[이정훈의 크립토네이션] 콜드월렛 해킹, 강 건너 불구경 안된다

[이데일리 이정훈 디지털자산센터장] 캐나다 기업인 코인카이트(Coinkite)가 개발한 비트코인 전용 하드웨어 지갑인 ‘콜드카드(COLDCARD)’가 대규모 해킹 공격을 받아 7300여개의 지갑에서 2000개 이상의 비트코인이 탈취되는 사건이 발생했습니다. 펌웨어 업데이트 과정에서 퍼진 버그로 인해 개인키를 복원하는 복구 문구(Seed Phrase)를 생성할 때 충분한 무작위성을 확보하지 못한 지갑들이 타깃이 됐습니다.

이번 사건 자체가 소프트웨어 업데이트에서의 버그 탓이고, 대부분의 하드웨어 지갑들은 완벽한 난수 생성기를 활용해 복구 문구가 만들어지기 때문에 안전하다곤 하지만, 펌웨어 결함이나 개인키 생성 방식, 제로데이 취약점에서는 하드웨어 지갑도 위험할 수 있다는 취약성을 노출한 만큼 고액 투자자들로서는 비수탁형, 셀프 커스터디(자기 수탁) 보안을 걱정할 수밖에 없는 상황입니다.

해킹이 발생한지 불과 며칠 만에 투자자들 사이에서는 발빠른 변화가 나타나고 있습니다. 하드웨어 지갑으로 셀프 커스터디를 선호하던 투자자들이 중앙화 거래소로 자산을 옮겨가고 있고, 길게는 10여년 간 휴면 상태에 두고 있던 비트코인을 새로운 지갑으로 옮기는 투자자들이 속속 등장하고 있다는 겁니다.

글로벌 가상자산 거래소 OKX의 조너선 브록마이어 최고준법감시책임자(CCO)는 “이번 사건이 투자자들의 보관 방식에 변화를 일으키고 있다”면서 “콜드카드 해킹 이후 중앙화 거래소로의 자금 유입이 사상 최고 수준을 기록하고 있다”고 전했습니다. 그는 “흥미로운 점은 이것이 FTX 사태와 정반대의 흐름이라는 것”이라며 “FTX가 붕괴했을 당시에는 모두가 자산을 자신이 직접 보관하는 하드웨어 지갑으로 옮겼지만, 이번엔 다시 거래소로 돌아오고 있다”고 설명했습니다.

온체인 추적 서비스인 웨일 얼럿(Whale Alert)에 따르면, 지난 2013년 이후 휴면 상태였던 ‘18TExP’ 지갑이 500BTC를 새로운 지갑으로 이체하는 일이 있었습니다. 크립토퀀트(CryptoQuant) 분석도 이를 뒷받침하는데, 10년 이상 휴면 상태였던 비트코인 935BTC, 5~7년 간 휴면 상태였던 6388BTC도 다른 지갑으로 이동했다고 하니 보안 우려로 인해 거액의 자산을 안전한 지갑으로 옮긴 투자자들이 상당하다고 볼 수 있겠습니다.

전문가들도 이제는 가상자산 보관 방식도 달라져야 한다고 조언합니다. 비투닉스(Bitunix)의 딘 첸 애널리스트는 하나의 하드웨어 지갑에 모든 가상자산을 보관하던 시대는 막을 내렸다고 단언했습니다. 그러면서 대규모 비트코인 보유자라면 다층 보안 구조를 짜야 한다고 합니다. 멀티시그(Multisignature) 지갑이나 오프라인 개인키 생성 등 추가 보안조치를 활용하는 한편 모든 자산을 하나의 지갑에만 보관하는 것을 피하라고 권고했습니다.

다만 다층적인 보안장치를 두고 다수의 하드웨어 지갑에 분산 보관하는 건 비용이나 번거로움의 문제가 큽니다. 또 중앙화 거래소라고 해서 100% 안전한 것도 아닙니다. 실제 작년만해도 두바이에 있는 대형 가상자산 거래소인 바이비트(Bybit)가 역대 최대 규모인 약 14억달러(원화 약 2조원)의 가상자산을 탈취 당하기도 했으니 말입니다.

그런 점에서 기관투자가급의 안전한 수탁시스템을 활용하는 비트코인 현물 상장지수펀드(ETF)를 서둘러 도입할 필요가 있습니다. 미국에서 비트코인 현물 ETF 수탁사 역할을 하고 있는 BNY멜론(BNY Mellon)이나 코인베이스(Coinbase), 피델리티 디지털 애셋(Fidelity Digital Assets), 제미니(Gemini), 비트고(BitGo) 등은 분리 보관된 오프라인(콜드) 스토리지와 멀티시그 지갑, SOC(Security Operations Center) 인증 및 감사, 보험 가입 등 다층 보안 체계를 갖추고 있으니 비트코인을 직접 보관하는 위험을 피하려는 투자자에겐 매력적 대안이 될 수 있습니다.

실제 블룸버그 인텔리전스(Bloomberg Intelligence)의 ETF 애널리스트인 에릭 발추나스 같은 전문가도 “이번 사건을 계기로 투자자들이 직접 가상자산을 보관하는 위험성을 재평가하면서 비트코인 현물 ETF로 자금이 대거 이동할 가능성이 있다”고 전망하고 있습니다. 더구나 이런 ETF 상품 도입은 개인들의 직접 투자 리스크를 낮출 수 있는 만큼, 우리 당국도 이 참에 전향적으로 검토할 필요가 있습니다.

아울러 국회에서 지체되고 있는 디지털자산기본법 입법도 더욱 속도를 낼 필요가 있습니다. 국내 첫 업권법이 될 디지털자산기본법과 그 시행령에는 디지털지갑 사업자 라이선스와 그 인가 기준, 보안 요건, 해킹과 같은 투자자 피해 발생시 지갑 사업자와 수탁사업자, 매매거래사업자 등의 책임 소재를 분명히 할 수 있는 기준 등이 담기게 됩니다.

이번 콜드카드 해킹 사고는 투자자들에게 중대한 인식 전환을 요구하고 있습니다. 그러나 이는 가상자산에 투자하는 개인이나 기관에만 부담과 책임을 떠넘기는 방식이 아니어야 합니다. 금융당국에게 요구되는 역할도 그에 못지 않게 큽니다. 그런 점에서 이번 일이 우리 모두에게 강 건너 불 구경으로 끝나선 안될 것입니다.