국내 가상자산 거래소에서 해킹 사고가 잇따르면서 보안 관리 체계 전반에 대한 우려가 커지고 있다. 이에 거래소별 보안 점검을 강화하는 것은 물론 AI를 활용한 취약점 점검과 정부 차원의 공동 대응 체계 구축이 시급하다는 지적이 나온다.
30일 가상자산 업계에 따르면 국내 가상자산 거래소 빗썸에서 사내 업무 시스템 해킹으로 임직원뿐 아니라 고객 개인정보까지 유출된 사실이 뒤늦게 확인됐다. 빗썸에 앞서 고팍스와 프라뱅에서도 해킹 피해가 확인됐다.
빗썸에서는 지난 27일 발생한 해킹으로 고객 6444명과 임직원 715명 등 총 7159명의 개인정보가 유출됐다. 이 중 고객 5600명의 정보는 외부에서 접근이 불가능한 암호화된 파일 형태로 유출돼 노출되지 않았고, 실제 개인정보가 노출된 고객은 844명이다. 다만 유출된 정보에 성명과 휴대전화번호, 주민등록번호, 계좌번호, 신분증 사본 등이 포함돼 2차 피해가 우려되는 상황이다.
5대 거래소 중 한 곳인 고팍스의 경우, 지난달 초부터 고객 계정에 대한 비정상적인 접근으로 닉네임과 로그인 이력 등 일부 정보가 조회된 정황을 이달 초 확인했다. 이번 사고로 고객 7명과 전현직 임직원 2명 등 총 9명의 정보가 유출됐다. 다만 현재까지 원화나 가상자산이 출금되거나 자산 피해는 발견되지 않았다는 설명이다.
코인마켓 거래소인 프라뱅에서는 지난 24일 해킹 공격으로 온라인 지갑 ‘핫월렛’에 있던 1억원 상당의 자산이 빠져나갔다. 프라뱅은 지난 2일 고객 20여명의 이름, 연락처, 주소 등 개인정보가 유출됐는데, 그로부터 3주 만에 고객 자산까지 탈취당한 것이다.
가상자산 거래소는 고객의 가상자산을 직접 보관하고 입출금을 처리하는 만큼 보안 침해가 직접적인 재산 피해로 이어질 수 있다는 점에서 우려가 크다. 특히 프라뱅 사례와 같이 핫월렛이 공격 받으면 이용자의 자산이 외부로 빠져나갈 위험성이 크다.
잇따른 해킹 사고에 가상자산 거래소의 보안 점검과 대응 체계를 강화해야 한다는 지적이 나온다. 특히 자체 점검만으로는 실제 해킹 공격에 대한 대응 능력을 검증하는 데 한계가 있어 외부 침입을 가정한 모의해킹 등 실전형 검증을 확대해야 한다는 의견도 나온다.
김명주 서울여대 지능정보보호학부 교수는 “해커 입장에서는 같은 노력을 들였을 때 금융을 공격하는 게 효과적”이라며 “AI가 전문가 수준의 지식과 기법을 학습하는 만큼 금융기관은 공격자보다 앞서 AI를 활용해 자체 취약점을 점검해야 한다”고 했다. AI에 의한 공격은 AI로 막아야 한다는 것이다.
AI 하네스를 보안에 적용할 필요성도 강조했다. 말에 씌우는 마구에서 유래한 AI 하네스는 AI의 작업 환경과 실행 과정을 관리·통제하는 체계다. 김 교수는 이를 보안에 활용함으로써 AI가 시스템의 약점을 미리 찾아내고 보완할 수 있다는 것이다. 다만 자체적으로 이를 구축·운영하기 어려운 중소·중견기업과 스타트업에는 정부 차원의 지원이 필요하다고 제언했다.
개별 거래소의 보안 역량을 높이는 동시에 공동 대응 체계를 구축해야 한다는 목소리도 나온다.
황석진 동국대 국제정보보호대학원 교수는 “거래소와 금융당국, 보안 전문기관 등이 참여해 사고 사례와 공격 징후, 악성 IP 등 정보를 신속하게 공유하는 공동 대응 체계 구축이 필요하다”며 “탈취 자산이 이동한 지갑 주소를 거래소간 공유해 추가 이동을 차단할 수 있도록 대응해야 한다”고 했다.
금융당국은 가상자산 업계에도 금융사 수준의 보안 조치를 강화한다는 방침이다. 금융위원회는 “가상자산업권 등 현재 전자금융거래법이 적용되지 않는 업권에 대해 은행 등 주요 금융회사 수준으로 보안 조치를 강화하고, 사고 발생 시 신속한 대비태세를 갖출 수 있도록 다각적인 방안을 추진하겠다”고 밝혔다.
정서영 기자
insyong@chosunbiz.com