발행된 페이지
암호화폐 거래소 해킹
암호화폐 거래소 해킹은 가상자산 거래 플랫폼의 시스템 허점이나 관리상 취약점을 노려 중앙화된 서버에 보관된 암호화폐나 이용자의 개인정보를 탈취하는 사이버 공격 행위를 의미한다.
암호화폐 거래소 해킹
암호화폐 거래소 해킹은 가상자산 거래 플랫폼의 시스템 허점이나 관리상 취약점을 노려 중앙화된 서버에 보관된 암호화폐나 이용자의 개인정보를 탈취하는 사이버 공격 행위를 의미한다.
Meng, Jonathan; Fu, Feng · CC BY 4.0 · Understanding gambling behaviour and risk attitudes using cryptocurrency-based casino blockchain data.pdf
암호화폐 거래소 해킹은 가상자산 거래 플랫폼의 시스템 허점이나 관리상 취약점을 노려 중앙화된 서버에 보관된 암호화폐나 이용자의 개인정보를 탈취하는 사이버 공격 행위를 의미한다.
1. 개요
블록체인 기술 자체는 위변조가 불가능에 가까울 정도로 높은 보안성을 자랑하지만, 이를 거래하는 주체인 거래소는 결국 기존의 웹/앱 Server-Client 구조를 따르기 때문에 해킹의 표적이 된다. 쉽게 말해 '털리지 않는 금고'를 다루는 '허술한 경비원'을 공격하는 셈이다.[1]비트코인 블록체인 자체는 단 한 번도 뚫린 적이 없다는 점에 착안하여, 블록체인 업계에서는 거래소 해킹이 발생할 때마다 철통 보안의 은행 본점이 아니라 길가에 있는 경비실이 털린 꼴이라며 비꼬는 비유로 자주 쓰인다. 암호화폐의 특성상 한번 송금된 자산은 거래 취소나 추적이 극도로 어렵고, 거래소가 보유한 자금의 규모가 막대하다 보니 블랙햇 해커들에게는 그야말로 노다지나 다름없는 대상이다. 성공할 경우 단 한 번의 공격으로 수천억 원대의 대박을 터뜨릴 수 있어 국가 주도의 해킹 집단까지 가담하는 거대한 범죄 시장이 형성되어 있다.
2. 주요 공격 유형
거래소 공격은 단순히 시스템망을 뚫는 것에 그치지 않고 인간의 심리적 취약점을 이용하는 등 매우 다채로운 방식으로 수행된다. 가장 대표적인 것은 거래소 임직원을 타깃으로 한 스피어 피싱이다. 이메일에 악성코드가 첨부된 문서나 링크를 담아 보낸 뒤, 내부망 접근 권한을 가진 직원의 PC를 감염시켜 네트워크 내부로 침투하는 방식이다.
시스템 자체의 설계 오류나 소프트웨어의 zero-day 취약점을 노리는 직접적인 침입도 자주 일어난다. 웹 애플리케이션의 취약점을 이용해 권한을 획득하거나, 거래소의 API 키 관리 소홀을 노려 자금을 유출시킨다.
또한 핫 월렛(Hot Wallet)과 쿨 월렛(Cold Wallet) 간의 연동 시스템이나 프라이빗 키(Private Key) 관리 서버를 직접적으로 타깃팅하기도 한다. 지갑의 서명 권한을 탈취하는 순간, 해커는 정당한 관리자인 척 자금을 자신의 지갑으로 이체시킬 수 있게 된다.
최근에는 디파이(DeFi) 서비스나 브릿지(Bridge) 시스템의 스마트 컨트랙트 허점을 노리는 이른바 '플래시론 공격'이나 코드 로직 허점 공격도 광범위한 의미의 거래소 해킹 범주에 포함되고 있다.
3. 대표적인 사건
암호화폐 잔혹사에서 가장 상징적인 사건은 마운트곡스(Mt. Gox) 파산 사건이다. 당시 세계 최대 비트코인 거래소였던 마운트곡스는 지속적인 해킹으로 인해 수십만 개의 비트코인을 유실하고 결국 파산을 선언하며 암호화폐 시장 전체에 흑역사를 남겼다.
