바이낸스 63억 달러 규모 도난 사건으로 암호화폐 지갑 보안 우려 확산… 전문가들 “추가 공격 이어질 것”

바이낸스와 연관된 약 63억 달러 규모의 자산이 영향을 받은 것으로 알려진 대형 보안 사고가 발생하면서, 거래소가 고객 자산을 어떻게 보호해야 하는지를 둘러싼 논쟁이 다시 불붙고 있다. 같은 날, 폴리마켓의 국제 플랫폼도 외부 데이터 제공업체가 침해된 뒤 일시적으로 거래를 중단했으며, 최소 270만 달러 규모의 사용자 자금이 도난당한 것으로 전해졌다.

이번 사건들은 암호화폐 이용자들에게 쉽지 않은 질문을 던진다. 자산을 중앙화된 거래 플랫폼에 계속 보관해야 할까, 아니면 개인이 직접 관리하는 셀프 커스터디 지갑을 통해 자산을 완전히 통제해야 할까?

정답은 하나로 정해져 있지 않다. 두 방식은 각각 서로 다른 위험과 책임, 복구 수단을 수반한다.

거래소 보관은 편리하지만 은행과 같은 보호를 제공하지 않는다

중앙화 거래소는 여전히 많은 암호화폐 이용자가 시장에 진입하는 주요 통로다. 거래소는 유동성, 거래 도구, 고객 지원을 제공하며, 적어도 일부 거래소는 보안 사고가 발생했을 때 이용자에게 보상할 수 있는 재정적 역량도 갖추고 있다.

그러나 거래소에 자산을 보관하면 이용자가 개인 키를 직접 통제할 수 없게 된다. 자산의 안전은 거래소의 지갑 구조, 내부 통제, 출금 정책, 임직원, 외부 협력업체, 사이버 보안 대응 절차에 좌우된다.

털사대학교의 사이버 보안 교수 타일러 무어는 거래 플랫폼에 대규모 자금이 집중될 경우 이용자가 상당한 거래 상대방 위험에 노출될 수 있다고 경고해 왔다. 일부 국가의 전통적인 은행 예금과 달리, 암호화폐 거래소 잔액에는 일반적으로 광범위하게 적용되는 예금보험 제도가 마련돼 있지 않다.

또한 미 연방거래위원회(FTC)의 암호화폐 소비자 안내는 암호화폐 거래가 일반 금융기관을 통해 이용할 수 있는 것과 같은 수준의 취소 및 복구 수단을 제공하지 않는 경우가 많다고 강조한다.

여기서 중요한 차이를 구분할 필요가 있다.

• 플랫폼이 피해 고객에게 보상하겠다고 약속할 수는 있다.
• 플랫폼이 손실을 감당할 충분한 자본을 보유하고 있을 수도 있다.
• 그러나 어느 것도 법적으로 보호되는 예금보험과 자동으로 같은 의미를 갖는 것은 아니다.

따라서 이용자는 거래소를 장기 보관 수단으로 이용하기 전에 보안 관련 공시, 출금 통제, 준비금 증명 방식, 보험 가입 현황, 과거 보안 사고에 대한 대응 이력을 꼼꼼히 살펴봐야 한다.

셀프 커스터디는 거래소 위험을 없애지만 이용자의 책임은 커진다

셀프 커스터디는 다른 종류의 문제를 해결한다. 이용자가 자신의 개인 키를 직접 보유하면 거래소의 지급 능력, 내부 지갑 관리, 출금 가능 여부에 대한 의존도를 낮출 수 있다.

이러한 독립성은 블록체인이 제공하는 핵심적인 장점 가운데 하나다. 하지만 그만큼 실수가 돌이킬 수 없는 결과로 이어질 수 있다. 복구 문구를 잃어버리거나, 악성 승인을 실행하거나, 피싱 공격에 속거나, 가짜 지갑 애플리케이션을 사용하거나, 기기가 침해되면 자산을 영구적으로 잃을 수 있다.

