[D-피플라운지] “이미 뚫렸다고 가정하라”…코인 지키는 ‘최종 방어선’

최형규 DSRV 공동창업자 겸 연구소 센터장 인터뷰

개인키 아닌 배포 권한·서명 시스템 노리는 해커들

출금 차단 넘어 권한 철회·자산 동결까지 훈련해야

최형규 DSRV 리서치센터장이 지난 5일 데일리안과의 인터뷰에서 거래소 해킹 피해를 막기 위한 출금 승인 절차 검증의 중요성을 강조했다. ⓒ데일리안 김민희 기자

“직원 단말은 이미 뚫렸다고 가정하고 훈련하는 것이 중요합니다.”

최형규 DSRV 공동창업자 겸 연구소 센터장이 제시한 거래소 보안의 출발점은 역설적이다.

공격자가 내부로 들어왔다는 전제에서 자산을 지킬 방법을 찾아야 한다는 것이다.

직원의 업무용 컴퓨터가 장악되더라도 실제 출금까지 이어지지 않도록 방어선을 갖춰야 한다는 설명이다.

최 센터장은 최근 데일리안과의 인터뷰에서 “보안에서 100% 안전한 시스템은 없다”며 “허가된 누군가가 시스템에 접근할 수 있다는 것은 곧 접근 통로가 있다는 뜻”이라고 말했다.

최 센터장은 최근 해킹의 특징으로 ‘효율화’를 꼽았다.

새로운 공격 기법이 등장했다기보다 기존 피싱과 가짜 채용 등 사람을 속이는 수법을 더 빠르고 정교하게 실행할 수 있게 됐다는 진단이다.

인공지능(AI)은 가짜 사이트를 만들거나 특정 개발자를 속일 자료를 준비하는 시간과 인력을 줄이는 도구가 될 수 있다.

새로운 AI 도구를 써보라는 제안 자체가 악성 프로그램 설치를 유도하는 미끼로 쓰이기도 한다.

그는 “해커들은 자신이 얼마의 자본과 노력, 시간을 투입하면 얼마를 얻을 수 있는지 계산한다”며 “AI를 포함한 여러 환경 변화로 더 적은 자원을 투입하고도 공격이 가능해진 것”이라고 설명했다.

최형규 DSRV 리서치센터장이 지난 5일 데일리안과의 인터뷰에서 거래소 해킹 피해를 막기 위한 출금 승인 절차 검증의 중요성을 강조했다. ⓒ데일리안 김민희 기자

게다가 해킹이 반드시 금고를 부수는 방식으로 이뤄지는 것은 아니다.

정상적인 업무를 위해 만들어 놓은 문으로 들어와 직원에게 부여된 권한을 악용할 수도 있다.

개인키가 유출되지 않아도 이를 사용하는 시스템이 장악되면 자산이 빠져나갈 수 있다는 것이다.

최 센터장은 개인키와 서명 시스템을 회사의 인감도장과 결재 절차에 빗댔다.

개인키가 자산 이전을 승인하는 도장이라면, 서명 시스템은 요청을 받아 도장을 찍어주는 장치다.

공격자는 도장을 훔치지 않고도 자신이 만든 요청서에 도장을 받아내면 된다.

그는 바이낸스의 초기 조사 내용을 바탕으로 “공격자가 노린 것은 개인키 자체가 아니라 개발자 단말에 남아 있던 배포 권한과 그 권한으로 접근할 수 있는 서명 서비스였다”고 분석했다.

관건은 요청의 정당성을 확인하는 것이다. 내용을 충분히 검토하지 않고 서명하는 ‘블라인드 사이닝’이 발생하면 시스템이 공격자의 지시를 승인할 수 있다.

다중서명이나 다자간연산(MPC)도 이를 모두 해결해 주지는 못한다. 여러 주체가 승인에 참여하거나 키를 분산해 관리하면 공격의 난도는 높아진다.

다만 잘못된 요청을 그대로 승인한다면 자산 유출을 막는 데 한계가 있다.

최 센터장은 “다중서명이나 MPC는 사고 확률을 낮춘다는 점에서 의미가 있다”면서도 “충분한 검토 없이 서명한다면 결과는 같을 수 있다”고 말했다.

그가 우선 갖춰야 할 장치로 꼽은 것은 ‘서명 직전 검증’이다.

정상 출금 요청과 연결되지 않은 서명을 거부하고, 허용한 거래 유형과 한도를 벗어나는 요청을 걸러내야 한다는 것이다.

검증한 내용과 실제 서명하는 내용이 달라지거나 서명된 결과물을 빼돌릴 수 있는 구조도 경계해야 한다.

그는 “서명이 되는 순간 출금은 언제든 발생할 수 있는 상황이 된다”며 서명 승인 단계부터 통제가 필요하다고 강조했다.

콜드월렛 보관 비중을 높이는 방향에도 동의했다.

인터넷에 연결된 핫월렛에는 서비스에 필요한 최소한의 자산만 두되, 콜드월렛에서 자산을 옮기는 과정도 안전하게 관리해야 한다는 설명이다.

방어 장치의 실효성은 훈련으로 확인해야 한다.

직원 단말이 감염됐을 때 서명 시스템까지 접근할 수 있는지, 별도의 승인이 필요한지, 정상 출금 요청 없이 들어온 서명 요구를 차단하는지가 점검 대상이다.

출금 중단 버튼을 눌렀다고 대응이 끝나는 것도 아니다.

블록체인상에 이미 부여한 자산 이동 권한이 남아 있다면 추가 피해가 이어질 수 있어 이를 철회하는 절차까지 준비해야 한다.

최 센터장은 탐지·출금 중단 시간과 함께 권한을 완전히 철회하기까지 걸린 시간, 외부에 동결을 요청하기까지 걸린 시간을 각각 평가해야 한다고 제안했다.

이미 빠져나간 자산은 거래소와 블록체인 인프라 사업자, 자산 발행사, 수사기관 등이 협력해 이동을 제한해야 한다.

블록체인 검증자 사업을 수행하는 DSRV도 해외 운영 주체들과 소통하며 사고 대응 논의에 참여하고 있다.

그는 “피해 확산을 막는 것과 함께 이미 발생한 피해를 줄이는 준비도 필요하다”며 업계 전체의 신속한 공조를 강조했다.

일상적인 권한 관리도 중요하다.

업무상 예외로 부여한 권한을 제때 회수하는지, 일시적으로 높인 출금 한도를 그대로 두지는 않았는지까지 점검해야 한다.

취약점 개선 기한과 외부 재검증을 연계하고 경영진이 이행을 책임지는 장치도 필요하다고 봤다.

최 센터장은 “책임과 권한을 가진 사람들은 보안 업무에 관해 임직원을 조금 귀찮게 해야 한다”며 “성실하게 매일 점검해야 하는 일”이라고 말했다.

그는 “결국 해커를 피곤하게 만들어 투입한 노력에 비해 얻을 수 있는 이익이 나오지 않도록 하는 것이 중요하다”고 강조했다.

최형규 DSRV 센터장은 인하대학교 파이낸스경영학과 겸임교수이자 이더리움 기여자(Contributor)로 활동하고 있다. 금융보안원의 디지털자산 보안 프레임워크 자문위원으로도 활동하고 있다.