[홍콩=이데일리 서민지 기자] “바이낸스 해킹 사고에서 가장 주목해야 할 점은 개인키 유출이 아니라 거래 서명 시스템이 악용됐다는 것입니다. 해커가 보안 통제 절차를 모두 우회하고 서명 시스템에 직접 접근해 거래를 실행할 수 있었다는 게 핵심입니다. 개인키를 안전하게 보관하는 것만으로는 더 이상 충분하지 않습니다.”

사라 예(Sarah Ye) 리그섹(RigSec) 최고경영자(CEO)는 최근 홍콩 카오룽 국제상업센터(ICC) 리그섹 본사에서 이데일리와 만나 세계 최대 가상자산 거래소 바이낸스에서 발생한 63억달러(약 8조원)대 해킹 사고를 이같이 분석했다.

20년간 디지털 보안 분야에 몸 담은 예 대표는 “최근 대형 가상자산 해킹 사고의 공통적인 문제는 해커들이 서명 시스템에 직접 접근할 수 있게 됐다는 점”이라며 “금융기관은 누가 서명할 권한을 가졌는지뿐 아니라 무엇에 서명하는지까지 검증하는 체계를 갖춰야 한다”고 강조했다.

리그섹은 홍콩과 싱가포르, 일본 등 아시아 주요 금융시장에서 기관용 디지털자산 지갑과 커스터디 인프라를 공급하는 기업이다. 2025년 말 기준 홍콩 증권선물위원회(SFC)의 인가를 받은 가상자산 거래 플랫폼(VATP)의 약 40%가 리그섹 솔루션을 도입했다.

리그섹은 바이낸스 해킹 기술 분석 보고서에서 해커들이 거래소의 보안 통제 절차를 우회하고 여러 블록체인의 핫월렛 서명 권한을 악용해 비정상 거래를 실행한 것으로 분석했다. 특히 비트코인과 트론, XRP, 솔라나 등 서로 다른 암호학적 서명 체계를 사용하는 블록체인에서 유효한 서명이 포함된 비정상적인 자산 전송이 거의 동시에 발생했다는 점에 주목했다.

이더리움에서는 펙트라(Pectra) 업그레이드를 통해 도입된 EIP-7702의 권한 위임 기능이 악용됐다. 공격자들은 유효한 서명이 포함된 EIP-7702 승인 50개를 생성하고 악성 스마트컨트랙트를 통해 바이낸스 이더리움 핫월렛의 거래 실행 권한을 장악해 단 한 번의 거래로 지갑 잔액을 빼돌린 것으로 분석됐다.

예 대표는 “바이낸스에서는 원래 존재해서는 안 되는 거래 요청이 위조됐고 시스템은 이를 정상적인 요청으로 받아들여 서명한 것으로 보고 있다”며 “서명 서비스가 개인키를 안전하게 보호하더라도 거래 요청 자체가 조작됐다면 자산 유출을 막지 못할 수 있다”고 설명했다.

리그섹은 ‘수동적 서명’ 방식의 구조적 한계로 진단했다. 기존 보안 체계가 서명 요청자의 권한 확인과 개인키 보호에 집중했다면 앞으로는 거래가 실제로 승인된 목적과 일치하는지 확인하는 ‘거래 의도 검증 기반 서명’으로 발전해야 한다는 것이다.

특히 사람이 개입하지 않고 거래가 자동 처리되는 핫월렛에서는 더욱 엄격한 검증이 필요하다고 지적했다. 예 대표는 “핫월렛은 사람의 개입 없이 거래가 실행되는 경우가 많다”며 “서명 직전에 위험관리 시스템과 거래 시스템 등 여러 내부 시스템을 교차 검증해 위조된 거래 요청을 차단해야 한다”고 말했다.

이어 “AI 시대에는 소프트웨어를 대상으로 한 공격이 더욱 효율적으로 이뤄지고 거래 승인자가 사용하는 노트북과 스마트폰도 주요 공격 대상이 되고 있다”며 “승인자의 실제 의도를 보호하기 위해 독립적인 신뢰 하드웨어를 거래 승인 과정에 도입해야 한다”고 강조했다.

예 대표는 이번 바이낸스 사고가 디지털자산 시장 진입을 준비하는 한국 금융기관에도 중요한 경고가 될 수 있다고 봤다. 은행과 증권사 등 전통 금융기관의 디지털자산 사업 확대가 예상되는 만큼 금융기관이 자산 보관뿐 아니라 거래 승인 과정 전반에 걸친 보안 체계를 갖춰야 한다는 지적이다.

예 대표는 “AI의 발전으로 사이버공격의 속도와 규모가 급격히 커지고 있다”며 “가능한 한 많은 디지털자산을 인터넷과 완전히 분리된 에어갭(Air-gapped) 콜드월렛에 보관하고 자산을 이동할 때는 물리적인 접근과 통제 절차를 거치도록 해야 한다”고 말했다.

