[생생경제] "40분간 400억 원 털렸다! 가상화폐 거래소 보안 불안, 어쩌나"

[생생인터뷰] "40분간 400억 원 털렸다! 가상화폐 거래소 보안 불안, 어쩌나"

■ 방송 : YTN 라디오 FM 94.5 (15:10~16:00)
■ 진행 : 김혜민PD
■ 대담 : 한호현 경희대 컴퓨터공학과 교수

◇ 김혜민PD(이하 김혜민)> 오늘 가장 뜨거운 경제뉴스를 제일 생생하게 전해드리는 시간입니다. 지난해 대한민국을 뜨겁게 했던 가상화폐, 오늘도 가상화폐 때문에 뜨겁습니다. 국내 가상화폐 거래소 코인레일이 해킹 당했습니다. 유출액이 400억 규모인데요. 관련 내용 살펴보겠습니다. 경희대 컴퓨터공학과 한호현 교수 나오셨어요. 교수님 안녕하세요?

◆ 한호현 경희대 컴퓨터공학과 교수(이하 한호현)> 네, 안녕하세요.

◇ 김혜민> 이 가상화폐, 비트코인, 이것 작년에 뜨거웠잖아요? 그때도 공부하려고 맘 잡고 봤는데 모르겠더라고요. 오늘도 맘 잡고 보는데 어렵더라고요. 제가 아주 쉽게 설명해달라고 부탁드려도 될까요?

◆ 한호현> 이 가상화폐라는 개념이 상당히 어려운 개념이에요. 그래서 많은 사람들이 이해하기 어려운 면이 있는 것이 사실인데요. 가상화폐는 실제로 컴퓨터 파일을 서로 개인과 개인이 주고받는 것입니다. P2P라고도 표현하는데요. 그러다 보니까 제가 가지고 있는 컴퓨터 파일을 또 다른 사람한테 복사해서 줄 수 있거든요. 다른 사람한테 나눠줄 수 있다는 거죠. 그래서 그 부분을 어떻게 하면 딱 한 번만 줄 수 없도록 할 수 있을까, 이런 개념을 만들어 낸 것이 가상화폐라고 보시면 됩니다. 만약에 그렇게 하려면 그 사람이 한 번만 줬다는 것을 누군가가 감시를 하고 있으면 한 번밖에 못 주게 되거든요. 그런 다음에 두 번을 줬다고 하더라도저 사람은 두 번을 복사해서 다른 사람에게 줬다는 것을 누군가가 알 수 있다면 그런 작업을 못 하게 하기 위한 것을 만들어 낸 거죠. 이것을 어떻게 했냐면 모든 거래 내용을 모든 사람이 컴퓨터에 갖는 것입니다. 그렇게 하려면 제가 어떤 사람한테 만약에 컴퓨터 파일을 전달할 때, 그 전달했다는 내용을 그 네트워크에 참여한 모든 사람에게 똑같이 뿌려주게 되는 겁니다. 만약 이런 작업이 반복된다면 제가 두 번 보냈다는 걸 누구든지 알 수 있게 되는 것이죠. 그런 메커니즘을 못하게 하는 것을 만들어 낸 것이 가상화폐라고 보시면 됩니다.

◇ 김혜민> 아마 청취자분들 중에서 가상화폐 거래를 하시는 분들은 이해가 아마 빠르실 거고요. 이것을 해보지 않으신 분들은 아무리 교수님이 설명을 해주셔도 100% 와닿지는 않을 것 같은데요. 그러면 이제 이 사건을 이해하다 보면 가상화폐도 이해가 될 것 같아요. 먼저 가상화폐가 현재 모두 몇 개고, 거래소가 몇 개인지 현황을 설명해주시겠어요?

◆ 한호현> 가상화폐가 현재 전 세계적으로 나와 있는 것이 약 7천여 개 정도라고 보시면 됩니다. 그리고 그중에서 거래가 어느 정도 되고 있다는 것을 인지할 수 있는 수준의 것이 한 1600여 개 정도라고 보시면 될 것 같습니다. 그다음에 가상화폐를 중개해주는, 흔히 우리가 거래소라고 표현하는데, 이 숫자조차도 잘 파악이 안 되고 있습니다. 단지 전 세계적으로 약 1만 개 이상 있을 것이다, 하고 추측을 하고 있는데, 그 숫자가 계속 늘어나고 있다고 보시면 됩니다. 국내에도 거의 몇십 개 이상 있는 것으로 지금 알려지고 있습니다.

