팟캐스트 Ep.321ㅡ“보안은 선택 아닌 생존” — 2025년 암호화폐 산업, 역사상 최악의 해킹 피해 기록

토큰포스트 팟캐스트에서는 2025년 암호화폐 업계를 강타한 대규모 해킹 사건과 이로 인한 보안 위기의 심각성을 진단하고, 시장에 제기된 구조적 리스크를 중점적으로 분석했다. 특히 수치상 피해 규모가 전례 없는 수준으로 확산되며, 기술적 보안보다 운영관리의 중요성이 대두되고 있는 현실에 주목할 필요가 있다는 지적이다.

2025년 상반기 암호화폐 해킹 피해액은 21억 7,000만 달러에 달하며, 이는 작년 전체 피해액 22억 달러를 이미 초과한 수치이다. 역사상 최악으로 기억됐던 2022년보다 70일 이상 빠른 속도로 피해액이 누적되며, 보안 취약성이 전방위로 노출되고 있다. 특히 2월 발생한 바이빗 해킹 사건의 경우 단일 사건으로 15억 달러가 유출되어, 기존 최대 피해 건이었던 2022년의 로닌 네트워크 해킹(6억 1,500만 달러)을 두 배 넘게 상회했다. 이 외에도 페멕스, 노비텍스, 코인베이스 등 주요 거래소를 대상으로 다수의 공격이 이어졌다.

문제는 공격 유형에서 드러났다. 접근 제어 실패로 인한 피해가 전체 손실의 59%를 차지함으로써, 스마트 컨트랙트 코드 결함(8%)보다 훨씬 큰 리스크 요인으로 드러난 것이다. 이는 프라이빗 키 관리 소홀, 내부자위협, 소셜 엔지니어링 등 '운영상 보안'의 문제가 기술적 대응보다 더 복합적이고 광범위해졌다는 뜻으로 해석된다. 대표 사례 중 하나인 바이빗은 업계에서 신뢰받는 멀티시그 솔루션 '세이프(Safe)'를 사용하고 있었음에도 운영상의 취약점이 해커들에게 노출되면서 대규모 손실을 초래했다.

또한 북한 정부와 연계된 사이버 해킹 조직인 라자루스 그룹이 바이빗 해킹 배후로 지목되며, 국가 수준의 공격이라는 새로운 위험 지형도 확인되고 있다. 라자루스 그룹은 2017년 이후 수십 건의 공격을 수행한 전력이 있으며, 2022년 로닌 네트워크 공격도 미국 FBI가 해당 조직의 소행으로 공식 확인한 바 있다. 2025년에도 라자루스가 관여한 것으로 추정되는 해킹 피해는 2억 달러를 초과했다. 한국 역시 이 흐름에서 예외가 아니었다. 11월 한국 최대 거래소 업비트가 해킹 피해를 입으며 3,000만~3,600만 달러가 탈취되었고, 정부 기관과 전문가들은 북한 연관성이 짙은 공격 수법이 활용되었음을 확인했다.

탈중앙화 금융(DeFi) 부문에서도 피해가 가속화되고 있다. 올해 상반기 DeFi 보안 사고로 인한 손실은 31억 달러로, 2024년 전체 피해액(28억 5,000만 달러)을 이미 초과했다. 특히 스마트 컨트랙트 결함이 전체의 67%를 차지했고, 재진입 공격, 오라클 조작, 플래시론 공격 등 복합적인 방법이 동원됐다. 그 중 크로스체인 브릿지를 겨냥한 공격만으로도 15억 달러 이상이 유출되었다. 이는 상호운용성을 가능하게 하는 브릿지 기술이 또 다른 보안 위협의 진원지가 될 수 있음을 시사한다.

이 같은 상황에서도 보안 투자의 효과는 명확히 나타나고 있다. 보안 감사 전문 업체 서틱(CertiK)에 따르면, 보안 감사를 받은 프로젝트는 해킹 확률이 미감사 대비 95% 낮은 것으로 나타났다. 예컨대 2만 달러 투자로 2,000만 달러 해킹을 방지할 수 있을 경우 투자 대비 수익률(ROI)은 1,000배에 달한다는 설명이다. 실제로 코드 취약점으로 인한 손실은 2025년 3분기 들어 71% 감소한 것으로 보고돼, 코드 강화의 실효성이 확인된다.

전문가들은 당장의 취약점 대응을 넘어, 보안 전략 전반의 스케일 업이 필요하다고 진단한다. 스마트 컨트랙트 감사, 멀티서명 도입, 실시간 이상 탐지 시스템, 그리고 자산 보험 가입 등이 대표적인 조치다. 특히 콜드월렛 사용 확대와 핫월렛 자산 축소는 기본적인 예방책으로 꼽힌다. 일반 사용자 역시 2단계 인증, 각 서비스별 고유한 비밀번호, 피싱 경계 의식 등이 필수로 요청되고 있다.

향후에는 양자 컴퓨팅 발전과 AI 기반 공격이라는 새로운 위협에 직면하게 될 전망이다. AI 기술을 활용한 딥페이크 음성과 영상 위조, 자동 피싱 기법이 실제로 상반기 동안 3억 달러 이상의 피해로 이어졌고, npm 패키지 공급망 침해 사고도 보고되었다. 중장기적으로는 양자 알고리즘이 기존 ECDSA, RSA 기반 암호화를 무력화 시킬 수 있어, 산업 전반의 암호 체계 전환(Post-Quantum Cryptography)이 주요 과업으로 부상하고 있다.

이런 맥락 속에서 한국 정부도 규제 강화 움직임을 가시화하고 있다. 업비트 사건 이후 금융당국은 거래소 보안 감사 기준 강화와 핫월렛 보관 자산 비중 조절에 대한 가이드라인 검토에 착수했다. 전문가들은 암호화폐 산업이 이제 보안을 비용이 아닌 필수 생존 도구로 인식하고, 장기적으로는 차세대 브릿지 및 양자 내성 보안 등에 전략적 투자를 확대해 나가야 한다고 강조한다.