한국은 가상자산이용자보호법에 따라 이용자 가상자산의 경제적 가치 중 80% 이상을 콜드월렛에 보관하도록 의무화하고 있다. 반면 홍콩은 인가받은 가상자산 거래 플랫폼에 통상 98% 수준의 고객 자산을 콜드스토리지에 보관하도록 요구한다.

예 대표는 한국 금융당국이 홍콩의 규제 운영 방식도 참고할 필요가 있다고 제언했다. 예 대표는 “과거에는 홍콩 규제당국의 요구가 너무 엄격하고 이행하기 어렵다고 생각했지만 최근 해킹 사고를 보면 현명한 결정이었다는 생각이 든다”고 평가했다.

예 대표는 “홍콩은 자산 보호라는 원칙을 98% 콜드월렛 보관, 독립적인 거래 검증, 제3자 보안 감사 등 구체적이고 검증 가능한 운영 요건으로 전환하고 있다”며 “일부 경우에는 하드웨어 보안 모듈(HSM)뿐 아니라 내부 펌웨어에 대한 인증까지 요구한다”고 설명했다.

이어 “규제 요건이 명확하면 금융기관도 어떤 보안 인프라를 구축하고 실제 운영 과정에서 무엇을 검증해야 하는지 알 수 있다”며 “현장 점검과 지속적인 감독을 통해 새로운 공격 기법과 해킹 사고에서 얻은 교훈을 신속하게 규제에 반영하는 것도 중요하다”고 강조했다.

기존 보안 기술에 대한 검증 체계도 강화해야 한다고 봤다. 예 대표는 다자간연산(MPC)이 디지털자산 시장에서 널리 활용되고 있지만 공급업체마다 구현 방식이 달라 보안 수준을 일관된 기준으로 평가하기 어렵다고 지적했다. 반면 HSM은 오랜 기간 금융권에서 활용되면서 국제적인 보안 인증 체계가 확립돼 있다는 설명이다.

리그섹은 한국 금융기관과의 사업 협력도 본격적으로 추진하고 있다. 예 대표는 “한국은 단기적인 글로벌 사업 확대 전략에서 매우 중요한 우선순위”라며 “한국 시장 진출과 고객사의 솔루션 도입을 지원할 수 있는 잠재적인 현지 파트너들과 협의하고 있다”고 밝혔다.

한국 금융권의 엄격한 망분리 규제와 데이터 통제 요건은 리그섹이 주목하는 사업 환경이다. 예 대표는 “한국 금융기관들은 개인키뿐 아니라 업무 데이터, 내부 보안 정책, 네트워크와 일상적인 운영 절차까지 직접 통제하기를 원한다”며 “외부 클라우드 기반 서비스형 소프트웨어(SaaS) 방식으로는 이같은 요구를 충족하기 어려울 수 있다”고 설명했다.

리그섹은 금융기관 자체 시스템에 지갑·보안 인프라를 직접 설치하는 온프레미스(On-premises) 방식을 채택하고 있다. 고객사가 개인키와 자산, 데이터, 운영 정책에 대한 통제권을 직접 보유할 수 있도록 설계한 것이 특징이다.

HSM 기반 개인키 관리와 자체 개발한 개인 보안 장치(PSD)를 결합해 거래 조작 위험을 줄이는 기술을 경쟁력으로 내세우고 있다. 거래 승인자가 별도 보안 장치에서 거래 내용을 확인하고 실제 서명되는 정보와 일치하는지 검증하는 방식이다.

아시아 6개 규제 시장에서 축적한 사업 경험도 한국 시장 공략의 기반이다. 예 대표는 “바이비트는 지난해 약 15억달러 규모의 해킹 사고 이후 글로벌 고객 자산 보호를 위해 리그섹의 콜드월렛 솔루션을 선택했다”며 “글로벌 상위 10개 거래소 가운데 복수의 거래소가 우리 솔루션을 사용하고 있다”고 밝혔다.

그는 한국의 커스터디 시장이 아직 초기 단계에 머물러 있지만 향후 디지털자산 금융시장이 성장할수록 관련 인프라 수요도 확대될 것으로 내다봤다. 예 대표는 “은행이나 플랫폼 기업이 반드시 직접 커스터디 사업을 운영해야 하는 것은 아니다”라면서도 “어떤 디지털자산 사업에 진출하든 안전한 자산 보관과 통제를 위한 인프라는 필요하다”고 말했다.

이어 “커스터디는 모든 디지털자산 금융서비스의 기초”라며 “장기적으로는 커스터디 인프라를 기반으로 자산 토큰화, 스테이블코인 발행, 지급결제, 스테이킹, 탈중앙화금융(DeFi) 등 다양한 사업으로 확장하는 금융기관들을 지원하겠다”고 강조했다.