2022년도 가상자산(암호화폐) 탈취 피해액 4조3000억원. 보고된 해킹 사례만 130건. 탈(脫)중앙화를 외치며 성장한 가상자산 시장의 민낯이다. 아직 한해가 마무리되지 않았는데도 이미 지난해와 비슷한 규모의 금융 피해가 발생했다.
 
사이버보안 1위 업체 SK쉴더스의 보안 전문가들은 블록체인을 기반으로 한 가상자산에서 이 같은 대형 피해가 발생하는 이유로 ‘중앙화된 거래소의 운영’을 꼽았다. 심지어 가상자산의 핵심인 탈중앙화 시스템도 ‘완벽한 보안’을 담보하지 않는다고 지적했다.
 
SK쉴더스의 화이트해커 그룹 이큐스트(EQST)는 6일 서울 중구 정동 상연재에서 미디어 세미나를 열고 2023년 보안 위협 전망과 대응 전략을 공유했다. 이큐스트는 국내 최대 규모 화이트해커 그룹으로 매년 이 같은 세미나를 열어 보안 기술의 중요성과 그간 발생한 피해 사례를 소개하고 있다.
 
이들은 내년 피해가 발생이 예상되는 분야 중 하나로 가상자산 시장을 선정했다. 이호석 SK쉴더스 이큐스트 랩(Lab)장은 이날 세미나에서 “세계 최대 가상자산 거래소인 바이낸스에서 8000억원의 해킹 피해 발생을 비롯해 현재까지 4조3000억원 가량의 탈취가 이뤄진 것으로 파악됐다”며 “가상자산은 탈중앙화를 통한 분산 거래가 원칙이지만, 신원 확인 등의 목적으로 확보한 개인정보를 중앙화해 운영하는 거래소 방침이 원인”라고 말했다.
 
거래 편의성을 위해 도입한 시스템도 취약점으로 꼽았다. 이 랩장은 “모든 자산을 따로 운용하는 망분리가 이뤄지지 않아 해커가 웹 서버에 침투해 토큰·정보를 획득하는 식의 금융 사고가 벌어지고 있다”고 지적했다. 거래소가 당초 가상자산의 취지와 맞지 않게 플랫폼을 운영, 해킹 취약점을 만들었단 설명이다.
 

심지어 가상자산의 분산 거래도 해킹에서 자유롭지 못한 것으로 나타났다. 이 랩장은 “8개의 서버를 동시에 해킹하지 않으면 탈취가 사실상 불가능해 가상자산이 안전하다고 알려졌으나, 실제론 그렇지 않았다”며 “과반(5개 이상)의 서버를 해킹해 가상자산을 탈취한 사건이 올해 발생하기도 했다”고 말했다. 분산 거래를 진행하는 여러 대의 서버를 장기간 해킹해 가상자산을 탈취하는 사례가 실제로 일어난 만큼 블록체인 기반의 가상자산 역시 ‘구조적 취약점’을 지니고 있단 설명이다.
 
SK쉴더스 화이트해커들은 이 같은 가상자산 금융 피해가 2023년에도 계속될 수 있고, 피해액 역시 지속적으로 증가할 수 있다고 진단했다. 이미 거래액 측면에서 가상자산은 유가증권 시장 규모를 넘어섰다.
 
이 랩장은 특히 국내 가상거래 시장에서의 피해가 두드러질 수 있다고 우려했다. 그는 “국내 서비스 특징은 신원 확인을 전제로 거래소가 운영된다는 점인데, 이 때문에 이미 한차례 중앙화 시스템을 거치게 된다”며 “개인정보를 이미 다 서버에 넘긴 후에야 탈중앙화 시스템을 적용하는 구조라 앞면에 배치된 중앙시스템이 해킹당하면 가상자산 탈취가 이뤄질 수 있다”고 했다.
 
SK쉴더스는 ‘가상자산 공격 급증’과 함께 ▶다변화된 랜섬웨어 ▶서비스형 피싱 공격(PhaaS) ▶고도화되는 모바일 보안 위협 ▶산업용 사물인터넷(IIoT) 보안 위협 증가 등 2023년 주요 보안 위협으로 선정했다.
 
랜섬웨어의 경우 더욱 다변화·지능화되고 교묘해질 전망이다. 국내 시장을 타깃으로 한 랜섬웨어는 이미 등장한 상태다. 여기에 데이터 파괴만을 목적으로 하거나 데이터베이스 서버의 취약점만을 노린 랜섬웨어가 발견되는 등 공격 방식이 다각화되는 추세다.
 
SK쉴더스 화이트해커들은 또 피싱 공격 역시 새로운 형태의 플랫폼을 만나 PhaaS의 공격이 거세질 수 있다고 전망했다. 특히 다크웹에서 발견된 ‘카페인(Caffeine)’이라는 피싱 판매 사이트를 필두로 공격이 진행될 수 있다고 분석했다. 이 랩장은 “인공지능(AI) 기술을 악용한 스팸 메일 필터링 우회 등의 기법도 발견되고 있어 피싱 공격에 대한 체계적인 대책 수립이 요구된다”고 말했다.
 
신종 코로나바이러스 감염증(코로나19) 대유행에 따라 산업 전반에 확산된 무인화·자동화 기기에 대한 위협에도 ‘대비해야 할 지점’으로 꼽았다. 김태형 SK쉴더스 이큐스트 팀장은 “IIoT가 적용된 무인화 산업·제조시설은 다양한 장비를 사용하지만 자산 관리가 미흡하다”며 “보안 위협에 취약한 운영체제를 사용하는 경우가 많아 개인정보 유출이나 랜섬웨어 등의 사이버 공격의 대상이 되기 쉽다”고 경고했다.
 

이큐스트는 올해 직접 경험한 해킹 사고 사례와 연구 결과를 토대로 이 같은 내년에 발생 가능성이 높은 사이버 보안 위협 분야를 선정했다. 이와 함께 올해 발생한 업종별 사고 사례를 소개하고 취약점 통계 등의 정보도 공개한다. 이큐스트가 꼽은 보안 위협 전망과 대응 전략이 담긴 보고서는 SK쉴더스 공식 홈페이지를 통해 9일부터 확인할 수 있다.
 
이재우 SK쉴더스 이큐스트사업 그룹장은 “디지털 전환이 가속화되며 사이버 위협이 일상 속으로 깊이 침투해 큰 피해를 불러일으키고 있어 사전 예방부터 대응, 체계적인 보안 관리 등이 전 산업 영역에 걸쳐 필요한 시점”이라며 “기업과 사회에 필요한 실질적인 보안 대책을 마련하는 데 도움이 될 수 있도록 보안 전략 수립과 정보 공유에 앞장설 것”이라고 강조했다.

정두용 기자 jdy2230@edaily.co.kr

ⓒ이코노미스트(https://economist.co.kr) '내일을 위한 경제뉴스 이코노미스트' 무단 전재 및 재배포 금지