해킹에 속수무책…수백억 털린 가상화폐 거래소 보안 '수면 위로'

코인레일 이어 빗썸도 350억원 피해…열흘 동안 '750억 원' 털려

대형 거래소 포함 국내 거래소 대부분 보안 구멍…대책 마련 시급

빗썸 홈페이지 갈무리 ⓒ빗썸

코인레일에 이어 국내 초대형 가상화폐(암호화폐)거래소 빗썸까지 해킹 공격에 수백억원 대 피해를 입은 것으로 드러나면서 국내 가상화폐 거래소 보안에 대한 우려가 확산되고 있다.

코인레일 이어 빗썸도 350억원 피해…지난해부터 해킹피해 잇따라

코인마켓캡 기준 전세계 6위 규모의 초대형 가상화폐거래소 빗썸은 20일 오전 9시 40분쯤 홈페이지 등을 통해 “지난(19일) 밤부터 새벽 사이에 약 350억원 규모의 일부 가상화폐가 탈취당했다”다고 공식 발표했다. 현재는 거래서비스 외에 가상화폐 입·출금 서비스가 전면 중단된 상태로, 한국인터넷진흥원(KISA)이 현장에 출동해 사고 원인 분석을 진행 중이다.

빗썸은 “현재 리플이 해킹 대상에 포함돼 있다는 사실을 확인했으며 그 외 가상화폐 유출 경로는 현재 파악 중”이라며 “피해는 회사 보유분에서 발생한 것인만큼 회사 손실로 잡힐 것”이라고 밝혔다. 빗썸 측은 이어 “그동안 고객자산의 70% 이상을 콜드월렛에 따로 보관해왔는데 최근 비정상적인 접근 시도가 급증하면서 지난 주말 이후 회원 자산 전부를 콜드월렛으로 이관하는 작업을 진행해 완료한 바 있다”고 설명했다.

이번 해킹은 중소형거래소인 코인레일이 국내 최대 규모인 400억원 상당의 코인을 도난당한지 불과 열흘 만에 이뤄졌다. 지난 10일 새벽 1시쯤 발생한 코인레일 해킹 사태는 거래소가 보유한 가상화폐 계좌에서 펀디엑스를 비롯해 9종의 가상화폐 36억 가량이 약 40분 가량에 걸쳐 인출되면서 발생했다. 이 사건 역시 경찰과 KISA 측이 사고 경위를 조사 중이다.

가상화폐는 당초 장부를 분산해 관리하는 기술인 ‘블록체인’을 기반으로 해 해킹이 불가능하다고 알려져 있지만 정작 가상화폐를 관리하는 거래소는 이같은 분산 기술을 적용받지 않고 있다. 실제로 가상화폐 거래 대부분 가상화폐를 개인 전자지갑이 아닌 거래소에 맡겨둔 상태로 원하는 금액만큼 사고파는 이른바 ‘중앙집중’ 방식이 적용되고 있어 온라인과 연결된 가상화폐 거래소 서버 등이 해커들의 주요 표적이 되고 있는 것이다.

대형 거래소 포함 국내 거래소 대부분 보안 구멍…대책 마련 시급

한편 이번 사고는 빗썸이 업계에서 손꼽히는 초대형 거래소라는 점 뿐 아니라 그동안 보안분야에 그 어느 곳보다 많은 공을 들여왔다는 점에서 업권 안팎의 충격이 더욱 크다. 빗썸은 올들어 업계 최초로 제1금융권에 적용 중인 통합보안 솔루션 ‘안랩 세이프 트랜잭션’을 도입했고 지난달에는 금융당국이 금융사에 권고하고 있는 정보보호 조항 ‘5.5.7 규정’을 자율 준수를 선포하기도 했다.

그러나 이같은 노력에도 불구하고 가상화폐 거래소의 보안 수준은 아직 제도권에 미치지는 못하고 있는 실정이다. 빗썸은 올해 공인정보보호체계(ISMS) 인증 의무대상에 지정됐으나 아직 인증은 받지 못한 것으로 알려졌다. 빗썸 뿐 아니라 현재 ISMS 인증을 획득한 가상화폐거래소는 전무하다. 한국인터넷진흥원 관계자는 “(빗썸이) 4월 초 신청해 예비점검을 나가보니 준비 과정에서 미흡한 점이 발견돼 반려한 상황”이라며 “현재는 해당 부분을 보완하는 단계인 것으로 안다”고 밝혔다.

현재 거래소에 대한 법적규제 장치가 전무한 상태에서 업체들이 자발적으로 보안 유지에 나서야 하는 점 역시 보안에 취약할 수밖에 없는 주 요인으로 꼽히고 있다. 보안솔루션 구축부터 상시 관제, 서버관리 및 보호, 외부 컨설팅 등을 수행하는 과정에서 대다수 거래소들이 이 비용을 감당하기 어렵다는 점을 감안하면 대형 거래소는 물론이고 중소형 가상화폐 거래소 역시 언제든 해킹 위험에 노출될 수 밖에 없다는 것이다.

업계의 한 관계자는 “현재 협회 차원에서는 인터넷에서 차단된 콜드월렛에 가상화폐의 70%를 옮겨두도록 하는 등 자율규제를 통한 보안성 강화에 초점을 맞추고 있지만 이 역시 강제성을 띄지 않고 있다는 점에서 한계가 있다”며 “가상화폐 거래소에 대한 보안 규제 강화나 피해자 보상 등에 대한 장치 마련을 위해서는 한시라도 빨리 가상화폐의 성격을 정의하고 제도화에 나서야 하는데 이에 대한 정부 움직임은 여전히 조심스러워 업계나 관계기관 역시 난처한 상황”이라고 말했다.