일본의 코인체크(Coincheck) 역시 핫 월렛에 보관 중이던 넴(NEM) 코인 수억 개를 탈취당하며 단일 해킹 사건으로는 손에 꼽히는 막대한 피해를 입었다. 한국 역시 예외는 아니어서 유빗, 빗썸, 업비트 등 주요 대형 거래소들이 크고 작은 해킹을 겪으며 홍역을 치렀다.
특히 북한의 해킹 집단인 라자루스(Lazarus) 그룹은 글로벌 거래소들을 연쇄적으로 공격하여 외화 벌이 수단으로 암호화폐를 탈취하고 있다는 사실이 국제사회에 널리 알려져 있다.
4. 영향을 미치는 요인 및 여파
거래소 해킹이 발생하면 단순히 거래소만의 문제로 끝나지 않는다. 탈취당한 코인이 시장에 대량으로 풀릴 것이라는 공포감(FUD)이 조성되면서 해당 코인은 물론 암호화폐 시장 전체의 시세가 급락하는 연쇄 폭락장을 유발한다.
피해를 입은 거래소는 신뢰도에 치명상을 입고 유동성 위기에 빠져 폐업이나 파산 수순을 밟게 되는 경우가 허다하다. 고객 자산에 대한 보상 문제가 불거지면서 법적 공방으로 이어지며, 이는 필연적으로 각국 정부의 규제 강화를 부른다. 세간에서는 "블록체인은 안전하다더니 다 거짓말이었다"라는 오해가 확산되는 계기가 되기도 한다.
5. 대응 및 보안 대책
해킹 피해를 막기 위해 거래소들은 자산의 대부분을 인터넷과 격리된 쿨 월렛에 분리 보관하는 정책을 의무적으로 시행하고 있다. 또한 단일 키 분실로 인한 유출을 막기 위해 다중 서명(Multi-Sig) 기술을 도입하여 자금 출금 시 여러 명의 승인이 필요하도록 시스템을 강화했다.
이와 함께 정보보호관리체계(ISMS) 인증 등 국가 차원의 보안 기준을 준수하도록 법제화가 진행 중이다. 해커가 자금을 세탁하지 못하도록 주요 거래소와 블록체인 분석 업체들이 협력하여 탈취된 자금의 이동 경로를 실시간으로 추적하고 동결하는 블랙리스트 공유 시스템도 활발히 가동되고 있다.
6. 여담
6.1 마운트곡스(Mt. Gox) 사태와 최초의 '비트코인 블랙홀'
초기 비트코인 거래량의 70% 이상을 점유하던 마운트곡스 거래소는 2014년 해킹으로 당시 기준 약 850,000개의 비트코인을 유실하며 파산했다. 재밌는 점은 마운트곡스의 원래 정체가 암호화폐 거래소가 아닌, 카드 게임 '매직 더 개더링'의 온라인 카드를 거래하는 사이트(Magic: The Gathering Online eXchange)였다는 사실이다.[2]도메인 이름인 Mt.Gox 자체가 'Magic: The Gathering Online eXchange'의 약자다. 원래 게이머들이 트레이딩 카드를 거래하던 사이트를 2010년 마크 카펠레스가 인수해 비트코인 거래소로 개조한 것이 화근이 되었다. 취미용 사이트로 출발한 어설픈 보안 코드가 훗날 세계 최대 암호화폐 거래소의 보안 구멍이 되었고, 이는 암호화폐 시장 역사상 최초이자 최악의 대참사로 기록되었다.
6.2 북한 라자루스 해킹 그룹의 '국가 단위 수익원'
글로벌 암호화폐 거래소 해킹 사건의 배후를 추적하다 보면 상당수가 북한 정권의 지원을 받는 해킹 조직 '라자루스(Lazarus)'로 귀결된다. 미국 FBI와 블록체인 분석업체 체이널리시스(Chainalysis)에 따르면, 라자루스는 2022년 한 해 동안에만 엑시 인피니티의 로닌 네트워크(약 6억 2천만 달러) 등을 포함해 약 17억 달러 이상의 암호화폐를 탈취했다.[3]https://www.fbi.gov/news/press-releases/fbi-statement-on-attribution-of-malicious-cyber-activity-posed-by-the-dprk-to-lazarus-group — 미국 FBI는 2022년 3월 발생한 6억 2천만 달러 규모의 엑시 인피니티 로닌 네트워크 해킹 사건의 배후로 북한 정권과 연계된 해킹 집단 라자루스(Lazarus Group)를 공식 지목했다. 이는 북한 연간 수출액의 수배에 달하는 금액으로, 탈취된 암호화폐는 대량살상무기(WMD) 및 탄도미사일 개발 자금으로 유입되는 것으로 알려져 있다. 즉, 암호화폐 거래소 해킹이 단순 금융 범죄를 넘어 국제 안보 문제로 직결되는 셈이다.