◇ 김혜민> 국내외적으로 활발하게 거래되고 있는 가상화폐인데요. 이 가상화폐 거래소 중의 한 곳인 코인레일에서 해킹이 발생했다는 것이잖아요. 지금 보도에 따르면 210억 달러의 펀디엑스, 149억의 애스톤 등 400억 원의 가상화폐가 유출됐다는 건데요. 그것도 40분간요. 경찰이 조사에 착수했으니까 원인은 밝혀지겠지만, 교수님께서 추론하시는 원인이 있습니까?

◆ 한호현> 통상적으로 해킹이라는 가상화폐의 해킹은 가상화폐 지갑에 있는 키 값을 가져간다고 보시면 됩니다. 그러니까 우리가 열쇠를 가져간다고 보시면 되는 거죠. 집마다 예를 들자면 집 안에 물건을 보관하고 있는데, 금고 열쇠를 가져간다기보다 현관문의 열쇠를 가져간다고 생각하시면 됩니다. 그래서 가상화폐는 만약에 우리가 집집마다 무언가 중요한 물건을 놔두었을 때, 그 현관문의 키 번호만 알면 들어갈 수 있지 않습니까? 그렇게 해서 가져가는 형태가 되거든요. 가상화폐의 해킹이라고 하면 그 단계이기 때문에 여기서 추론을 한다면 여러 가지를 생각해 볼 수 있는데, 한 가지는 그렇게 움직이는 개인 키를 누군가가 다른 사람의 컴퓨터에 침입을 해서 가져가는 방법이 있고요. 그다음에 내부에서 외부로 유출하는 형태가 있는데, 현재 이 두 가지의 가능성을 모두 놓고 봐야하는 거죠. 실제 이 가상화폐 거래소의 컴퓨터 시스템 자체가 어떤 보안체계가 제대로 구축 안 되어 있는 경우가 많습니다. 그래서 그 원인을 파악해 내기가 아주 어려운 상태라고 보시면 됩니다. 오히려 컴퓨터 보안 시스템이 어느 정도 갖춰져 있다면 원인을 파악하기가 쉬운데요. 그렇지 않은 경우에는 파악이 굉장히 어렵다는 거죠. 예를 들면 우리가 집안에 누군가 물건을 훔쳐 갔다고 했을 때, 외부에 CCTV라든지, 여러 통제 요소가 있다면 어느 정도 파악이 쉬워지기는 한데, 그렇지 않은 상태라면 누가 문을 열고 들어갔는지 파악이 쉽지 않다는 겁니다.

◇ 김혜민> 보안체계가 갖춰있지 않기 때문에 알 수 없다고 하셨는데, 가상화폐도 어쨌든 돈 거래잖아요. 그런데 어떻게 보안체계가 갖춰져 있지 않을 수가 있습니까?

◆ 한호현> 갖춰져 있지 않다는 표현은 약간 오해가 있을 상황인데요. 어느 정도의 보안체계는 갖춰 있지만 이 가상화폐를 거래하는 데 있어서 해킹이라든지, 또 고객이 맡긴 자산을 정확하게 지켜줄 만큼의 충분한 보안체계는 갖춰져 있지 않다고 말씀 드릴 수 있습니다.

◇ 김혜민> 그래서 교수님께서 가상화폐 거래의 위험성에 대해서 여러 차례 경고를 하신 것으로 알고 있습니다. 교수님은 이렇게 해킹을 당할 일이 생길 것이라고 예상하셨나요?

◆ 한호현> 그 위험성은 항상 내재해 있는데요. 가상화폐를 하는 분들은 흔히 은행 시스템 같은 경우에 중앙 시스템으로 되어 있어서 해킹이라든지, 위, 변조에 취약하다고 얘기들을 하십니다. 하지만 실제로는 가상화폐가 훨씬 더 위험성이 크다고 봐야 되고요. 더욱이 이 가상화폐를 거래하는 거래소 같은 경우에는 두 가지 문제를 모두 해결 해야 합니다. 하나는 거래소 자체의 보안 문제가 있고요. 그다음에 가상화폐 자체가 가지고 있는 보안의 문제가 있습니다. 그 보안 문제를 동시에 해결해 주어야 하는 이중의 어려움을 겪고 있기 때문에 좀 더 보안에 취약하지 않느냐, 이렇게 말씀드리고 있고요. 이러한 대비에 대해서 우리가 잘 못 알고 있는 부분은 가상화폐가 블록체인 기반에서 만들어졌기 때문에 해킹에 안전하고, 위, 변조에 안전하다, 이렇게 알려져 있지만 실제로는 다른 시스템에 비해서 오히려 해킹이라든지, 위, 변조에 취약한 모습을 더 많이 나타내고 있습니다.

