미 FBI "북, 가상화폐 63억달러 탈취 배후"...국내 투자자 어떻게 해야 할까?

■ 진행 : 유다원 앵커, 강희찬 앵커
■ 전화연결 : 지니언스 시큐리티 센터장 문종현 이사

* 아래 텍스트는 실제 방송 내용과 차이가 있을 수 있으니 보다 정확한 내용은 방송으로 확인하시기 바랍니다. 인용 시 [YTN 뉴스와이드] 명시해주시기 바랍니다.

[앵커]
앞서 전해드린 것처럼 미국 FBI가 이번 바이낸스 해킹 사건 배후로 북한 해킹조직을 지목했습니다. 2017년과 2018년 미국초청을 받아 FBI와 2차례 회의에 참여했고 북한 정찰정보총국 소속으로 알려진 해커 박진혁 조사에 자문 역할을 수행하신지니언스 시큐리티 센터장문종현 이사님께 관련 내용 여쭤보겠습니다. 이사님 나와 계십니까?

[문종현]
안녕하십니까?

[앵커]
먼저 이번 사건의 공격 방식부터 짚어보겠습니다. 바이낸스가 밝힌 내용을 보면 엔지니어 업무용 노트북이 해킹된 뒤 서비스 시스템에 접근해 비인가 출금을 실행했을 가능성이 제기가 되고 있는데요. 이게 직원 PC를 장악하는 것만으로어떻게 8조 원이 넘는 가상자산을 빼낼 수 있었던 겁니까?

[문종현]
먼저 핵심은 직원 PC 자체에 탈취 원인이 들어 있던 것은 아니고요. 그게 해킹의 출발점이 됐을 가능성이 있다는 점입니다. 참고로 바이낸스는 2017년 중국에서 출범을 했고당시 중국에 가상자산 규제가 들어갔고 약 두 달 만에 해외로 사업 기반을 옮겼고요. 현재는 아랍에미리트가 세계 최대 규모의 가상자산 거래소입니다. 이번에 탈취된 금액이 63억 달러로 알려졌고 우리 돈으로는 8조 4000억 원 정도에 가깝습니다. 그래서 바이낸스의 초기 조사에서는 개발과 시스템 운용을 담당하는 엔지니어의 업무용 노트북이 먼저 침해됐을 가능성이 제기됐는데요. 공격자가 이 PC를 발판으로 내부 서비스 시스템까지 접근해서 비인가 출금거래를 만들어냈을 가능성이 있다는 겁니다. 그런데 가상자산이 실제로 외부로 빠져나가려면 거래소 내부에서 출금을 승인하고 전자서명을 만들어주는 과정을 거쳐야 하는데요. 이번에는 비트코인이나 이더리움처럼 서로 방식이 다른 여러 블록체인에서 공격자가 원하는 거래의 정상적인 서면이 매우 짧은 시간 안에 만들어졌습니다. 그래서 쉽게 비유를 해 드리면금고 열쇠를 훔친 게 아니라 정상적인 송금 승인 시스템을 장악한 다음에 시스템 스스로 범인의 계좌로 돈을 보내게 만든 것에 가깝다고 볼 수 있을 것 같고요. 다만 바이낸스가 이후 추가적으로 확인했다고 밝혔기 때문에 단순히 직원 노트북 하나만이 전체의 원인이었다고 보기에는 아직 이르고 정확한 침투 경로는 최종 조사 결과를 지켜봐야 할 것 같습니다.

[앵커]
이번 사건의 배후로 북한 해킹 조직 트레이더트레이터가 공식 지명됐는데. 이 조직은 어떤 특징을 가진 해킹조직인가요?

[문종현]
먼저 트레이더트레이터는 북한에서 사용하는 공식 조직명은 아니고요. 미국 정부가 북한의 가상자산 탈취활동을 추적하면서 사용하는 명칭이라고 보시면 될 것 같습니다. 가장 큰 특징은 시스템보다 먼저 사람을 노린다는 점인데요. 가상자산 거래소의 개발자나 내부 직원들을 대상으로 먼저 채용 담당자나 투자자처럼 위장을 해서 공격자들이 접근합니다. 그래서 가짜 취업자나 코딩 테스트를 보내고 이때 악성코드를 실행하도록 유도하고 있고 그다음에 직원 PC나 계정을 장악한 뒤에 내부 시스템으로 침투하는 방식을 사용하고 있습니다.

