세계 최대 가상자산 거래소 바이낸스에서 약 63억 달러(약 8조 4000억 원)가 탈취되며 일각에서 블록체인 보안에 대한 우려가 제기된다. 거래 기록을 조작하기 어렵다는 블록체인에서 어떻게 대규모 자산 탈취가 가능한지에 대한 궁금증이다.

핵심은 '거래 기록 위변조'와 '자산 이전 권한 탈취'가 서로 다른 문제라는 점이다. 공격자가 거래소의 출금 시스템을 장악하거나 거래 승인자를 속이면, 블록체인 기록을 조작하지 않고도 자산을 빼낼 수 있다.

거래 기록 지키는 블록체인…가상자산 거래소 보안과는 별개
2일 업계에 따르면 바이낸스는 지난달 29일(현지시간) 약 63억 달러 상당의 가상자산이 유출됐다고 밝혔다. 초기 조사에선 직원 노트북 침해 가능성이 제기됐으며, 후속 조사에서 추가 침입 지점도 발견됐다. 구체적인 침입 경로와 공격 과정에 대한 조사는 진행 중이다.

블록체인은 거래 기록을 여러 검증인(노드)이 공유하고 정해진 규칙에 따라 검증하는 분산원장 기술이다. 거래를 담은 블록이 이전 블록의 정보를 포함한 채 연결돼 과거 기록을 임의로 바꾸기 어렵다.

누군가 자신에게 유리하게 거래 내역을 고쳐도 다른 참여자들이 보관한 기록과 검증 규칙을 통과해야 한다. 다만 보안 수준은 네트워크 구조와 합의 방식 등에 따라 달라진다.

거래소 해킹은 이런 장부 자체를 고치는 것과 다르다. 과거 잔액을 조작하는 것이 아니라, 거래소가 가진 자산 이동 권한을 악용하는 방식이다.

가상자산을 보내려면 보통 개인키를 이용한 전자서명이 필요하다. 개인키는 단순한 로그인 비밀번호라기보다 자산 이동을 승인하는 비밀 열쇠에 가깝다. 블록체인 네트워크는 서명·잔액 등 거래 과정을 검증한다.

블록체인은 전자서명이 유효한지 검증하지만, 그 서명이 개인키를 훔친 해커가 만든 것인지, 속임수에 넘어간 소유자가 한 것인지까지 구별하지 못한다. 이 때문에 공격자가 개인키를 탈취하거나 승인자를 속여 서명을 받아내면 자산을 빼가는 거래도 처리될 수 있다.

거래소 내부 시스템에 침입해 출금 요청을 조작하거나 서명 기능을 악용하는 방식도 가능하다. 개인키를 외부로 빼내지 않아도 시스템을 장악하면 자산을 탈취할 수 있는 것이다.

콜드월렛도 만능 아냐…바이비트는 승인 절차 노렸다
지갑을 어떻게 관리하느냐에 따라 해킹 위험도 달라진다. 핫월렛은 인터넷에 연결된 상태에서 거래에 서명할 수 있어 입출금이 빠르다. 다만 개인키를 관리하거나 출금을 처리하는 서버·계정이 공격받으면 자산이 탈취될 수 있다.

반면 콜드월렛은 개인키를 오프라인 기기를 통해 인터넷과 분리·보관한다. 그러나 열쇠를 안전하게 보관해도 잘못된 거래에 서명하면 자산을 잃을 수 있다. 지난해 가상자산 거래소 바이비트 해킹이 대표적이다.

보안업체 시그니아에 따르면 해커들은 지갑 서비스 '세이프월렛'에 악성 코드를 심었다. 해당 코드는 바이비트의 멀티시그(다중서명) 승인 과정을 속여 악성 스마트 콘트랙트를 승인하게 했다.

서명화면과 지갑주소 등을 통상적인 이체인 것처럼 꾸민 뒤, 실제로는 콜드월렛의 코드를 변경하는 명령에 서명하게 한 것이다. 여러 사람이 함께 승인하는 방식도 모두가 같은 조작된 화면을 보고 서명하면 공격을 막기 어렵다.

개인 지갑 이용자도 주의해야 한다. 거래소에 맡긴 자산은 거래소가 개인키를 관리하지만, 직접 관리하는 지갑은 이용자가 개인키와 복구 장치를 지켜야 한다.

'시드구문'은 지갑을 복구할 때 사용하는 단어들의 조합이다. 이를 다른 사람이 알게 되면 자신의 기기에서 같은 지갑을 복원해 자산을 옮길 수 있다.

개인키나 시드구문을 넘기지 않아도 피해는 발생할 수 있다. 가짜 사이트를 통해 해커에게 가상자산을 옮길 권한을 주거나, 자산이 빠져나가는 거래에 직접 서명하는 경우다.

chsn12@news1.kr