 현장에서 우회 절차가 생기는 것도 줄일 수 있다.
경영진에게 필요한 보고는 설치된 보안 제품 수보다 구체적이어야 한다. 한 관리 계정이 침해되면 얼마가 노출되는지, 서명 화면이 조작돼도 다른 경로에서 알아낼 수 있는지, 야간에 출금을 실제로 멈추는 데 얼마나 걸리는지를 확인해야 한다. 모의훈련에서는 공급업체 침해와 승인자 부재, 잘못된 경보, 복구 과정의 권한 남용까지 시험하고 발견된 문제의 개선 여부를 추적해야 한다. 경보를 많이 만들었다는 사실만으로 자산을 보호했다고 평가할 수 없다.
암호화폐 거래소의 대형 해킹은 새로운 기술의 실패와 오래된 기업 보안의 실패가 만나는 지점에서 반복된다. 암호키를 보호하고 코드를 검토하는 일에 더해, 사람이 믿는 화면과 시스템이 허용하는 권한, 자산을 한꺼번에 노출하는 운영 결정을 함께 다뤄야 한다. 한 직원이나 공급업체의 침해가 발생하더라도 다음 통제가 거래를 거부하고 손실을 제한하도록 만드는 것, 그리고 그 통제가 실제로 작동하는지 지속적으로 확인하는 것이 수탁 보안의 기준이 돼야 한다.
AI가 높이는 대형 해킹의 위험과 국가와 범죄조직이 거래소를 계속 노리는 이유
안타깝지만 가상자산 거래소를 향한 공격이 절대적으로 증가할 수 밖에 없다. 거래소에는 대규모 자산이 집중돼 있고, 공격자는 자산 이전 권한을 확보하면 국경과 영업시간의 제약을 적게 받으며 이를 이동시킬 수 있다. 탈취 이후의 추적과 동결, 현금화 과정에 장애물이 존재하더라도, 한 번의 성공으로 얻을 수 있는 수익은 지속적인 공격을 시도할 강한 유인이 된다. 여기에 국가 차원의 자금 확보 수요와 수익을 추구하는 범죄조직의 이해관계가 겹친다.
북한처럼 국제 제재 아래에서 외부 자금을 확보하려는 국가에 가상자산 탈취는 정권의 재원 조달 수단이다. 미국 재무부는 북한이 해커들에게 불법적인 방법으로 수익을 확보하도록 지시하며, 이러한 활동이 대량살상무기와 탄도미사일 프로그램의 자금 조달에 기여한다고 설명했다.
미국 연방수사국(FBI)도 2025년 바이비트(Bybit) 탈취 사건을 북한의 소행으로 지목했다. 모든 국가 배후 공격을 같은 동기로 설명할 수는 없지만, 북한의 사례는 거래소가 기업 차원의 금전 범죄를 넘어 국가가 지속적으로 인력과 자원을 투입하는 표적이 될 수 있음을 보여준다.
일반 사이버범죄 조직에도 거래소는 매력적인 표적이다. 범죄조직이 모든 기술과 기반시설을 직접 개발해야 하는 것은 아니다. 유럽형사경찰기구인 유로폴은 탈취 데이터와 범죄 도구, 사기 실행에 필요한 지식까지 거래되는 서비스형 범죄 시장을 설명했다. 다른 조직이 확보한 정보와 도구를 구매하거나 전문 인력과 역할을 나누면 공격 준비 부담을 줄일 수 있다. 이런 분업 구조는 범죄조직이 더 많은 대상을 동시에 노리고, 성공한 수법을 반복 적용하며 활동 규모를 확대하는 기반이 된다.
공격 수법의 학습과 확산도 경계해야 한다. 북한 배후 조직의 공격에서 드러난 위장 채용, 직원 계정과 세션 탈취, 공급업체를 통한 우회 침입은 다른 범죄조직이 연구하고 일부를 모방하거나 조합할 수 있는 방식이다. 정교한 국가 배후 공격 전체를 그대로 재현하려면 상당한 전문성과 준비가 필요하지만, 그중 취약한 조직에 통하는 일부 수법만 활용해도 피해를 일으킬 수 있다. 실제로 구글 위협분석팀은 일반적인 금전 목적 범죄 활동에서 사용되던 악성코드 전달 기법을 북한 배후 조직이 채택한 사례를 공개했다. 이는 수법의 확산이 한 방향으로만 진행되지 않음을 보여준다.