펜실베이니아대학교의 브렛 포크 교수는 일부 이용자의 경우 셀프 커스터디에 전적으로 의존하기보다 재정적 역량을 갖춘 기업에 자금을 맡기는 편을 선호할 수 있다고 주장했다. 이는 현실적인 문제를 반영한 견해다. 많은 이용자가 별도의 지원 없이 시드 문구, 거래 서명, 주소 확인, 기기 보안을 직접 관리할 준비가 돼 있지 않기 때문이다.

문제는 셀프 커스터디가 하나의 동일한 보안 범주가 아니라는 점이다. 다음 방식 사이에는 분명한 차이가 있다.

• 주로 로그인 정보로 보호되는 거래소 계정에 자산을 그대로 두는 방식
• 피싱과 악성 웹사이트에 노출될 수 있는 브라우저 지갑에 키를 보관하는 방식
• 개인 키를 일반적인 온라인 활동과 분리해 보관하는 하드웨어 지갑을 사용하는 방식
• 신중하게 설계된 다중서명 또는 기관형 커스터디 시스템을 통해 자금을 관리하는 방식

적절한 선택은 이용자의 기술 역량, 자산 규모, 거래 빈도, 운영상 위험을 감수할 수 있는 정도에 따라 달라진다.

외부 협력업체가 핵심 공격 표면으로 떠오르고 있다

폴리마켓 사건은 또 다른 우려를 보여준다. 공격 대상이 기업의 핵심 지갑 인프라가 아니라 서비스 제공업체였더라도, 기업 자체가 보안 사고의 영향을 받을 수 있다는 점이다.

암호화폐 플랫폼은 데이터 피드, 분석, 클라우드 서비스, 신원 확인, 커뮤니케이션, 거래 모니터링 등을 외부 업체에 점점 더 많이 의존하고 있다. 연결되는 시스템이 늘어날 때마다 공격 표면도 확대될 수밖에 없다.

외부 제공업체에서 발생한 침해 사고가 개인 키를 즉시 노출시키지 않더라도, 다음과 같은 심각한 결과를 초래할 수 있다.

• 시장 또는 가격 데이터 조작
• 관리자 시스템에 대한 무단 접근
• 신뢰받는 브랜드를 사칭한 피싱 캠페인
• 입금, 출금 또는 거래 기능 중단
• 표적 공격에 악용될 수 있는 사용자 정보 유출

따라서 이용자는 거래소가 강력한 지갑 시스템을 갖추고 있는지만으로 플랫폼 보안을 판단해서는 안 된다. 외부 업체 관리, 접근 권한 분리, 사고 모니터링, 데이터 무결성 역시 똑같이 중요하다.

미국 국립표준기술연구소(NIST)의 사이버 보안 프레임워크는 사이버 위험을 식별하고, 보호하고, 탐지하고, 대응하고, 복구하기 위한 체계로 널리 활용되고 있다. 디지털 자산에 특화된 기준은 아니지만, 그 원칙은 암호화폐 거래소와 웹3 플랫폼에도 매우 relevant하다.

AI는 암호화폐 공격의 속도와 규모를 키울 수 있다

전문가들은 인공지능이 위협 환경을 바꿔놓을 것으로도 보고 있다. 공격자는 AI를 활용해 더욱 정교한 피싱 메시지를 만들고, 고객센터 상담원을 사칭하며, 사회공학 공격을 자동화하고, 대규모로 잠재적 표적을 찾아낼 수 있다.

암호화폐 이용자에게 가장 위험한 AI 기반 공격은 블록체인의 암호 체계를 직접 뚫는 방식이 아닐 수 있다. 오히려 사람의 신뢰를 악용하는 형태가 될 가능성이 크다.

예를 들면 다음과 같다.

• 거래소 고객지원팀을 사칭한 맞춤형 메시지
• 지갑을 “확인”하라며 이용자를 유도하는 가짜 보안 경고
• 임원이나 인플루언서를 흉내 낸 음성 또는 영상
• 정상적인 플랫폼처럼 보이도록 자동 생성된 악성 웹사이트
• 조직적으로 운영되는 계정을 통해 홍보되는 사기성 투자 기회

블록체인 거래는 일단 확정되면 취소하기 어렵거나 사실상 불가능한 경우가 많다. 따라서 이용자는 예상하지 못한 지갑 승인 요청, 긴급 출금 요청, 복구 문구를 요구하는 행위를 모두 고위험 상황으로 간주해야 한다.