◇ 김혜민> 오히려 취약하다고 말씀을 하셨는데요. 그래서 가상화폐 거래소가 공인정보 보호 관리 체계라는 것을 인증 받아야 한다는 이야기도 있거든요. 이 공인정보 보호 관리체계라는 것이 무엇인지 설명해주시겠어요?

◆ 한호현> 네, 정확한 명칭은 정보보호 관리체계라고 표현하시면 될 것 같고요. 이 정보보호 관리체계는 정부에서 일정 규모 이상의 서비스를 하는 서비스 제공자들이 최소 수준의 보안을 갖추도록 권장하는 수준이고, 이 자체가 제대로 지켜지고 있는지를 인증하는 제도가 정보보호 관리체계 인증제도라고 할 수 있습니다.

◇ 김혜민> 최소 수준의 보호요?

◆ 한호현> 네, 최소 수준으로 보셔야 합니다.

◇ 김혜민> 그런데 지금 이것조차도 인증받은 업체가 하나도 없다고 하던데요. 국내 가상화폐 거래소 중에요.

◆ 한호현> 네, 일단은 의무 지정 상태로 가려면 일정 규모 이상의 매출이라든지, 일정 수의 서비스 이용자의 접속 숫자가 나와야 합니다. 그러다 보니까 작년에 상위 4개 업체 정도가 이 기준에 적용이 되는 상태고요. 이 기준에 따라서 정보보호 관리체계 인증신청을 하게 됩니다. 인증 신청을 하게 되면, 인증까지 나오는데 최소 6개월 이상의 시간이 소요됩니다. 그래서 아마 지금 상위 업체들은 인증을 신청했거나, 신청 중일 것이고요. 아마 올해 중에는 인증을 받지 않을까 하고 보고 있습니다.

◇ 김혜민> 전 년도 매출, 또 이용자 규모에 따라서 상위 4개 업체, 코인원, 빗썸, 업비크, 코빗. 이게 이제 올해 인증 대상으로 지정이 됐고요. 교수님이 말씀하신 대로 시간이 좀 걸리기 때문에 올해 안으로 이 기업들은 인정을 받을 것이다, 라고 말씀을 해 주셨습니다. 해킹에 이렇게 취약하다는 이야기 우리가 나눴는데요. 그러면 이제 해킹 당한 후에 후속 조치에 대해서 한 번 이야기를 나눠보죠. 이것은 더 답이 없습니까?

◆ 한호현> 왜냐면 가상화폐의 특성이 가상화폐 물건을 가져가면 가져간 사람이 주인이 됩니다. 어떤 물건에 만약에 소유권이 있다든지, 아니면 어떠한 표식이 있어서 나중에라도 이 물건은 내 것이다, 하고 주장을 할 수 있어야 하는데요. 우리가 만약에 현금이 길거리에 떨어져 있다고 하면, 그게 누가 주인인지 모르지 않습니까? 그것과 같은 이치라고 보면 됩니다. 물론 이제 컴퓨터상으로 어떤 가상화폐의 이동 내역을 어느 정도 추적은 가능하지만, 그 자체도 쉽지 않기 때문에 한 번 유출 돼서 다른 사람의 손에 넘어가게 되면 사실 그 사람이 주인이 되는 형태가 가상화폐라고 보시면 될 것 같습니다.

◇ 김혜민> 40분간 400억 원이나 되는 고객의 돈을 잃어버렸는데, 그럼 고객들은 한 푼도 보상을 못 받는다는 거예요?

◆ 한호현> 만약에 보상을 받으려면 거래소 측에서 거기에 상당하는 어떠한 자산을 보유하고 있거나, 다른 방식을 통해서 손실을 어떠한 보상을 해주어야 하는데요. 대체적으로 지금까지 가상화폐가 거래소에서 상당 규모로 해킹을 당해서 손실을 봤을 경우에 처음에는 대체적으로 보상을 해주겠다, 가지고 있는 자산으로 보상을 해주겠다, 라고 했지만, 실제 지켜지는 예는 그렇게 많지 않습니다. 왜냐하면 가상화폐 거래소의 어떤 자산 규모라든지, 이런 부분이 아직 파악이 충분히 안 되어있고, 또 실제 국내 같은 경우에는 가상화폐 거래소에 일정 규모의 자산을 보유해야 하는 의무 규정도 따로 없기 때문에 실제 법적으로 어떠한 보상을 받기에는 조금 쉽지만은 않은 상황이라고 보시면 될 것 같습니다.

