[딜사이트 박관훈 기자] 국내 가상자산거래소들이 해킹에 대비해 여러 겹의 보안장치를 갖추고 있지만, 실제 공격 상황을 재현해 대응능력을 검증하는 방식은 거래소마다 제각각이다. 업계 공통 보안기준을 마련한 디지털자산거래소 공동협의체(DAXA·닥사)도 회원사의 연쇄 공격 대응능력을 직접 시험하지는 않는다. 세계 최대 가상자산거래소 바이낸스의 대규모 해킹 사고를 계기로 보안장치의 구축 여부보다 실제 공격 상황에서 고객 자산을 지켜낼 수 있는지 검증하는 체계가 과제로 떠올랐다.

특히 직원 컴퓨터 침해가 내부 시스템 접근과 출금 권한 탈취로 이어지는 연쇄 공격은 개별 보안장치만으로 대응하기 어렵다. 국내 거래소들은 망 분리와 다중인증, 출금 승인 절차 등을 운영하고 있지만, 여러 방어선이 잇따라 공격받는 상황에서도 자산 유출을 차단할 수 있는지는 별도로 검증해야 한다. 공통 보안기준과 실제 대응능력 검증 사이의 간극이 드러난 셈이다.

◆직원 컴퓨터 뚫려도 자산은 보호…거래소별 다층 방어체계

4일 금융위원회에 따르면 바이낸스는 지난달 30일 인터넷에 연결된 가상자산 지갑인 핫월렛에서 63억달러 규모의 자산이 무단으로 빠져나가는 사고를 겪었다. 임직원의 업무용 노트북 침해를 통한 내부 시스템 접근과 거래 승인·서명 시스템에 대한 비인가 접근 가능성이 제기되고 있지만, 구체적인 침입 경로는 아직 확인되지 않았다.

이번 사고는 직원의 컴퓨터나 계정이 해킹됐을 때 내부 시스템과 출금 승인체계를 얼마나 효과적으로 보호할 수 있는지에 대한 의문을 던졌다. 가상자산 출금은 내부 시스템에서 출금 요청을 승인하고 실제 블록체인 거래에 전자서명하는 과정을 거친다. 관리자 권한이 탈취되거나 출금 승인 과정이 조작되면 암호키 자체가 유출되지 않더라도 부정 출금이 이뤄질 위험이 있다.

국내 거래소들도 이런 위험에 대비해 보안기준을 적용하고 있다. 정보보호 관리체계(ISMS) 인증기준은 직원 컴퓨터와 내부 시스템의 보안을 다룬다. 닥사의 전산시스템 모범규준은 서버에 접속할 때 두 단계 이상의 인증을 거치고, 중요한 시스템 작업에는 승인 절차를 두도록 정하고 있다. 개발자와 프로그램 배포 승인자의 역할도 분리하도록 했다.

거래소들은 이러한 공통 기준에 더해 업무망과 자산 관리시스템을 분리하고 접근권한과 출금 승인 절차를 여러 단계로 나누는 자체 방어체계를 운영하고 있다.

빗썸은 고객 자산을 보관하는 지갑과 암호키 관리시스템을 사내 메신저·그룹웨어 등 일반 업무시스템과 별도 네트워크에서 운영한다. 일반 업무망에서는 직접 접속할 수 없고, 지정된 경로를 통해 추가 인증을 거쳐야 접근할 수 있다. 비정상적인 거래가 탐지되면 출금을 차단하는 체계도 갖췄다. 내부 보안조직과 외부 전문기관을 통한 모의해킹도 실시하고 있다.

디지털엑스(구 코빗) 역시 직원 업무용 컴퓨터와 실제 거래소를 운영하는 시스템을 분리했다. 운영시스템에 접속하려면 별도의 내부 업무환경을 거쳐야 하고, 접속할 때마다 추가 인증을 받아야 한다. 출금 요청자와 승인자를 분리해 한 사람이 출금 절차를 단독으로 처리하지 못하도록 했다. 디지털엑스 관계자는 "업무용 노트북이나 계정 하나가 탈취되더라도 그것만으로 운영 시스템에 바로 들어갈 수는 없는 구조"라고 설명했다.

코인원은 직원마다 업무에 필요한 접근권한을 다르게 부여하고, 중요한 결재는 여러 단계로 나눠 처리하고 있다. 매년 한 차례 이상 모의해킹 훈련을 실시하며, 외부 해킹으로 고객 자산이 탈취되는 상황을 가정한 훈련도 진행한다고 밝혔다.

이처럼 거래소들은 직원 계정이나 업무용 컴퓨터가 해킹되더라도 고객 자산 관리시스템으로 침해가 확산하지 않도록 여러 방어선을 구축했다. 그러나 각 보안장치가 정상적으로 작동하는지 확인하는 것과 여러 시스템이 연쇄적으로 공격받는 상황에서 자산 유출을 막아내는 것은 다른 문제다.