6.3 화이트햇 해커의 배신과 '초고액 보상금'의 역설
2021년 8월, 크로스체인 플랫폼 폴리네트워크(Poly Network)가 해킹당해 6억 1,000만 달러(한화 약 7,000억 원)라는 거액이 증발했다.[4]해커는 자금을 반환한 후 탈취했던 암호화폐 열쇠(Private Key)를 공개하며 폴리네트워크 측과 메세지를 주고받았고, 폴리네트워크는 해커를 비난하는 대신 감사의 뜻으로 'Mr. White Hat'이라는 칭호와 포상금을 지급했다. 하지만 범인은 불과 며칠 만에 탈취한 자금을 순차적으로 전액 반환하는 기행을 보였다. 범인은 스스로를 'Mr. White Hat(선량한 해커)'이라 부르며 "단지 시스템의 허점을 경고하고 재미로 시스템을 취약점을 폭로하려 했을 뿐"이라고 주장했다. 이에 개발사 측은 해커에게 처벌 대신 50만 달러의 보안 포상금(Bug Bounty)과 함께 '수석 보안 관리자' 직책을 제안하기까지 했다. 해커가 피해 기업의 최상위 보안 임원으로 스카우트될 뻔했던 기이한 사건이다.
6.4 51% 공격과 블록체인 역사의 강제 조작
2016년 '더다오(The DAO)' 해킹 사건은 블록체인계의 철학인 '법은 코드다(Code is Law)'라는 신념을 뒤흔든 사건이다. 이더리움 기반의 다오 펀드에서 스마트 계약의 허점을 이용해 당시 이더리움 전체 발행량의 14%에 달하는 360만 ETH가 탈취당했다. 이때 이더리움 창시자 비탈릭 부테린과 주류 개발진은 해킹당하기 전 상태로 블록체인을 강제로 돌려버리는 '하드포크'를 감행했다. 이에 "아무리 해킹이라도 이미 기록된 블록체인을 인위적으로 수정하는 것은 블록체인의 탈중앙화 정신에 위배된다"라고 반발한 세력이 기존 체인에 남아 만든 것이 현재의 '이더리움 클래식(ETC)'이다.[5]https://www.coindesk.com/tech/2016/07/20/ethereum-hard-fork-creates-competing-currency-as-blockchain-splits — 이더리움 네트워크가 하드포크된 후, 인위적인 거래 취소 조치에 반발한 마이너들과 개발자들이 구형 블록체인 체인을 계속 유지하면서 원래의 이더리움 체인이 '이더리움 클래식'이라는 이름을 얻게 되었다. 해킹 사건 하나가 암호화폐의 원조 분열을 일으킨 것이다.
6.5 코인레일 해킹 사건과 알트코인 파멸의 나비효과
2018년 한국의 중소형 거래소 '코인레일'이 해킹당해 약 400억 원 규모의 암호화폐를 누출당했다. 글로벌 기준으로 엄청나게 큰 액수는 아니었으나, 문제는 탈취당한 코인의 종류였다. 해커들이 비트코인이 아닌 거래량이 적고 시가총액이 작은 중소형 알트코인(NPXS, DENT 등)을 집중적으로 털어낸 것이다. 해커가 탈취한 코인을 시장에 기습적으로 던질 것이라는 공포감에 해당 알트코인들의 가격은 몇 분 만에 90% 이상 폭락했고, 이 여파로 글로벌 암호화폐 시장 전체의 시가총액이 하루 만에 수십조 원 날아가는 초유의 나비효과를 일으켰다.