일본 최대 암호화폐 거래소인 코인체크(coincheck)에서 26일 해킹으로 약 580억엔(약5800억원) 상당의 암호화폐 넴(NEM)이 유출되었다. 26일 새벽 3시경에 해킹을 당한 코인체크 측은 오전 11시25분에 이상을 감지하고 12시경에 이용자들에게 입금 일시정지를 공지한 후 30분 뒤에 비트코인을 포함한 13종류의 암호화폐에 대한 거래를 중지했다.
이번 사건은 2014년 당시 4억5천만달러 상당의 가상화폐 해킹이 있었던 '마운트 곡스 거래소 사건'을 뛰어넘는 규모로 '디지털 화폐 역사 상 최대의 해킹 사건으로 기록될 것'이라고 WSJ는 보도했다. 당시 해킹을 당한 마운트 곡스는 파산했으며 피해자들에 대한 보상은 현재까지도 이루어지지 않고 있다.
일본에서의 여파
이번 사건의 피해는 일반 투자자뿐만 아니라 일본 연예계에도 영향을 미쳤다. 개그맨 콤비 후지사키 마켓(藤崎)의 토키(33) 씨는 자신의 트위터에 '코인체크의 암호화폐를 전부 도둑맞았습니다. 전재산을 잃었습니다. 일 좀 주세요' 라는 글을 침통한 모습의 사진과 함께 게시하여 피해 사실을 알렸다.
세계 최초로 암호화폐를 테마로 한 8인조 아이돌 그룹 [가상화폐소녀]는 오늘 27일 기자회견에서 [이번 코인체크 사건으로 급여에 지장이 생겼다]라며 [빠른 시일 내에 복구되었으면 좋겠다]고 밝혔다. 가상화폐소녀는 급여의 일부를 암호화폐로 받는다. 소속사에서는 급여를 지불하기 위해 코인체크에 200만엔을 입금했지만 현재 매매가 중단되면서 급여를 지불하지 못하고 있다.
일본 인터넷에서는 한 누리꾼이 화제를 모으고 있다. 17살 여고생이라는 이 누리꾼은 자신은 [화이트 해커]로 현재 넴(NEM)의 거래정보를 바탕으로 해커를 추적 중이라고 밝혔다. 이 누리꾼은 해킹된 암호화폐에 마킹하여 현재 화폐가 어디에 있는지 위치까지 특정해내었다고 한다. 또한 넴 재단에서의 대책프로그램이 마련되면 지금까지의 추적을 인수인계하고 작업을 종료할 예정이며 그 전까지는 계속 추적할 계획을 밝혔다. 보충: 이 트윗의 주인공은 사실은 48세이고 남성인 것으로 추측됩니다.
코인체크에서 드러난 일본 코인 거래소의 문제점
코인체크는 일본 금융청에 거래소로 등록신청 중이지만 등록신청 후 4개월이 지난 현재도 아직 등록이 안되었다. 그 배경에는 '익명성이 짙은 암호화폐' 거래가 있다. 또한 이번 유출사건으로 취약한 보안문제와 재무 불투명성도 불거졌다. 암호화폐 거래소가 안고 있는 문제점이 단숨에 부상하고 있다.
일본 금융청은 2017년 4월에 암호화폐 거래소의 등록제와 함께 개정된 자금결제법을 도입하였다. 이에 모든 암호화폐 거래소는 등록 및 고객자산의 분산관리와 외부감사를 받을 의무가 주어졌다. 해당 법이 시행되기 전에 일본 내에는 약 40곳의 암호화폐 거래소가 있었으나 시행 후 시스템 구축을 위한 투자에 부담을 느낀 거래소들 약 3분의 1이 폐업하였다.
코인체크 또한 해당 법 도입 전부터 암호화폐 거래소를 운영하고 있었으며 '임시 사업자'로 영업을 계속 하고 있다. 코인체크는 2017년 9월에 등록을 신청했다. 그러나 보통 약 2개월이면 끝나는 심사가 4개월이 지나도 끝나지 않아 등록이 되지 않고 있다. '코인체크는 가장 큰 거래소 중 하나인데 언제까지 걸릴 셈이냐' 라는 목소리가 높아졌다.
심사가 길어진 이유 중 하나는 코인체크에서 다루는 '익명화폐' 때문이다. 익명화폐는 송금하는 쪽 주소를 일회용 주소로 하거나 거래할 때의 데이터를 섞어서 보내는 사람과 받는 사람이 누구인지 추적할 수 없는 거래 특징이 있다. 비트코인은 블록체인에 주소가 남기 때문에 주소로부터 거래를 추적할 수 있지만 개래 추적이 불가능한 익명화폐는 자금세탁과 세금도피에 사용되기 쉬운 점을 지적받고 있다.
이번 암호화폐 넴의 대량유출로 코인체크의 취약한 보안이 노출되었다. 코인체크는 해킹 당시 네트워크에 접속된 '핫 월렛(Hot wallet)'에서 넴을 관리하고 있었다. 네트워크에서 분리된 '콜드 월렛(Cold Wallet)'에서 보관하지 않았다. 와다 코이치로(和田晃一良) 사장은 [기술적인 어려움과 그 기술을 가진 인재가 부족]해서 콜드 월렛에 보관하지 않았다고 해명했다. 게다가 거래 시에 여러 개의 전자서명이 필요하여 보안성이 높은 멀티시그(Multisig)를 보안관리에 사용하지 않았던 것으로 드러났다.
