“해킹 이후 내 자산 돌려받을 수 있을까?”…멕시벤처스(MEXC Ventures), 거래소 보안 5대 점검 기준 제시

암호화폐 거래소 보안의 평가 기준이 사고 예방을 넘어 피해 보전 능력과 정보 공개 수준으로 확대되고 있다. 멕시벤처스(MEXC Ventures)는 리서치를 통해 이용자가 거래소를 선택할 때 보호기금, 준비금 증명(PoR), 출금 통제, 공시 습관, 계정 보안 등 다섯 가지 항목을 점검해야 한다고 제시했다. 거래소의 안전성은 홍보 문구보다 직접 확인할 수 있는 자료와 대응 절차를 통해 판단해야 한다는 분석이다.

보고서는 대형 거래소에서도 보안 사고가 발생할 수 있으며, 사고 이후 이용자 자산을 보전하는 방식에는 차이가 있다고 짚었다. 전액 보전을 발표하고 출금을 재개하는 과정에서 보호기금뿐 아니라 회사 재원까지 동원되는 경우도 있다는 설명이다. 거래소 보안을 평가할 때 침해 가능성과 함께 사고 이후의 지급 능력을 살펴야 하는 이유다.

첫 번째 점검 대상은 ‘보호기금’이다. 보고서는 2018년 바이낸스가 거래 수수료 일부를 별도 지갑에 적립하기 시작한 사례를 소개하며, 기금의 존재 자체보다 규모와 구성, 검증 가능성이 중요하다고 분석했다. 같은 10억 달러라도 고객자산 규모에 따라 손실을 감당할 수 있는 수준은 달라진다. 이용자는 공개된 기금 액수와 함께 고객자산 대비 비율을 가늠할 필요가 있다.

기금에 어떤 자산이 담겼는지도 확인해야 한다. 비트코인(BTC)은 가격 변동에 따라 기금의 달러 환산 가치가 달라지므로, 사고 시점에 보전 재원이 줄어들 수 있다. 보고서는 스테이블코인과 비트코인(BTC)을 혼합하는 구성을 사고 직후 지급 안정성을 고려한 방식으로 설명했다. 지갑 주소가 공개돼 있다면 블록 익스플로러에서 잔고와 이동 내역도 확인할 수 있다. 다만 보호기금은 일차적인 대응 재원으로, 거래소 전체의 재무 여력을 보여주는 자료는 아니다.

두 번째는 ‘준비금 증명’의 검증 방식이다. 보고서는 2022년 대형 거래소의 고객자산 유용과 파산 이후 준비금 공개가 확산됐지만, 공개 자료의 신뢰도를 일률적으로 평가해서는 안 된다고 지적했다. 거래소가 자체적으로 제시한 수치인지, 외부 기관이 확인한 자료인지부터 구분해야 한다. 검증 주체와 확인 범위가 구체적으로 명시돼 있는지도 거래소 보안 점검의 주요 항목이다.

멕시벤처스(MEXC Ventures)는 준비금 증명의 갱신 주기와 이용자별 확인 기능도 살펴야 한다고 설명했다. 월 1회와 분기 1회 공개는 정보의 시의성에서 차이가 나며, 특정 시점의 잔고를 보여주는 스냅샷만으로는 공개 사이의 자산 변동을 파악하기 어렵다. 머클트리 방식에서는 이용자가 자신의 계정 잔고가 증명 대상에 포함됐는지 확인할 수 있다. 이 기능 역시 거래소의 모든 부채나 재무 건전성을 보증하는 것으로 확대 해석해서는 안 된다.

세 번째 기준은 콜드월렛 보관 비율을 넘어선 ‘출금 통제’다. 보고서는 서명 화면 조작이나 직원 기기 침해처럼 개인키를 사용하는 과정과 내부 시스템이 공격 경로가 될 수 있다고 설명했다. 자산을 오프라인에 보관한다는 사실만으로 거래소 보안 체계 전체를 판단하기 어려운 셈이다.

구체적으로는 대규모 출금에 복수 승인이 필요한지, 별도 기기에서 거래 내용을 확인하는지, 자산 이동에 시간 지연을 적용하는지 등을 살펴야 한다. 이상 출금을 자동으로 중단하는 체계와 외부 솔루션의 보안 감사 여부도 확인 대상이다. 이용자가 내부 절차를 직접 검증하기는 어렵지만, 거래소가 통제 방식과 외부 감사 범위를 얼마나 구체적으로 공개하는지는 비교할 수 있다.

네 번째는 사고 전후의 ‘공시 습관’이다. 피해 규모와 동결 자산, 초기 침해 경로를 공개하고 조사 결과에 따라 내용을 갱신하는지 살펴야 한다. 평소 정기 보안 보고서와 사고 사후 보고서를 발행하는지, 사기 차단 건수나 수사기관 협조 사례를 수치로 제시하는지도 참고할 수 있다. 보호기금과 준비금 증명 자료를 꾸준히 갱신하는 관행은 정보 공개 수준을 판단하는 근거가 된다.

마지막은 이용자 계정의 방어 기능이다. 피싱이나 악성 앱을 통해 인증 정보가 유출되면 거래소 시스템에 문제가 없어도 자산 피해가 발생할 수 있다. 출금 주소 화이트리스트, 새 주소 등록 이후 출금 잠금, 새 기기 로그인이나 비밀번호 변경 이후 출금 제한이 대표적인 점검 항목이다. 하드웨어 보안키와 패스키 지원, 이상 로그인 알림도 함께 확인해야 한다.

이러한 기능은 계정이 탈취되더라도 즉시 자산이 빠져나가는 것을 제한하고, 이용자가 이상 징후를 확인해 대응할 시간을 확보하는 데 목적이 있다. 따라서 기능 제공 여부뿐 아니라 실제 활성화 상태까지 확인해야 한다. 거래소 보안 정책을 비교하는 작업과 개인 계정의 보호 설정은 함께 이뤄져야 한다.

멕시벤처스(MEXC Ventures)는 이번 리서치에서 다섯 가지 항목이 거래소를 평가하는 완결된 기준은 아니지만, 사고 전에 확인할 수 있는 실질적인 점검 자료라고 설명했다. 보호기금의 공개 수준, 준비금 증명의 검증 범위, 출금 통제와 공시 이력, 계정 보호 설정을 함께 살피는 것이 거래소 보안을 판단하는 출발점이라는 취지다.

본 콘텐츠는 멕시벤처스(MEXC Ventures)의 정보 제공 목적 리서치를 바탕으로 작성됐으며 투자·세무·법률·금융·회계 조언에 해당하지 않는다. 투자 결정과 그에 따른 책임은 투자자 본인에게 있다.