[뉴스토마토 신상민 기자] 인터넷과 분리돼 상대적으로 안전한 가상자산 보관 방식으로 여겨졌던 콜드월렛에서 대규모 비트코인(BTC) 탈취 사고가 발생했습니다. 인터넷 연결 여부가 아닌 개인키 생성 과정의 소프트웨어 결함이 원인으로 지목되면서 콜드월렛 보안도 키 생성 장비와 소프트웨어의 안전성까지 함께 살펴봐야 한다는 지적이 나옵니다. 법인·기관에 이어 공공자산으로 가상자산 수탁 범위가 확대되는 국내에서도 관련 보안 기준을 고도화해야 할 필요성도 제기됩니다.
10일 가상자산업계에 따르면 최근 캐나다 코인카이트가 만든 BTC 하드웨어 지갑 콜드카드 일부 제품에서 개인키 생성에 영향을 미치는 소프트웨어 결함이 확인됐습니다. 지난달 30일부터 해당 취약점과 연관된 것으로 추정되는 BTC 지갑에서 자산이 잇따라 빠져나갔습니다.
초기 온체인 분석에서는 네 차례에 걸친 탈취 과정에서 5200개가 넘는 주소로부터 약 1816BTC가 이동한 것으로 추산됐습니다. 당시 가격으로 약 1억1400만달러(원화 1608억원) 규모입니다. 추가 사례까지 확인될 경우 피해 규모가 약 2300BTC를 넘어설 가능성도 제기됐습니다.
콜드카드는 지갑을 처음 만들 때 복구에 사용하는 시드(Seed)를 생성합니다. 이 시드에서 실제 거래에 필요한 개인키가 만들어지기 때문에 예측하기 어려운 난수가 사용됩니다.
코인카이트 자체 조사 결과 2021년 펌웨어 변경 과정에서 프로그램 빌드·링크 통합 오류가 발생해 일부 제품의 시드 생성에 하드웨어 난수생성기(TRNG) 대신 소프트웨어 기반 의사난수생성기(PRNG)가 사용됐습니다. 그 결과 공격자가 탐색해야 할 경우의 수가 당초 설계보다 줄어들었습니다.
이번 사고가 주목되는 이유는 인터넷과 연결되지 않으면 안전하다는 콜드월렛의 통상적인 보안 인식에 허점이 드러났기 때문입니다. 블록체인 분석·보안업체는 키를 생성하는 과정과 펌웨어의 무결성도 장비의 인터넷 연결 여부만큼 중요하며 서로 다른 방식으로 생성한 키와 다중서명 등을 함께 사용해야 위험을 낮출 수도 있다고 경고합니다.
가상자산업계 관계자는 "보안은 단일 장치나 방식에 의존하는 것이 아니라 다층적인 검증 체계 위에서 작동해야 한다는 원칙이 재확인된 것이라 생각한다"고 말했습니다.
국내 가상자산업계에서도 콜드월렛은 이용자 자산 보호의 핵심 수단입니다. 현행 가상자산이용자보호법과 감독규정에 따라 가상자산사업자는 이용자가 맡긴 가상자산의 경제적 가치 가운데 80% 이상을 콜드월렛에 상시 보관해야 합니다. 사업자는 이를 매일 확인하고 해당 비율을 유지하기 위한 내부통제장치도 마련해야 합니다.
다만 국내 보안 규제가 콜드월렛 보관 비율에만 머물러 있는 것은 아닙니다. 가상자산사업자에게 적용되는 정보보호관리체계(ISMS) 세부 점검에서는 개인키의 생성과 보관, 접근권한 통제, 백업·분산 보관과 다중 인증 등 지갑 관리 전반을 확인하고 있습니다.
그럼에도 하드웨어나 펌웨어 자체에서 발생하는 결함까지 기존 관리체계가 충분히 걸러낼 수 있는지는 별개의 문제입니다. 업계 관계자는 "현행 기준과 자체 검증을 병행하고 있을 텐데 이것만으로는 한계가 있을 것 같다"며 "고도화 측면에서 키 생성 장비와 펌웨어 등을 제도적으로 검증하는 방향으로 ISMS 기준이 보완될 필요가 있다고 본다"고 설명했습니다.
보안 문제의 중요성은 가상자산 시장이 개인 투자자 중심에서 법인과 기관으로 넓어질수록 커지고 있습니다. 금융당국은 현재 디지털자산기본법에 가상자산 커스터디(수탁)를 별도 영업으로 규율하는 방안을 검토하고 있습니다. 법인 투자가 확대되고 향후 가상자산 현물 상장지수펀드(ETF) 등이 도입될 경우 대규모 자산을 전문적으로 보관하는 커스터디가 핵심 인프라가 될 수 있기 때문입니다.
공공 영역에서도 가상자산 커스터디가 시작됐습니다. 두나무는 지난 7일 경찰청이 수사 과정에서 압수한 가상자산을 보관·관리하는 사업의 최종 낙찰자로 선정됐습니다. 앞으로 경찰이 압수한 가상자산은 두나무의 업비트 커스터디를 통해 관리됩니다. 두나무는 수탁 자산을 외부 인터넷과 격리된 콜드월렛에 보관하고 다자간 연산(MPC), 분산 키 생성(DKG), 멀티시그 등을 적용한다는 계획입니다. 경찰 압수 가상자산 관리까지 맡게 되면서 민간 투자자산을 넘어 국가기관이 관리해야 하는 가상자산까지 수탁 범위가 넓어진 셈입니다. 커스터디 사업자가 보관하는 자산 규모와 이용 주체가 확대될수록 하나의 보안 사고가 미치는 영향과 사업자의 관리 책임도 함께 커질 수밖에 없습니다.
업계 관계자는 "커스터디 대상이 법인·기관 자금에서 공공자산까지 확대되는 만큼 보안 기준도 그에 걸맞게 높아져야 한다"며 "여러 보안 요소 가운데서도 키 생성 장비 검증과 권한 분산을 가장 핵심적인 과제로 보고 있다"고 말했습니다.
서울 서초구 빗썸라운지 시황판에 비트코인을 비롯한 암호화폐 시세가 표시되고 있다.(사진=뉴시스)
신상민 기자 lmez0810@etomato.com
이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김기성 편집국장이 최종 확인·수정했습니다.
ⓒ 맛있는 뉴스토마토, 무단 전재 - 재배포 금지