◆보안장치는 여러 겹인데…연쇄 공격 검증은 '각자도생'

문제는 직원 계정 탈취부터 내부 시스템 침투, 관리자 권한 확보, 출금 승인 절차 우회까지 이어지는 공격을 얼마나 종합적으로 검증하느냐다. 앞선 방어선이 무너져도 다음 단계에서 비정상적인 출금을 탐지하고 차단할 수 있어야 하지만, 이러한 연쇄 공격을 하나의 과정으로 재현해 대응능력을 시험하는 공통 기준은 명확하지 않다.

닥사의 전산시스템 모범규준은 접근통제와 권한관리 등 개별 보안조치에 관한 기준을 마련하고 있다. 그러나 직원 단말기 침해가 내부 운영시스템과 출금 승인체계로 확산하는 상황까지 하나의 공격 시나리오로 검증하도록 하는 구체적인 조항은 확인되지 않는다.

해킹에 대비한 모의훈련은 연 1회 이상 실시하도록 규정했다. 다만 훈련에서 어떤 공격 경로를 재현하고 어느 단계까지 대응능력을 검증할지는 거래소별 판단에 맡겨져 있다. 닥사 관계자는 "구체적인 공격 시나리오와 훈련 방식은 각 회원사가 자사 시스템 환경에 맞게 운영하는 사항"이라고 설명했다.

같은 공통 보안기준을 적용하더라도 실제로 시험하는 공격 유형과 범위는 거래소마다 달라질 수밖에 없는 구조다. 개별 시스템에 대한 모의해킹이나 접근통제 점검만으로는 여러 보안장치가 동시에 위협받는 상황에서 방어체계 전체가 얼마나 효과적으로 작동하는지 확인하기 어렵다.

보안기준의 이행 여부를 점검하는 방식도 자체 검증에 의존한다. 거래소들은 매년 자체적으로 모범규준 이행 여부를 점검하고, 반기마다 내부통제 점검의 주요 결과를 닥사에 알린다. 닥사는 공통 기준을 마련하지만 회원사의 실제 해킹 대응능력을 동일한 조건에서 직접 시험하지는 않는다. 닥사 관계자는 "업계 공통 기준을 마련하고 개선하는 자율규제 기구로, 회원사를 검사하거나 감독하는 권한은 갖고 있지 않다"고 밝혔다.

거래소들이 ISMS 인증심사 등 별도의 보안 점검을 받고 있다는 점을 고려하더라도 공통 기준에 따른 관리체계 점검과 실제 연쇄 공격에 대한 대응능력 검증은 구분해야 한다. 특히 거래소별로 훈련 시나리오와 검증 범위가 다르면 보안 수준을 동일한 잣대로 평가하기도 어렵다.

전문가들도 해커의 내부 시스템 침투 자체를 막는 데 그치지 않고 출금 단계에서 자산 유출을 차단하는 방어체계가 중요하다고 강조한다. 타이거리서치는 지갑을 여는 데 필요한 개인키를 안전하게 보관하더라도 출금 승인을 요청하는 과정이 조작되면 자산이 유출될 수 있다고 분석했다. 이준호 하나증권 애널리스트도 출금 요청이 정상적인 것인지 확인하고, 큰 금액을 옮길 때는 승인 절차를 분리하며, 이상거래를 탐지하는 장치가 중요하다고 짚었다.

바이낸스 사고 이후 국내 거래소들은 기존 보안장치의 작동 여부를 다시 점검하고 있다. 닥사는 회원사들에 보안체계를 점검하고 강화하도록 요청했다. 빗썸은 비정상적인 로그인과 의심스러운 출금을 집중 감시하고 있으며, 디지털엑스는 직원 컴퓨터와 내부 시스템의 접근통제, 출금 승인 절차 등을 점검하고 있다. 코인원도 보안 담당자들이 주말에 출근해 내부 모니터링을 강화했다.

금융당국도 대응에 나섰다. 금융위는 지난 2일 긴급회의를 열어 국내 거래소의 내부 시스템 접근통제와 출금 승인·서명체계, 관리자 권한 관리 현황을 점검했다. 이어 인터넷과 분리된 콜드월렛에 보관하는 자산 비중을 높이고, 입출금을 상시 감시하며, 비정상적인 접근 시도를 신속하게 공유하도록 요청했다. 해킹 피해에 대비한 준비금 확대도 주문했다.

그러나 콜드월렛 보관 비중을 높이는 것만으로 실제 입출금에 사용하는 핫월렛의 보안 위험까지 해소할 수는 없다. 내부 시스템이 침해된 상황에서도 출금 승인과 서명 절차를 보호하고 비정상적인 자산 이동을 차단할 수 있어야 한다. 결국 국내 거래소 보안체계의 남은 과제는 안전장치를 얼마나 촘촘히 갖췄느냐를 넘어, 여러 방어선이 잇따라 뚫리는 상황에서도 고객 자산을 지켜낼 수 있는지 검증하는 것이다.