“지갑·키·사람까지 노린다…가상자산 보안 달라져야”

[이데일리 정윤영 기자] “최근 해커들은 블록체인 자체를 직접 공격하기보다 가상자산을 보관하는 지갑이나 개인키, 관리자 권한, 임직원 등 자산을 관리하는 과정에서 가장 취약한 지점을 찾아 공격하고 있습니다. 이제는 코드만 안전하게 만드는 것에서 벗어나 자산 관리 전반에 걸쳐 여러 겹의 보안 체계를 갖춰야 합니다.” 룽후이 구 서틱(CertiK) 공동창립자 겸 최고경영자(CEO). (사진=서틱 제공)룽후이 구 서틱(CertiK) 공동창립자 겸 최고경영자(CEO)는 최근 이데일리와의 인터뷰에서 이같이 말했다. 서틱은 전 세계 150개 이상의 국가와 지역에 블록체인·웹3 보안 서비스를 제공하고 있으며 지금까지 11만9000건 이상의 코드 취약점을 발견하고 6000억달러(이하 4일 기준 811조4400억원) 이상의 디지털자산을 보호해왔다. 구 CEO는 최근 잇따르는 가상자산 탈취 사고의 근본적인 원인으로 공격 대상이 갈수록 넓어지고 있다는 점을 꼽았다. 과거에는 블록체인 프로그램의 기술적인 허점을 찾아 공격하는 경우가 많았다면 최근에는 가상자산을 보관하고 이동시키는 전 과정에서 약한 부분을 찾아 파고드는 방식으로 공격 수법이 변화하고 있다는 것이다. 최근 비트코인 전용 하드웨어 지갑 콜드카드에서 2000비트코인 이상이 탈취된 사고가 대표적이다. 구 CEO는 “콜드카드 사례의 문제는 비트코인의 원장이나 합의 메커니즘 자체가 아니라 지갑의 시드 생성 과정에서 발생한 난수 생성 결함에 있었다”며 “탈중앙화거래소(DEX)에서도 블록체인 자체보다는 스마트 컨트랙트나 권한 관리, 개인키 또는 주변 인프라가 공격받으면서 대규모 자산 손실이 발생하는 경우가 많다”고 설명했다. 인공지능(AI)과 자동화 기술의 발전도 새로운 위험 요인으로 지목했다. AI를 활용하면 과거보다 코드를 분석하거나 기존 취약점을 찾아내고 재현하기 쉬워지는 만큼 오랫동안 드러나지 않았던 취약점이 새롭게 발견돼 실제 공격에 활용될 가능성도 커지고 있다는 설명이다. 구 CEO는 “근본적인 문제는 특정 가상자산 자체가 안전하지 않다는 데 있는 것이 아니다”며 “특정 제품이나 하나의 영역만 보호하는 방식에서 벗어나 키 관리와 코드, 권한, 인프라, 운영 절차, 인적 요소까지 아우르는 다층적인 보안 체계로 전환해야 한다”고 강조했다. 그는 콜드월렛도 ‘절대적으로 안전한 금고’는 아니라고 강조했다. 지갑을 만드는 과정부터 실제 자산을 이동시키기까지 여러 단계 가운데 한 ...