정상적인 서비스라면 이용자에게 시드 문구나 개인 키를 공개하라고 요구하지 않는다. 누군가 이 정보를 확보하면 추가적인 승인 없이도 자산을 이동시킬 수 있다.

규제는 기준을 높일 수 있지만 위험을 없애지는 못한다

규제 감독 역시 의견이 엇갈리는 분야다.

미 상품선물거래위원회(CFTC) 위원장 마이클 셀릭은 해외 플랫폼이 미국의 규제된 금융시장과 비슷한 수준의 보호 장치를 이용자에게 제공하지 못할 수 있다고 주장했다. 그는 일정한 거래 플랫폼이 보다 명확한 사이버 보안 및 준법 요건 아래에서 운영될 수 있도록 연방 등록 절차를 마련하는 방안을 지지해 왔다.

규제 체계는 다음과 같은 최소 기준을 마련하는 데 도움이 될 수 있다.

• 고객 자산 분리 보관
• 사이버 보안 거버넌스
• 보안 사고 보고
• 위험 공시
• 외부 협력업체 감독
• 시장 감시
• 업무 연속성 및 복구 계획

그러나 규제만으로 모든 공격을 예방할 수는 없다. 브렛 포크 교수는 미국의 감독을 받는 플랫폼이라 하더라도 정교한 사이버 위협에 여전히 취약할 수 있다고 지적했다.

CFTC의 디지털 자산 고객 주의사항 역시 디지털 자산 시장에는 사기, 도난, 플랫폼 실패, 제한적인 법적 보호 등 상당한 위험이 따른다고 경고한다.

규제는 책임성과 투명성을 높일 수 있다. 하지만 견고한 지갑 설계, 강력한 인증, 거래 모니터링, 이용자의 주의를 대신할 수는 없다.

‘안전하다’는 말에 보편적인 기준은 없다

글로벌 세틀먼트 네트워크의 최고경영자 라이언 커클리는 실질적인 보험 지원이 없는 지갑이나 플랫폼에 자산을 맡기는 일을 신중하게 판단해야 한다고 이용자들에게 당부했다. 그의 주장은 업계 전체를 아우르면서 모든 이용자와 모든 종류의 자산에 안전을 보장할 수 있는 단일 해법이 아직 존재하지 않는다는 의미이기도 하다.

이러한 평가는 암호화폐 보안이 여러 층으로 구성된 문제라는 점에서 중요하다. 어떤 플랫폼은 콜드 스토리지 절차는 잘 갖추고 있지만 고객지원 통제는 취약할 수 있다. 이용자가 안전한 하드웨어 지갑을 보유하고 있더라도 악성 스마트 계약을 승인할 수 있다. 거래소가 사고 이후 고객에게 보상할 수도 있지만, 보상 정책은 관할권과 구체적인 상황에 따라 달라질 수 있다.

완벽한 단일 보관 방식을 찾기보다, 이용자는 자금의 목적에 맞춰 보안 전략을 세워야 한다.

활발한 거래를 하는 경우

가까운 시일 내 거래에 필요한 금액만 거래 플랫폼에 보관해야 한다. 거래소 계정을 영구적인 저축 계좌처럼 이용해서는 안 된다.

장기 보유 자산의 경우

안전한 서명 장치, 오프라인 복구 백업, 충분히 테스트한 복구 절차를 갖춘 전용 셀프 커스터디 환경을 고려할 수 있다.

고액 포트폴리오의 경우

다수의 지갑, 거래 한도, 분리된 기기, 필요에 따라 다중서명 거버넌스 등 여러 겹의 통제 장치를 활용해야 한다.

