비트겟, 해킹 피해 3억8800만 달러 전액 보전…외부 보안제품 취약점 지목

비트겟 해킹으로 빠져나간 약 3억8800만 달러의 손실을 회사가 전액 부담하고 이용자 피해를 보전했다는 설명이 나왔다. 공격 경로로는 외부 보안제품의 취약점이 지목됐으며, 이용자 보호기금도 회사 자본으로 다시 채웠다는 설명이다.

10월 24일(현지시간) 더 울프 오브 올 스트리츠 인터뷰에서 그레이시 첸 비트겟 최고경영자(CEO)는 해킹 초기부터 이용자 손실을 전액 보전하기로 결정했다고 밝혔다. 그는 "이번 사건의 재무적 영향은 회사가 모두 부담한다"고 말했다.

첸은 공격이 외부 보안제품에서 이전까지 알려지지 않았던 취약점을 악용하면서 시작됐다고 설명했다. 공격자가 높은 권한을 가진 내부 인증정보를 확보해 승인되지 않은 출금을 실행했고, 약 3억8800만 달러가 공격자 통제 주소로 이체됐다는 것이다. 개인키와 콜드월렛은 침해되지 않았으며, 여러 블록체인과 암호화폐가 얽혀 정확한 경위 파악과 자금 보충에 시간이 걸렸다고 덧붙였다.

사고 초기에는 자동 탐지 시스템이 대규모 비정상 이체를 감지하고 출금을 차단했다고 밝혔다. 기술·보안·제품 담당 조직이 먼저 대응했으며, 자신은 첫 비정상 출금 약 한 시간 뒤 상황을 파악했다고 설명했다. 약 세 시간 뒤에는 실시간 방송을 시작해 당시 확인된 정보를 공유했고, 추가로 확인된 내용도 공개했다고 말했다.

외부 제품이 공격 경로였다는 설명이 비트겟 자체 인프라에 문제가 없었다는 뜻은 아니라고 선을 그었다. 첸은 "공격자는 외부 제품의 취약점을 통해 우리 인프라를 악용했다"고 말했다. 내부 조직과 외부 독립 조사기관의 조사로는 내부자 공격보다 외부 보안 공격으로 판단하고 있으며, 이용자 자금을 유용하거나 혼용한 FTX 사태와도 성격이 다르다고 설명했다.

손실 보전에는 2022년 회사 자본으로 조성한 이용자 보호기금이 사용됐다고 밝혔다. 비트겟은 이 기금으로 핫월렛과 웜월렛의 손실을 메운 뒤, 일주일 안에 회사 자본을 투입해 기금 규모를 다시 3억 달러 이상으로 복구했다는 설명이다. 이용자 자금에는 손실이 없었다고 확인했다.

준비금 검증도 추가로 진행했다고 설명했다. 첸은 이용자가 머클트리 방식의 준비금 증명을 통해 자신의 자금이 검증 대상에 포함됐는지 확인할 수 있다고 말했다. 사고 직후에는 정기 공개와 별도로 준비금 증명을 추가 공개했으며, 당시 준비금 비율은 약 131%였던 것으로 기억한다고 밝혔다.

재발 방지를 위해서는 사고와 직접 관련됐는지와 관계없이 모든 외부 제품의 평가를 강화하고, 도입 과정의 안전장치와 이상 활동 감시를 보강했다고 설명했다. 그는 "특히 높은 접근 권한을 가진 공급업체는 우리 보안의 일부다"라고 강조했다. 사업 범위가 넓은 거래소가 모든 기능을 자체 구축하기는 어렵고, 자체 구축이 반드시 더 나은 결과를 보장하지도 않는 만큼 엄격한 검증과 지속적인 감시가 필요하다는 것이다.

다만 공격 주체를 라자루스로 공식 특정한 것은 아니라고 밝혔다. 첸은 공격자의 가상사설망 사용과 자금세탁 방식이 라자루스의 기존 행태와 매우 비슷하다고 판단했지만, 독립 보안업체들도 공격 주체를 공식적으로 밝히지는 않았다고 설명했다. 공격 대상이 개인키뿐 아니라 인증정보와 업무 절차, 신뢰받는 도구로 확대되고 있다며, 더 강한 보안체계를 구축하는 책임은 회사에 있다고 강조했다.