콜드월렛 서명도 위조하는 해커, OKX CEO가 3중 방어막 강조

20분. 수조 원이 사라지는 데 걸린 시간입니다. 개인키도, 비밀번호도 안 건드렸는데 말이죠.

같은 뉴스, 네 가지 시선. AILENS입니다. 지난 11월 2일, 세계 4위 가상화폐거래소 OKX의 창업자 스타 쉬 CEO가 한 신문과 단독으로 화상 인터뷰를 했습니다. 오늘은 그 이야기입니다.

한 거래소의 관리자 계정이 뚫렸습니다. 해커는 그 권한으로 가짜 출금 지시를 만들었습니다. 거래소 시스템은 그걸 진짜 고객의 요청이라고 믿었습니다. 그렇게 20분 만에 수조 원 규모의 코인이 빠져나갔습니다.

이게 지난해 글로벌 1위 거래소 바이낸스에서 벌어진 일입니다. 피해 금액이 63억 달러, 우리 돈으로 8조 4000억 원에 달합니다. 북한 해커들의 소행으로 알려져 있습니다.

비밀번호를 훔친 게 아닙니다. 전자서명 권한, 즉 거래소 내부에서 "이건 진짜 거래다"라고 승인하는 권한 자체를 가져간 겁니다. 개인키가 안전했어도, 암호 알고리즘이 튼튼했어도 소용없었던 이유입니다.

스타 쉬 CEO는 이 지점을 짚었습니다. "해커가 이용자를 가장해 입출금 거래를 조작하면, 거래소는 그것이 실제 고객의 요청이라고 믿게 된다"고 말했습니다. 자물쇠가 아니라 자물쇠를 확인하는 사람을 속인 셈이죠.

이게 한 거래소만의 문제가 아니라는 게 쉬 CEO의 요지입니다. 그는 보안을 세 단계로 나눠 설명했습니다. 첫 번째는 개인키 관리, 두 번째는 핫월렛 보호입니다. 핫월렛은 인터넷에 연결돼 있어서 거래는 빠르지만 해킹에 노출되기 쉬운 지갑입니다. 반대로 콜드월렛은 인터넷과 물리적으로 떨어져 있어 더 안전하다고 알려져 있습니다.

그런데 콜드월렛이라고 해서 완전히 안심할 수 있는 건 아닙니다. 쉬 CEO는 지난해 또 다른 거래소 바이비트의 해킹 사례를 언급했습니다. 콜드월렛으로 넘어온 거래 지시 자체가 사실은 해커가 위조한 것이었다고 합니다. 가장 안전하다고 여겨지는 영역에서도 신호 자체가 가짜일 수 있다는 뜻입니다.

그래서 쉬 CEO가 강조한 세 번째 단계가 거래 승인 시스템입니다. 서명 시스템이 거래 내용을 실질적으로 이해하고, 이상한 거래를 걸러낼 수 있어야 한다는 겁니다. 그는 이 내부 시스템 보안이 "가장 어렵고 중요한 영역"이라고 말했습니다.

여기서 남는 질문이 있습니다. 개인키, 핫월렛, 콜드월렛까지 단단히 지켰다고 해도, 거래소 내부에서 "이건 진짜 요청이다"라고 판단하는 그 순간을 완벽하게 지킬 방법이 있는가 하는 겁니다. 바이낸스도, 바이비트도 그 판단의 순간에서 뚫렸습니다. 이 문제가 완전히 해결됐다고 보기는 아직 어렵습니다.

OKX는 전 세계 1억 2000만 명이 쓰는 거래소입니다. 올해 3월에는 뉴욕증권거래소 운영사인 ICE로부터 약 2억 달러를 투자받으면서 기업가치 250억 달러를 인정받기도 했습니다. 몸집이 커질수록 이 내부 시스템 보안의 무게도 함께 커지는 셈입니다.

정리하면, 오늘 핵심은 이겁니다. 암호화폐 해킹은 더 이상 열쇠를 훔치는 문제가 아닙니다. 열쇠를 확인하는 시스템 자체를 속이는 문제입니다. 그 경계가 어디까지 지켜질 수 있을지는, 아직 누구도 확실하게 답하지 못하고 있습니다.

같은 뉴스, 네 가지 시선. AILENS였습니다.