[앵커]
이전에 북한이 해왔던 해킹과 이번 해킹을 비교해 본다면 공통점이나 차이점도 있습니까?

[문종현]
공통점이라고 보면 역시 사람과 신뢰관계를 먼저 이용하고 있다는 점이고요. 북한 해킹조직은 오래전부터 채용 제안이나 가짜 이력서, 투자제안 등을 이용한 쉽게 얘기하면 이메일 기반의 공격을 하고 있고요. 최근에 달라진 점은 공격의 목표가 훨씬 더 깊어지고 있다는 점입니다. 예전에는 단순히 비밀번호나 개인 키를 직접 훔치는 공격이 많았다면 최근에는 개인 키를 사용하는 승인시스템이나 전자서명시스템 자체를 노리는 사례로 많이 두드러지고 있는 것 같습니다.

[앵커]
특히 이번 사건에서 눈여겨볼 대목이 해킹 이후 20분 동안 벌어진 상황인데요. 바이낸스 임원진이 긴급회의까지 열었지만 자산이 빠져나가는 것을 막지 못했다고 하는데내부에서도 손을 쓸 수 없었던 이유가 뭐죠?

[문종현]
가장 큰 이유는 공격자는 이미 사전에 준비를 철저히 마친 상태인 것 같습니다. 그래서 일종의 가상 시나리오를 먼저 준비해서 자산 탈취를 매우 빠르게 수행을 한 것 같고요. 당연히 바이낸스 방어하는 입장에서는 사고를 인지하고 발견한 다음부터 대응안을 진행해야 되기 때문에 그 부분에서는 어려움이 있을 거다라고 생각이 들고요. 블록체인 거래시스템은 정상적인 전자서명이 네트워크로 전달되고 확정되면 우리가 사용하는 일반 은행 송금처럼 자유롭게 취소하거나 되돌리기 어려운 구조를 가지고 있습니다. 그래서 이번에도 주요 자금 유출이 약 20분이라는 짧은 시간에 집중이 됐고 공격자가 이미 거래소 내부에서 정상적인 출금과 서명을 만들 수 있는 단계까지 들어가 있었다면 바이낸스가 이상을 발견하고 상당수 거래가 블록체인으로 넘어갔을 시점에는 대응이 많이 어려웠을 것 같고 특히 이더리움이라는 가상자산은 스마트 컨트랙트라는 기능을 활용할 수 있는데요. 쉽게 말하면 미리 정해놓은 조건이 충족되면 자동으로 실행되는 블록체인 프로그램입니다. 그래서 공격자는 자동화 기능과 사전에 준비한 거래를 이용해서 굉장히 빠르게 탈취를 할 수 있지 않았을까 생각합니다.

[앵커]
가상자산은 한 번 외부 지갑으로 전송되면 되돌리기 어렵다고 전해지고 있는데 어떤 자산은 동결이 가능하고 어떤 자산은 동결이 어렵고 차이가 있는 건가요?

[문종현]
가상자산마다 구조가 서로 다르기 때문인데요. 보통 우리가 스테이블코인이라고 많이 들어보셨을 것 같은데 조금 어렵지만 USDT나 USCD라는 게 있거든요. 쉽게 말하면 코인 1개가 1달러 안팎의 가치를 계속 유지할 수 있도록 만든 가상자산이에요. 그래서 USDT라는 것은 테더, USDC는 서클이라는 회사가 발행하고 있고요. 이렇게 발행 회사가 있는 스테이블코인은 범죄에 사용된 지갑주소가 확인되면 해당 토큰을 더 이상 움직이지 못하게 동결하는 조치를 취할 수 있습니다. 그래서 스마트컨트렉트를 활용하면 특정 주소의 거래를 제안하는 방식이 사용될 수 있기 때문에 어느 정도 동결이 가능한 구조를 가지고 있는데요. 반면에 비트코인이나 우리가 많이 사용하는 이더리움에는 이런 중앙에서 발행하는 회사가 없기 때문에 어떤 회사가 특정주소에 있는 코인을 바로 정지시킬 수는 없는 구조를 가지고 있습니다. 그래서 공격자 입장에서는 동결될 가능성이 있는 스테이블코인을 탈취하면 최대한 빨리 가능한 빨리 비트코인이나 이더리움처럼 직접 동결하기 어려운 자산으로 바꾸려고 하는 겁니다.