AI는 이러한 학습과 실행에 필요한 시간과 비용을 줄일 수 있다. 영국 국가사이버보안센터(NCSC)는 AI가 표적 정보 수집, 취약점 분석, 악성코드 작성과 사회공학 공격의 효율을 높이고, 취약점 공개부터 실제 악용까지의 시간을 더욱 단축할 것으로 평가했다. 거래소와 공급업체가 문제를 확인하고 보안 업데이트를 적용하는 동안 공격자는 더 많은 대상을 조사하고 공격 가능성을 시험할 수 있다는 뜻이다. 공격 성공률이 크게 높아지지 않더라도 같은 인력으로 시도할 수 있는 공격이 늘어나면, 방어가 취약한 조직이 피해를 볼 기회는 커진다.
AI의 역할은 공격 준비에만 머물지 않는다. 앤트로픽은 2026년 9월 보고서에서 사람이 목표를 정하고 주요 결과를 검토하는 동안 AI가 여러 공격 작업을 실행하거나 조정한 사례를 공개했다. 반복 작업과 단계 사이의 대기 시간이 줄어들면 방어자가 경보를 분석하는 동안 침해가 확대될 가능성이 커진다. 이미 자산 이전 권한이 노출된 거래소에서는 대응 시간의 차이가 손실 규모를 좌우할 수 있다.
사람을 속여 통제를 우회하는 시도도 더 설득력 있게 만들어지고 있다. 미국 연방수사국(FBI)는 범죄자들이 AI로 생성한 가짜 프로필과 복제 음성, 영상을 사기에 활용하고 있다고 설명하고 있다. 거래소에서는 이러한 기술이 채용 담당자나 공급업체 직원, 경영진을 사칭해 접근 권한을 얻거나 긴급 출금과 예외 승인을 요구하는 데 악용될 가능성을 고려해야 한다. 익숙한 얼굴과 목소리를 확인했다는 이유만으로 자산 이전을 승인해서는 안 된다. 상대방의 신원과 거래의 정당성을 기존에 확인된 별도의 경로에서 검증하는 절차가 필요하다.
국가의 지속적인 자금 확보 동기, 범죄조직의 분업과 수법 확산, AI에 따른 공격 비용 감소가 함께 작용한다는 점에서 방어가 뒤처질 경우 대형 피해가 반복될 가능성은 지극히 높다. 특히 빠른 출금과 운영 효율을 이유로 확인 절차를 줄이거나, 여러 지갑과 승인자를 하나의 관리 계정에 의존하게 만들면 공격자는 한 번의 침해로 더 큰 자산에 접근할 수 있다. 사고 건수와 별개로 총피해액이 커질 수 있는 이유다.
대응의 목표는 공격자를 모두 막겠다는 선언보다 구체적이어야 한다. AI를 탐지와 조사에 활용하면서도, 누적 출금 한도와 고위험 변경의 대기 시간을 적용하고 거래 생성과 검증을 분리해야 한다.
공급업체가 침해되더라도 독립적인 승인 통제가 남아 있어야 하며, 사고 발생 시 거래소와 발행사, 수사기관이 신속하게 협력할 수 있어야 한다. 경영진과 감독 당국이 확인해야 할 핵심은 한 번의 계정 침해나 잘못된 승인으로 얼마의 자산이 움직일 수 있고, 이를 실제로 얼마나 빨리 멈출 수 있는가이다. 국가와 범죄조직이 공격 역량을 축적하는 만큼, 거래소도 개별 사고의 복구를 넘어 같은 실패가 반복되지 않는 구조를 만들어야 한다.[끝]
- 다음글[영화] 인도네시아 호러영화 <건설현장 인신공양 (Tumbal Proyek)> 후기 26.09.29
댓글목록
등록된 댓글이 없습니다.
