바이낸스 해킹 8조5463억원 영향…대만 전문가, 내부통제 작동 시험 제안

바이낸스 해킹 사고로 약 63억4000만달러(약 8조5463억원) 규모의 가상자산이 영향을 받았다. 초기 조사에서는 직원의 업무용 컴퓨터와 내부 배포 권한이 공격 경로로 지목됐다.

바이낸스는 3일 공개한 초기 조사 보고서에서 공격자가 가짜 채용과 면접, 변조된 개발 도구를 이용해 엔지니어의 업무용 컴퓨터에 악성 프로그램을 설치했다고 밝혔다. 공격자는 내부 시스템 권한을 얻은 뒤 배포 인증정보를 이용해 정상 출금 절차를 우회하고 지갑 서명 시스템에 명령을 보냈다는 설명이다. 바이낸스는 개인키 유출 증거를 찾지 못했다고 밝혔으며, 조사는 진행 중이다.

궈마오런(郭茂仁) 디지털자산발전연구센터(DADRC) 부집행장은 기고문에서 “금고를 보호하는 것 외에 금고에 접근하는 사람과 그들이 쓰는 시스템, 권한도 함께 관리해야 한다”고 썼다. 기고문은 바이낸스 사고에서 내부 AI 도구가 다른 엔지니어의 컴퓨터를 장악하는 통로로 쓰였다고 설명했다.

이번 사고는 다자간 연산(MPC)을 적용해도 거래 승인 과정이 안전해지는 것은 아니라는 점을 보여준다. MPC는 개인키를 한곳에 모아두지 않고 여러 참여자가 나눠 관리하는 방식이지만, 서명 시스템에 들어온 거래 요청이 정당한지 자체적으로 판단하지는 않는다.

기고문은 공격자가 이더리움(ETH)의 EIP-7702 승인 기능을 이용해 핫월렛 일부 실행 권한을 자신이 통제하는 스마트계약에 넘겼다고 설명했다. 출금을 중단한 뒤에도 블록체인에 설정된 권한을 통해 자산 이동이 이어질 수 있었다는 것이다.

대만 금융감독관리위원회는 3일 가상자산서비스법 관련 하위 규정 8개 초안을 공개했다. 초안은 사업자 설립과 업무 관리, 내부통제·감사, 외부 위탁, 임직원 자격 등을 다룬다. 확정·시행된 규정은 아니다.

임직원 관리 규정안은 내부 감사와 준법, 위험관리, 회계, 정보통신 시스템 관리 담당자 등의 자격과 교육을 다룬다. 관련자는 전문 과정을 이수하고 시험에 합격해야 하며, 입사 후 교육과 2년마다 받는 재교육도 요구된다. 이사회에는 경영진 선임과 감독 책임을 부여하고, 업무 담당자에게는 충실 의무와 행동 기준을 적용하도록 했다.

궈 부집행장은 자격과 교육 기록을 확인하는 데 그치지 말고 실제 공격 상황에서 통제가 작동하는지 시험해야 한다고 제안했다. 직원 컴퓨터가 장악되거나 배포 인증정보가 유출되고 서명 시스템에 이상 명령이 들어오는 상황에서 공격을 탐지·차단할 수 있는지를 확인해야 한다는 것이다.

기고문이 제시한 운영 관리 과제는 △고권한 직원의 정보 노출 축소 △회사·개인 기기 분리 △허용 소프트웨어 관리 △운영 환경의 배포 권한 분리 △거래별 서명 심사 △사고 상황 훈련이다. 제도 문서뿐 아니라 실제 설정과 시험 결과로 통제가 이행되는지 보여줘야 한다고 강조했다.

고권한 직원은 공개된 업무 정보와 조직 관계를 통해 공격 표적이 될 수 있어 직무와 내부 시스템 정보를 외부에 노출하지 않도록 관리해야 한다. 직원에게 가짜 채용 공고와 면접, 의심스러운 코딩 시험을 식별하는 교육을 하고 관련 접촉을 신고하도록 하는 방안도 제안했다. 회사 컴퓨터는 업무용으로 제한하고 개인 이메일·구직·외부 개발 도구 시험에는 개인 기기를 쓰도록 했다.

소프트웨어는 전통적인 백신에만 의존하지 말고 승인되지 않은 프로그램의 실행을 제한하며, 직원 기기에 설치된 소프트웨어와 개발 도구를 정기적으로 점검해야 한다. 내부 AI 도구도 목록과 접근 권한, 활동 기록을 관리하고, 도구가 장악됐을 때 공격자가 접근할 수 있는 범위를 시험할 대상이다. 감염된 컴퓨터를 교체하는 데서 끝내지 말고 해당 직원이 접촉할 수 있었던 동료와 시스템, 권한까지 조사해야 한다고 기고문은 제안했다.

개발·시험·운영 환경은 분리하고 배포 인증정보를 엔지니어의 일상 업무용 컴퓨터에 두지 않는 방안도 제시됐다. 단기 유효 인증정보와 다중 인증, 2인 승인 절차를 활용하고 시스템 수정자와 배포 승인자·실행자를 분리해야 한다. 지갑과 클라우드, 핵심 시스템에 접근하는 고권한 계정은 별도로 관리하고 작업 기록을 남기는 방식이다.

서명 시스템은 요청이 사내 정상 절차에서 왔는지와 관계없이 목적지 주소, 송금 한도, 금지 거래 유형을 거래마다 점검해야 한다. EIP-7702처럼 블록체인에 지속적인 권한을 남기는 작업은 별도의 제한과 감시 대상이 될 수 있다. 핫월렛 규모도 일상적인 거래 편의뿐 아니라 사고 때 감당할 수 있는 손실을 고려해 정해야 한다는 제안이다.

기고문은 내부 기록뿐 아니라 블록체인상 움직임을 감시하고 정기적인 사고 대응 훈련을 하도록 권고했다. 훈련 시나리오에는 직원 컴퓨터 장악, MPC 서명 노드 일부의 사용 불가, 서명 후 아직 블록체인에 올라가지 않은 거래, 지속 권한 취소와 잔여 자산 이동 등이 포함될 수 있다. 스테이블코인 발행사와 거래소, 블록체인 분석업체, 수사기관의 연락망을 미리 마련하고 FBI가 공개한 공격 주소도 거래 점검에 반영하자는 내용이 담겼다.

감독기관은 사업자에게 내부통제 문서와 권한 설정, 시험 결과, 과거 사고 대응 기록을 요구할 수 있다. 기술적 세부 사항은 내부 또는 외부 전문가의 평가를 받고, 신규 사업자는 안전한 시험 환경에서 통제를 시연하도록 하자는 제안도 나왔다. 지갑·보관·서명 서비스를 외부 업체에 맡겨도 사업자의 책임이 사라지지 않으며, 계약에 사고 통보와 대응·조사 책임을 명시해야 한다고 기고문은 강조했다.

대만 금융감독관리위원회는 하위 규정 초안의 공고가 관보에 실린 다음 날부터 40일간 의견을 받을 계획이라고 밝혔다. 초안은 의견 수렴을 거쳐 확정될 예정이다.