[참고: 핫 월렛 vs. 콜드 월렛]
이번 일로 코인체크의 불투명한 자금유동성 문제도 떠올랐다. 26일의 회견에서 고문변호사는 '현재 재무정보를 즉시 제출할 수 있는 상황이 아니다' 라고 진술하여 회사 내부의 재무상태에 대한 의심을 증폭시켰다. 코인체크는 임시 사업자이지만 자금결제법의 준수가 요구되는 상황이며 사업 유지를 모색 중인 것으로 알려졌다. 다만 금융청은 [이번 일을 발판으로 한층 더 엄격한 심사가 이루어질 것이다]고 밝혀 코인체크의 거래소 등록은 한발 더 멀어진 것으로 보인다.
코인체크 및 일본의 대응
26일 해킹사건으로 막대한 손해를 입은 코인체크에서는 [아직 검토중]이라는 말만 되풀이하며 보상 및 향후 대응에 대한 언급을 회피하고 있다. 현재 회사 내부에서 의논 중이며 공식적인 입장은 뚜렷하게 밝히지 않은 상태다.
일본 금융청은 거래소들의 재점검에 나섰다. [앞으로도 암호화폐 거래업자를 겨냥한 대규모 사이버 공격이 일어날 소지가 충분하다]며 주의를 환기시켰다. 또한 [정보시스템과 업무용 단말기 점검], [의심스러운 거래와 통신에 대해 경계를 늦추지 말 것], [시스템 장애와 보안을 침해하는 사안이 발견되면 즉각 당국에 보고할 것]을 지시하며 담당부서에만 맡기지 말고 경영진들이 스스로 만전을 기할 것을 당부하였다.
일본 당국은 [암호화폐 거래를 전부 파악하는 것은 어렵지만 거래소의 감시를 강화하여 이용자 보호를 우선시하고 실태파악을 진행할 예정]이라고 밝혔다. 또한 [업자가 다루고 싶어하는 화폐를 제재하는 일은 없을 것이다] 라며 익명화폐를 금지하지는 않을 방침이다. 뒤이어 [익명화폐에 대해서도 거래소라면 감시할 수 있다. 거래를 감시하는 시스템을 구축할 필요가 있지만 상당한 시간이 걸릴 것으로 보인다] 고 밝혔다.
'코인체크 해킹 사건'을 교훈삼아 보안 점검 및 보강에 나서야
26일에 발생한 코인체크 사건은 전례가 있었음에도 불구하고 보안시스템을 허술히 하여 일어난 인재(人災)다. 기술적인 문제를 말하고 있지만 기본적으로 콜드월렛에조차 보관하지 않았다는 것은 애초부터 보안에 노력을 기울이지 않았다는 이야기이다.
한국에서는 원화예치금은 100% 은행에, 암호화폐 예치금은 70%를 콜드월렛에 예치하여야 하는 예치자산 보호장치가 마련되어 시행중이다. 이에 콜드월렛의 국산화도 진행되고 있다. 보안칩에 바이오인증까지 더한 제품 양산을 준비하는 암호전문 스타트업도 있다.
블록체인 기술이 발전하면서 암호화폐시장도 점점 커질 전망이다. 시장이 커지면 한 번의 해킹사건으로 피해를 입는 사람들 또한 증가한다는 것이다. 암호화폐 거래소는 중앙관리시스템이 없기에 시세가 제각각이다. 거래소의 시세는 이용자들의 수와 비례하는데 화폐로서 다른 재화의 구매에 직접적으로 사용되지 못하는 암호화폐는 주식과 같은 성격을 띄며 거래소에서 거래가 되어야 그 가치를 지니기 때문이다. 때문에 보다 안전하고 보다 빠른 서버를 가진 거래소에 사람들이 몰리고 이용자가 많을수록 시세가 시장상황에 민감하게 반응하여 거래가 활성화되면서 다시 사람이 몰리는 순환구조를 가진다.
한국의 암호화폐 거래소는 이번 일을 반면교사로 삼아 자신들의 서비스 보안을 점검해보는 시간을 가져야한다. 보안을 강화하고 보다 안전한 거래환경을 조성하는데 더 많은 투자를 해야 할 것이다. 이번 일을 계기로 일본 거래소들은 적지않은 타격을 입을 것으로 예상된다. 자유로운 규제가 꼭 좋은 것만이 아니며 자신의 투자에 대한 자기책임을 투자자들도 느꼈을 것이다. 이번 사건으로 규제에서 다소 자유로운 거래소에서 안전하게 거래할 수 있는 거래소로 투자자 이동도 예상된다. 한국의 거래소들도 보안과 투자자보호를 우선하는 건전한 투자환경을 구축해야 세계 제일의 암호화폐 거래국으로 성장할 수 있을 것이다.
** 본 기사는 오발 코리아 회장을 역임하였고 일본어 전공으로 일본 시장에 대한 리서치를 전문으로 하는 윤형석 객원기자의 기고로 작성된 기사입니다. 본 기사와 관련하여 궁금한 사항은 댓글로 남겨주기 바랍니다.
출처1: 모든 가상화폐 거래소에 금융청이 재점검 요청 (닛케이 신문) https://www.nikkei.com/article/DGXMZO26237890X20C18A1MM8000/
출처2: 이용자 보호는 뒷전으로, 가상화폐 해킹 대책 부족 (닛케이 신문) https://www.nikkei.com/article/DGKKZO26231560X20C18A1EA1000/
출처3: [인력 부족 때문에] 네트워크 단절 없이 관리, 유출 표적이 되어 (요미우리 신문) https://headlines.yahoo.co.jp/hl?a=20180127-00050058-yom-bus_all
(기타 트윗 계정과 참고자료 활용)
"트렌드와칭 텔레그램 참여하기 (최신 소식, 자료 공유)"
think1more@gmail.com