암호화폐 시장 위협하는 해킹 리스크…'P2E' 다음 타깃될까

게임을 하면 보상을 얻는 '플레이투언(P2E)' 게임들이 열악한 보안 수준을 갖추고 있어 손쉬운 해킹 타깃이 될 수 있다는 우려가 제기되고 있다.

블록체인 보안업체 해큰(Hacken)은 1일(현지시간) 보고서에서 "가장 일반적인 해킹의 원인은 '코드의 취약점'과 '이용자의 보안 권장사항 미이행'인데, P2E를 비롯한 게임파이 부문이 가장 기본적인 보안 수준을 갖추지 못하고 있다"고 지적했다.

P2E와 게임파이는 웹3.0의 유망 부문으로, 많은 이용자와 자금이 쏠리고 있다. 보고서에 따르면 P2E 부문에 170개 이상의 프로젝트와 시총 500만 달러 이상의 벤처사 44곳이 운영 중이다. 상위 5개 기업은 더샌드박스, 디센트럴랜드, 액시인피니티, 스테픈, 갈라이다. 지난달 초 기준 P2E 시가총액은 65억달러, 일간 거래량은 8억5000만달러 이상이다. 전 세계 이용자 수는 30억명에 달한다.

성장 잠재력이 큰 부문이지만 암호화폐, 대체불가토큰(NFT) 등이 활용되는 만큼 사이버 보안 위협에 노출될 가능성도 크다. 일간 200만 명의 이용자를 모았던 유명 P2E 프로젝트 ‘액시인피니티’는 지난 3월 해킹 공격을 당해 6억2500만달러의 자금 피해를 입었다.

◇게임 부문 보안 수준 어쩌나...최하 등급이 절반

해큰은 암호화폐 보안 등급을 제공하는 'CER.live'의 데이터를 활용해 유명 게임파이 31개의 사이버 보안 수준을 평가했다. 그 결과, 최고 등급인 AAA, AA, A를 받은 프로젝트는 한 곳도 없었다. 반면, 가장 낮은 등급인 D를 받은 곳은 16곳으로, 절반 이상이었다. DDD 이하 등급은 해킹이나 기타 보안 사고가 발생할 위험이 큰 상태를 가리킨다.

<게임파이 부문 보안 등급>
AAA~A : 없음
BBB : 더 샌드박스 (1)
BB : 없음
B : 이뮤터블엑스 디파이킹덤 (2)
CCC : 라디오카카 (1)
CC : 아베고치 (1)
C : 디센트럴랜드 마이디파이펫 (2)
DDD : 액시인피니티 모박스 에일리언월드 UFO게이밍 타워 레브 레이니콘 (7)
DD : 케이트코인 (1)
D : 갈라 왁스 SLP 일루비움 메리트서클 딥코인 일드길드게임즈 판타즈마 디센트럴게임즈 Ovr 배틀월드 오로리 디센트럴게임즈거버넌스 닷무브 체인게임즈 VIDT데이터링크 (16)

P2E 프로젝트 중 보험에 가입한 곳은 없었다. 해킹 자금을 회수하지 못하면 보상을 받지 못할 가능성이 크다는 의미다. 버그를 발견한 화이트 햇 해커에 보상하는 '버그 바운티 프로그램'을 운영하는 곳은 액시인피니티와 아베고치 2곳에 그쳤다. 나머지 29개 프로젝트는 버그 문제를 자체 리소스를 통해 해결하고 있다.

시간과 자금을 아끼려고 코드 감사를 실시하지 않는 경우도 많았다. 토큰 감사를 실시한 프로젝트는 14곳, 생태계 전반의 보안 허점을 확인할 수 있는 플랫폼 감사는 아베고치, 더샌드박스, 라디오카카, 에일리언월드, 디파이킹덤 5곳만 진행했다.

P2E 게임이 이용자 경험을 향상시키기 위해 취약성이 큰 브릿지 기술 등을 사용하고 있다는 점도 언급됐다. 브릿지는 블록체인에서 다른 블록체인으로 토큰을 전송할 수 있도록 해주는 기술이다. 액시인피니티 해킹, 최근 발생한 하모니, 노마드도 모두 브릿지 공격 사례다. 해커에 이용자 정보를 넘기는 '내부자 문제'도 주요 보안 허점으로 거론됐다.

해큰은 "게임파이 프로젝트들이 보안보다는 수익성에 중점을 두고 있다는 것을 알 수 있다"면서 "가장 기본적인 사이버 보안 권장사항조차 지키지 않는 것은 악의적인 행위자들이 공격할 수 있는 많은 진입점을 허용하는 것"이라고 지적했다.

블록체인 보안업체는 "P2E, 게임파이, 암호화폐 프로젝트의 인기가 높아짐에 따라 관련 사이버 보안 공격도 늘어날 것이고 도난 자금 규모도 더욱 커질 것"이라면서, 프로젝트들이 스마트 컨트랙트 감사, 버그 바운티 프로그램 운영, 보험 가입 세 가지 보안 작업을 수행해야 한다고 강조했다.

또한 "게임 이용자들도 자금을 투입하기 앞서 독립 보안 플랫폼에서 제공하는 데이터를 통해 프로젝트의 기본적인 보안 수준을 확인해야 한다"고 조언했다.

[email protected]