모든 이용자에게

강력한 인증을 활성화하고, URL을 확인하며, 신뢰할 수 있는 화면에서 거래 세부 정보를 검토해야 한다. 또한 지갑 주소와 복구 절차를 명확하게 기록해 두는 것이 좋다.

암호화폐 이용자를 위한 실질적인 보안 체크리스트

최근 발생한 사건들은 다음과 같은 실질적인 교훈을 제공한다.

1. 거래용 잔액과 장기 보유 자산을 분리하라.
   모든 자산을 한 곳에 보관하면 단일 장애 지점이 생긴다.

2. 상당한 규모의 자산에는 하드웨어 기반 키 보호 수단을 사용하라.
   하드웨어 지갑은 개인 키를 여러 온라인 위협으로부터 격리할 수 있다. 다만 모든 형태의 피싱이나 사회공학 공격까지 막아주는 것은 아니다.

3. 시드 문구나 개인 키를 절대 공유하지 마라.
   정상적인 고객지원 담당자, 거래소, 지갑 제공업체라면 이를 요구하지 않는다.

4. 기기 자체에서 거래 내용을 확인하라.
   이미 침해됐을 가능성이 있는 컴퓨터나 브라우저에 표시되는 정보만 믿어서는 안 된다.

5. 토큰 승인과 스마트 계약 권한을 점검하라.
   사용하지 않는 승인 권한은 탈중앙화 금융 환경에서 추가적인 위험을 만들 수 있다.

6. 독립적인 백업을 유지하라.
   복구 정보를 안전하게 보관하고, 이를 촬영하거나 클라우드 서비스에 업로드하지 마라.

7. 플랫폼 공지와 출금 조건을 모니터링하라.
   일시적인 출금 중단, 이례적인 점검, 출금 정책 변경은 운영상 부담이 커졌다는 신호일 수 있다.

8. 자금을 예치하기 전에 거래 상대방 위험을 평가하라.
   회사가 어느 국가에 등록돼 있는지, 고객 자산이 어떻게 보관되는지, 어떤 보호 장치가 존재하는지, 과거 사고에 어떻게 대응했는지를 살펴봐야 한다.

바이낸스와 폴리마켓 사건이 업계에 의미하는 것

바이낸스와 폴리마켓에서 발생한 것으로 알려진 사건은 중앙화된 자산 보관이나 셀프 커스터디 중 어느 한쪽이 모든 상황에서 우월하다는 사실을 증명하지 않는다. 오히려 암호화폐 보안을 자산 보관 과정 전체에 걸쳐 평가해야 한다는 점을 보여준다.

중앙화 플랫폼은 자본 준비금, 전문 보안팀, 이용자 보상 역량을 제공할 수 있다. 셀프 커스터디는 중개자에 대한 의존도를 낮추고 개인 키를 직접 소유할 수 있게 한다. 그러나 이용자와 플랫폼, 서비스 제공업체 중 어느 한쪽이라도 기본적인 보안 통제를 소홀히 하면 두 방식 모두 실패할 수 있다.

AI를 활용한 공격이 더 손쉬워지고 암호화폐 인프라가 더욱 긴밀하게 연결되면서, 이용자는 신원 시스템, 외부 협력업체, 지갑 인터페이스, 사람의 행동을 노리는 공격이 늘어날 것에 대비해야 한다.

거래소 보관에 대한 의존도를 낮추려는 개인이라면 원키(OneKey)와 같은 하드웨어 지갑을 활용해 거래에 서명하고 개인 키를 관리하는 오프라인 환경을 구축할 수 있다. 다만 그 효과는 안전한 백업, 거래 세부 정보 확인, 펌웨어 업데이트, 모든 요청에 대한 신중한 승인 등 체계적인 운영 습관과 함께 사용할 때 가장 커진다.

핵심 교훈은 간단하다. 암호화폐 소유권은 자산을 어디에 보관하느냐에만 달려 있지 않다. 누가 키를 통제하는지, 어떤 시스템이 거래에 영향을 미칠 수 있는지, 사고가 어떻게 처리되는지, 그리고 이용자에게 현실적인 복구 계획이 있는지가 모두 중요하다.