7월 해킹 피해 1억1000만달러, 버그 제보 18% 늘었다

암호화폐 업계가 7월 해킹으로 약 1억1000만 달러(약 1551억원)의 피해를 봤다. 같은 기간 확인 뒤 보상한 버그바운티 제보는 전월보다 18% 늘었다.

사이버보안 플랫폼 이뮤네파이(Immunefi)는 10일 성명에서 이 같은 집계 결과를 밝혔다고 더블록(The Block)이 전했다. 이뮤네파이는 7월 확인된 버그 제보에 연구자 보상금 232만 달러(약 33억원)를 지급했다.

버그바운티 프로그램을 통해 사전에 막은 위협은 374건으로 집계됐다. 5월 339건, 6월 317건보다 많은 규모다.

누적 연구자 보상액은 6월 1억4080만 달러(약 1985억원)에서 7월 1억4310만 달러(약 2018억원)로 증가했다. 한 달 사이 늘어난 금액은 230만 달러다.

버그바운티는 보안 연구자가 서비스나 코드의 취약점을 찾아 운영 주체에 알리고, 유효성이 확인되면 보상받는 제도다. 통상 공격자가 취약점을 악용하기 전에 결함을 발견하도록 외부 연구자의 참여를 유도한다.

이뮤네파이는 감사 방식에 따른 취약점 발견 성과도 비교했다. 1급 감사 1178건을 검토한 결과 치명적이거나 심각도가 높은 버그의 중앙값은 0건이었다.

이뮤네파이가 진행한 감사 경쟁 58건에서는 건당 평균 6.2건의 심각한 버그가 발견됐다. 1급 감사의 건당 평균 1.5건보다 4배 이상 많았다.

다만 1급 감사 결과는 중앙값과 평균이 함께 제시됐고, 감사 경쟁 결과는 평균으로 공개됐다. 두 방식의 성과를 비교할 때는 표본 수와 통계 기준이 다르다는 점을 함께 살펴야 한다.

감사 경쟁은 정해진 기간 여러 보안 연구자가 코드를 검토하고 발견한 취약점의 성과에 따라 보상 풀을 나눠 받는 방식이다. 제한된 기간에 다수 연구자가 동시에 참여한다는 점에서 개별 감사와 구조가 다르다.

취약점 한 건을 찾는 데 들어간 비용도 차이를 보였다. 이뮤네파이는 감사 경쟁에서 치명적 버그 한 건을 발견하는 평균 비용을 6548달러(약 923만원)로 제시했다.

민간 1급 감사에서 치명적 버그 한 건을 찾는 비용은 약 6만6000달러(약 9306만원)로 집계됐다. 공격자가 취약점을 먼저 발견했을 때 발생한 비용은 2450만 달러(약 345억원)로 제시됐다.

이번 집계는 해킹 피해액과 함께 사전 취약점 발견에 지급된 보상과 예방 건수를 제시했다는 데 의미가 있다. 보안 비용을 사고 이후 손실뿐 아니라 공격 전 탐지 비용과 함께 비교한 것이다.

7월 해킹 피해 규모는 조사 기관마다 다르게 집계됐다. 본지는 앞서 펙실드가 주요 해킹 30건의 손실액을 2억1030만 달러로 집계했다고 보도했다. 이뮤네파이가 이번에 제시한 1억1000만 달러와는 1억30만 달러 차이가 난다.

연간 흐름에서는 피해액과 공격 건수가 엇갈렸다. TRM랩스는 상반기 해킹 피해액을 9억7200만 달러, 공격 건수를 역대 최다인 207건으로 집계했다. 이뮤네파이의 7월 자료에서는 버그바운티 보상 증가와 374건의 위협 예방이 함께 확인됐다.

검증 출처: 더블록, 이뮤네파이.