룽후이 구 서틱(CertiK) 공동창립자 겸 최고경영자(CEO). (사진=서틱 제공)
구 CEO는 최근 잇따르는 가상자산 탈취 사고의 근본적인 원인으로 공격 대상이 갈수록 넓어지고 있다는 점을 꼽았다. 과거에는 블록체인 프로그램의 기술적인 허점을 찾아 공격하는 경우가 많았다면 최근에는 가상자산을 보관하고 이동시키는 전 과정에서 약한 부분을 찾아 파고드는 방식으로 공격 수법이 변화하고 있다는 것이다.
최근 비트코인 전용 하드웨어 지갑 콜드카드에서 2000비트코인 이상이 탈취된 사고가 대표적이다. 구 CEO는 “콜드카드 사례의 문제는 비트코인의 원장이나 합의 메커니즘 자체가 아니라 지갑의 시드 생성 과정에서 발생한 난수 생성 결함에 있었다”며 “탈중앙화거래소(DEX)에서도 블록체인 자체보다는 스마트 컨트랙트나 권한 관리, 개인키 또는 주변 인프라가 공격받으면서 대규모 자산 손실이 발생하는 경우가 많다”고 설명했다.
인공지능(AI)과 자동화 기술의 발전도 새로운 위험 요인으로 지목했다. AI를 활용하면 과거보다 코드를 분석하거나 기존 취약점을 찾아내고 재현하기 쉬워지는 만큼 오랫동안 드러나지 않았던 취약점이 새롭게 발견돼 실제 공격에 활용될 가능성도 커지고 있다는 설명이다.
구 CEO는 “근본적인 문제는 특정 가상자산 자체가 안전하지 않다는 데 있는 것이 아니다”며 “특정 제품이나 하나의 영역만 보호하는 방식에서 벗어나 키 관리와 코드, 권한, 인프라, 운영 절차, 인적 요소까지 아우르는 다층적인 보안 체계로 전환해야 한다”고 강조했다.
그는 콜드월렛도 ‘절대적으로 안전한 금고’는 아니라고 강조했다. 지갑을 만드는 과정부터 실제 자산을 이동시키기까지 여러 단계 가운데 한 곳이라도 뚫리면 피해가 발생할 수 있기 때문이다.
그러면서도 “콜드월렛이 더 이상 안전하지 않다고 단정하기는 어렵다”고 선을 그었다. 콜드월렛은 가상자산에 접근하는 데 필요한 개인키를 인터넷에 연결된 환경과 분리해 보관하기 때문에 원격 해킹이나 중앙화된 거래소에서 발생할 수 있는 위험을 줄이는 수단으로 여전히 유효하다는 설명이다.
서틱이 집계한 올해 상반기 지갑 탈취 사고는 총 33건으로 피해액은 약 4억5000만달러(6085억원)에 달했다. 이는 같은 기간 전체 디지털자산 보안 사고 피해액의 3분의 1 이상이다.
이에 일반 투자자도 콜드월렛을 사용하는 것만으로 자산이 안전하다고 생각해서는 안 된다고 조언했다. 특히 그는 “고액 자산을 보유한 개인이나 기관은 하나의 하드웨어 지갑에만 의존하기보다 여러 사람이 거래를 승인하도록 하는 ‘멀티시그’를 활용하거나 권한을 분리하고 자산을 여러 곳에 나눠 보관하는 방식이 필요하다”고 강조했다.
국내 디지털자산 시장이 대비해야 할 주요 위험으로는 북한 해킹 조직의 공격을 꼽았다. 서틱이 발표한 ‘Skynet 북한 가상자산 위협 보고서’에 따르면 2016년 이후 북한과 연계된 해킹 조직으로 인해 발생한 디지털자산 피해 규모는 약 67억5000만달러(9조1273억원)에 달한다. 지난해에만 약 20억6000만달러(2조7855억원)의 피해가 발생했으며 이는 당시 글로벌 가상자산 업계 전체 피해액의 약 60%에 해당한다.
구 CEO는 북한 연계 조직의 경우 단순히 프로그램의 기술적 취약점을 찾아 공격하는 수준을 넘어 기업 내부에 장기간 침투하는 방식으로 공격 수법을 바꾸고 있다는 점에 주목했다. 그는 “최근 공격은 더 이상 스마트 컨트랙트 취약점을 찾는 데만 집중하지 않는다”며 “직원이나 개인키와 서명 권한, 외부 업체를 통한 공급망, 기업 내부 시스템 등을 대상으로 장기간 침투하는 방식이 점점 더 많이 활용되고 있다”고 말했다. 이어 “실제 블록체인상에서 자산이 탈취되는 시점에는 공격자가 이미 수개월에 걸쳐 사전 준비와 침투를 진행했을 가능성도 있다”고 덧붙였다.
국내 거래소와 금융기관, Web3 기업 역시 이에 맞춰 보안 체계를 바꿔야 한다고 강조했다. 개인키나 자산 이동 권한을 한 사람에게 집중시키지 않고 여러 사람의 승인을 거치도록 하는 한편 임직원 신원 검증과 사회공학적 공격에 대한 대응 역량을 강화해야 한다는 것이다.
구 CEO는 “국가 차원에서 장기간 공격을 수행하는 위협 주체에는 특정 보안 제품 하나나 일회성 보안 감사만으로 대응하기 어렵다”며 “코드와 인력, 권한 관리, 공급망, 지속적인 모니터링을 유기적으로 결합한 다층적 방어 체계를 구축해야 한다”고 강조했다.
서틱은 공격 방식의 변화에 맞춰 사업 영역을 확대해왔다. 2017년 설립 당시에는 스마트 컨트랙트와 블록체인 프로토콜의 안전성을 검증하는 데 사업의 초점을 맞췄다. 하지만 보안 사고의 원인이 복잡해지자 단순히 프로그램의 취약점을 찾아주는 감사에서 벗어나 디지털자산의 개발부터 실제 운영까지 전 과정을 관리하는 방식으로 사업을 넓혔다.
한국 시장 공략에도 속도를 내고 있다. 서틱은 지난해 말 국내 지사를 설립하고 현지 인력을 배치했다. 또한 서틱은 넥써쓰(NEXUS)를 비롯한 국내 웹3 기업과 지갑 서비스 제공업체, 디지털자산 사업을 추진하는 기관 등과 협력을 확대하고 있다. 서울시와 부산시 등 공공 부문과도 각각 MOU를 체결한 바 있다.
구 CEO는 “한국은 서틱이 아시아에서 중요하게 보고 있는 시장 중 하나”라며 “현재 거래 규모만을 기준으로 시장을 평가하기보다 산업이 장기적으로 지속 가능한 성장을 이어갈 수 있는 환경을 갖추고 있는지를 중요하게 보고 있다”고 말했다.
그는 “앞으로 중요한 것은 단순히 거래 규모가 계속 성장할 수 있는지가 아니라 이를 뒷받침할 성숙한 인프라와 규제 체계, 리스크 관리 역량을 함께 구축할 수 있는지”라며 “서틱은 이같은 변화에 장기적으로 참여하기 위해 한국에 현지 팀을 구축한 것”이라고 강조했다.