◇ 김혜민> 은행이 만약에 부도가 나면 어느 정도 예금자보호법에 의해서 이렇게 보상을 해주는 법들이 있잖아요. 그런데 가상화폐 관련된 것은 그런 관련법이 전혀 없습니까?

◆ 한호현> 네, 아예 없다고 보시면 될 것 같습니다.

◇ 김혜민> 그러면 제가 이해가 안 되는 건 물론 기술이 제도보다 빠른 것은 맞죠. 그런데 어느 정도 법안과 제도가 기술과 발맞춰 가줘야 기술을 이용하는 소비자들이나 사람들이 보호될 텐데요. 어떻게 이럴 수가 있을까요?

◆ 한호현> 네, 그러니까 은행 같은 경우도 은행이 파산할 경우에 보상의 한도가 아주 최저수준으로 정해져 있는 상태이지 않습니까? 그런데 가상화폐 거래소 같은 경우에는 실제로 가상화폐가 만들어진 것은 개인 간의 거래를 목적으로 만들어진 것인데요. 실제 거래는 어떠한 은행처럼 혹은 증권 거래소처럼 중앙화된 시스템을 이용하게 되어 있습니다. 그러다 보니까 거래소에서 어떤 책임을 지는 구조로 가야 하는데, 실제로 그런 구조가 만들어지지 않고 있는 데다가 가상화폐를 투자하시는 분들도 그러한 부분을 충분히 인지한다면 거래하기 전에 가상화폐 거래소하고의 거래 관계를 좀 더 꼼꼼하게 따져봐야 하는 것이죠. 그런데 흔히 그런 부분에 대해서는 고려를 안 합니다. 왜냐하면 우리 거래소는 안전하게 거래를 해주기 때문에 그럴 염려는 없다, 이렇게 할 수 있는 거죠. 그다음에 투자하시는 분들도 개개인별로 보면 그렇게 가상화폐가 400억 원어치가 유출이 됐다고는 하지만 금액이 적을 수도 있거든요. 그래서 그런 부분에 대해서 충분하게 대비를 하지 않는 현실 때문에 오는 문제라고 볼 수 있겠습니다.

◇ 김혜민> 작년에 활발했던 토론 내용이 생각나는데요. 아주 원론적인 이야기이기는 하지만, 어차피 이렇게 가상화폐가 대세고, 사람들이 많이 쓴다면 이것을 정부에서 규제하고, 적극적으로 양성화시켜서 해야 하지 않냐, 이런 이야기들이 있었잖아요. 교수님은 개인적으로 어떻게 생각하세요?

◆ 한호현> 이제 규제라는 부분이 양면성이 존재하는데요. 현재 국내 경우에는 해외와 다르게 규제가 상대적으로 없는 형편입니다. 간접 규제 형태로 되어 있는 상태인데요. 만약에 이것을 직접 규제의 형태로 들어가려면 정부나 규제 당국에서 고려해야 할 부분이 많은 상황입니다. 거래 자체는 개인 간의 거래인데, 과연 개인 간의, 당사자 간의 거래에 정부에서 어느 정도까지 개입을 할 것인지에 대한 최소한의 사회적 합의, 혹은 정부의 어떤 가이드라인 정도를 투자자들이 서로 합의 수준에 갈 수 있어야 하는데, 그 부분을 도출하기가 쉽지는 않은 상황입니다.

◇ 김혜민> 제도나 보안이 기술의 본질을 건드릴 수도 있고, 훼손할 수도 있다는 말씀이신가요?

◆ 한호현> 네, 맞습니다. 그리고 다른 한편으로 보면 가상화폐가 개인 간의 거래인데, 이 거래를 중앙의 거래소 제삼자에게 맡겨서 거래를 하느냐 하는 측면도 논란의 여지가 있습니다.

◇ 김혜민> 간단한 문제가 아니네요. 청취자께서 “은행의 단점을 보완하려고 나왔는데, 은행보다 위험하다니...” 이렇게 보내 주셨어요. 네, 오늘 가상화폐 참 복잡하고 어려운 문제인데요. 오늘 가상화폐 거래소인 코인레일 해킹 당했다는 소식 들어봤고요. 경희대 컴퓨터공학과 한호현 교수였습니다. 교수님, 감사합니다.

◆ 한호현> 네, 감사합니다.