구글에서 선호하는 출처로 추가
바이낸스 해킹, 양하이포가 지적한 운영 통제 3가지
정민석 기자
바이낸스는 보안 사고로 영향받은 가상자산을 63억4000만달러로 집계했다. 양하이포는 운영 장비 분리와 추가 인증, 거래별 독립 검증을 제안했다.
토포AI로 이 기사 더 깊이 읽기
양하이포(Haipo Yang) 코인엑스(CoinEx)·ViaBTC 창업자 겸 CEO는 바이낸스(Binance) 보안 사고에서 개발·운영 환경 분리, 운영 권한의 이중 인증, 거래 서명자의 독립 검증 등 세 가지 통제 문제를 짚으며 “복잡한 기술보다 규율이 필요하다”고 말했다. 세 제안은 생산 환경에 접근하는 장비와 권한, 거래 승인 절차를 겨냥한다.
체인캐처는 4일 양하이포가 X 게시물에서 이 같은 견해를 밝혔다고 전했다. 이번 사고는 10월 29일 발생했다.
바이낸스는 3일 공개한 초기 조사 보고서에서 영향받은 가상자산을 약 63억4000만달러(약 8조5210억원)로 집계했다. 보고서 발표 시점까지 약 28억5000만달러(약 3조8304억원)는 동결되거나 이동이 차단된 상태였다.
바이낸스는 10월 31일 기준 영향받은 토큰 자산의 98%를 보충했다고 밝혔다. 영향 자산 규모와 동결·차단액, 보충률은 각각 다른 집계다.
초기 조사에서 바이낸스는 공격자가 내부 지갑 서명 서비스에 무단 접근하고 이더리움(ETH)의 EIP-7702 기능을 이용해 핫월렛에 권한을 부여했다고 밝혔다. 바이낸스는 출금을 중단한 뒤에도 블록체인에 설정된 권한은 자동으로 사라지지 않아 별도 취소 작업이 필요했다고 설명했다.
양하이포는 운영 환경에 접근하는 직원이 전용 장비를 사용하고, 해당 장비에는 제3자 소프트웨어를 설치하지 말아야 한다고 주장했다. 코딩과 채팅, 웹 탐색은 다른 장비에서 처리하자는 제안이다.
그는 키 하나만으로 운영 시스템에 영향을 줄 수 있으면 자격 증명이 노출됐을 때 공격자가 생산 환경에 접근할 수 있다고 지적했다. 브라우저에서 서버에 접속하는 AWS 세션 매니저와 유사한 방식에 하드웨어 보안 키를 두 번째 인증 수단으로 추가하자고 제안했다.
다자 서명과 관련해서는 서명자들이 앞 단계의 요청을 그대로 믿으면 보호 효과가 약해질 수 있다고 주장했다. 서명자마다 거래 내용을 독립적으로 확인해야 다자 서명의 취지에 맞는다는 설명이다.
바이낸스는 사고에 연루된 핫월렛이 다자간 계산(MPC) 방식을 사용해 단일 개인키로 관련 권한을 즉시 취소할 수 없었다고 밝혔다. 이 설명은 양하이포가 지적한 서명자별 독립 심사 여부와는 별개다.
양하이포가 창업한 코인엑스는 앞서 거래소 서비스를 단계적으로 종료하고 12월 22일까지 출금을 지원하기로 했다.
Comment 0
불러오는 중…