[앵커]
FBI에서도 해커들이 탈취한 자산을 이더리움으로 전환하고 있고, 향후 추가 세탁에 나설 것으로 예상했고 이사님께서도 스마트 컨트랙트를 말씀을 하셨는데 이렇게 되면 왜 추적이 어렵게 되는 거죠?

[문종현]
정확히 말씀드리면 이더리움으로 바꾼다고 해서 돈의 흔적이 사라지는 건 아니고요. 이더리움도 모든 거래기록이 블록체인에 남기 때문에 어느 지갑에서 어느 지갑으로 이동했는지 계속 추적할 수가 있습니다. 문제는 자금을 동결하고 실제로 회수하는 과정이 훨씬 어려워진다는 거고요. FBI는 이번 사건 이후에 북한 측이 탈취자산을 주로 이더리움으로 전환하고 있고 이후 추가적인 자금세탁에 나설 것으로 안내를 하고 있는 상황이거든요. 그래서 이 과정에서 보통 탈중앙화 금융이라고 해서 이른바 디파이를 이용할 수도 있고요. 중앙거래소 없이 블록체인을 이용한 금융서비스거든요. 그리고 믹싱이라든지 또는 인스턴트스왑이라고 해서 즉시 교환해 주는 서비스들도 있어요. 한 종류의 코인을 다른 종류의 코인으로 바꿀 수 있고요. 또 블록체인브릿지라고 해서 서로 다른 블록체인 사이에서 자산을 옮겨주는 서비스까지 거치면 지금 탈취한 자금을 여러 지갑으로 계속 나누면서 이동경로가 수십 갈래, 또는 수백 갈래로 늘어나게 되고 마치 거미줄처럼 복잡해지는 거죠. 그러면 실제 소유자를 특정하거나 자산을 동결하거나 회수하는 일이 어려워지는 것이기 때문에 그런 부분에서 계속 블록체인 기반의 비트코인은 추적이 어렵다고 보시면 될 것 같습니다.

[앵커]
이번 사건을 계기로 기업들도 위협을 경계할 것 같고 개인들도 보안사항을 지켜야 할 것 같은데 어떤 것들이 중요할까요?

[문종현]
이 부분 이번 사건을 이해하는 데 가장 중요한 대목인 것 같은데요. 블록체인이 보통 우리가 안전하다는 것과가상자산을 중간에서 중개해 주는 거래소가 안전하다는 것은 조금 다른 문제입니다. 블록체인의 강점은 한 번 기록된 거래를 누군가 마음대로 수정하거나 위조하기가 매우 어렵다는 건데요. 블록체인은 거래가 만들어지기 전에 거래소 내부에서 어떤 일이 일어났는지를 판단해 주지는 않습니다. 예를 들어서 공격자가 거래소에서 전자서명시스템을 장악해서 자신이 원하는 송금의 정상적인 서명을 만들어냈다면 블록체인 입장에서는 정상적인 거래로 받아들일 수밖에 없습니다. 그래서 쉽게 비유하면 은행 장부를 위조한 게 아니라 공격자가 은행의 정상적인 결제에 도장을 찍게 만든 것이고요. 장부는 오히려 거래를 정확하게 기록만 해 주는 것이죠. 그래서 거래소에는 보통 핫 월렛, 고객의 출금을 빠르게 처리하기 위해서 인터넷을 연결해서 사용하는 가상자산 지갑이 있고요. 만약에 가상자산 지갑을 관리해 주는 옆에 있는 직원 PC나 서버, 클라우드 계정, 출금승인시스템, 전자서명시스템 등이 만약 해킹을 당하면 블록체인 자체가 뚫리지 않더라도 자산이 빠져나갈 수 있게 되는 거죠.

[앵커]
오늘 말씀 여기까지 듣겠습니다. 지금까지 문종현 지니언스 시큐리티 센터장과 함께했습니다. 오늘 말씀 고맙습니다.