해킹 피해는 코드 밖에서 났다…이제 ‘키’를 감사할 때다
10월 공개된 해킹 피해액의 대부분은 스마트컨트랙트 버그가 아니라 개인키 관리와 공급망·호스팅 인프라에서 나왔다. 감사 보고서가 닿지 않는 영역으로 보안의 무게중심을 옮겨야 한다.
In Focus해킹·보안속보 49 · 기사 9
디파이(DeFi) 보안을 말할 때 업계가 가장 먼저 내미는 것은 여전히 스마트컨트랙트 감사(audit) 보고서다. 감사를 몇 곳에서 받았는지가 곧 안전성의 지표처럼 쓰인다. 그러나 이달 실제로 돈이 빠져나간 경로를 따라가 보면 이야기가 달라진다. 큰돈은 코드가 아니라 키, 그리고 그 키를 둘러싼 인프라에서 샜다.
해킹 통계를 모으는 디파이라마(DefiLlama) 대시보드에는 25일 기준 10월 사건 21건이 올라 있다. 피해액이 공개된 19건을 필자가 합산하면 약 1억2,460만달러다. 이 중 공급망 공격으로 분류된 렛저(Ledger) 사건 9,300만달러, 인프라를 통한 키 유출로 분류된 온라인 카지노 감덤(Gamdom) 421만달러, 핫월렛 키 탈취로 분류된 인도 거래소 코인DCX(CoinDCX) 1,600만달러, 약한 키 생성으로 분류된 큐빅(Qubic) 130만달러를 더하면 9할을 넘는다. 일부는 온체인 추정치로, 당사자가 확인하지 않은 수치다.
렛저 사건은 기기 유통망을 노렸다. 렛저는 조직적 범죄 집단이 자사 기기를 사들여 시드 문구를 읽을 수 있는 하드웨어 임플란트를 심은 뒤 말레이시아 리셀러 등을 통해 다시 시장에 풀었다고 설명했다. 칩과 운영체제, 서버에는 결함이 없었다는 게 렛저의 입장이다. 지갑이 아무리 잘 설계돼도 사용자 손에 닿기 전 단계가 뚫리면 소용이 없다는 뜻이다.
두 번째 사례는 호스팅이다. 미국 클라우드 업체 레일웨이(Railway)는 21일(현지시간) 고객 환경변수를 저장하는 시스템에서 이상 활동을 탐지했다고 공지했다. 권한 없는 제3자가 암호화된 환경변수에 접근했고, 일부는 복호화된 내용까지 얻었을 수 있다는 내용이다. 레일웨이는 배포를 멈추고 모든 고객에게 키 교체를 권고했다. 이튿날 보안 연구자 테일러 모나핸(Taylor Monahan)은 최소 19개 체인, 200여 개 주소에서 약 37만1,000달러가 빠져나갔다고 집계하고 이를 레일웨이에 저장된 개인키와 연결했다. 레일웨이는 이 연관성을 확인하지 않았다. 금액은 작지만, 트레이딩 봇과 지갑의 서명 키가 범용 호스팅의 설정값 속에 놓여 있었을 가능성을 보여준다.
세 번째는 키의 '은퇴'다. 코인DCX는 25일 2025년 7월 해킹 때 노출돼 쓰지 않던 지갑 주소에 이용자 입금이 계속 들어왔고, 이를 옮겨 담는 자동 스윕 서비스가 한동안 멈추면서 쌓인 1,599만 USDT를 잃었다고 밝혔다. 처음에는 새 침해가 아니라고 했던 회사는 손실을 자체 부담하고 이용자 자산은 안전하다고 설명했다. 키를 폐기해도 주소는 체인 위에 살아 있다. 지난달 3억8,750만달러가 유출된 비트겟(Bitget) 사고 역시 외부 보안 제품의 취약점으로 내부 자격증명이 탈취된 경우였다.
반론도 만만치 않다. 건수로 보면 코드 버그가 여전히 다수다. 디파이라마의 10월 목록 21건 중 9건이 토큰·지분 회계 오류였다. 드래곤플라이(Dragonfly)의 하심 쿠레시(Haseeb Qureshi)는 올해 해킹 건수는 늘었지만 피해 중간값이 50만달러 아래로 내려갔다며, 대형 프로토콜이 방어를 강화한 결과로 해석했다. 감사가 제 역할을 하고 있다는 근거로 읽을 수 있다. 렛저·코인DCX·감덤은 디파이 프로토콜이 아니라 중앙화 사업자와 유통망의 문제이니 한데 묶지 말라는 지적도 타당하다.
그래도 필자는 무게중심을 옮겨야 한다고 본다. 디파이도 키에서 자유롭지 않다. 지난 4월 약 2억8,000만달러가 빠져나간 솔라나 기반 드리프트(Drift) 사건은 컨트랙트 버그가 아니라 관리자 권한이 탈취되면서 벌어졌다. 코드가 감사를 통과해도, 그 코드를 업그레이드하고 출금 한도를 바꾸는 키가 허술하면 같은 결과가 난다.
제언은 세 가지다. 첫째, 프로젝트는 감사 보고서만큼 키의 생성·보관·교체·폐기 절차를 공개해야 한다. 둘째, 폐기한 주소는 끝까지 감시하고 스윕은 이중화해야 한다. 셋째, 서명 키는 범용 호스팅의 환경변수가 아니라 전용 서명 인프라에 둬야 한다. 국내 가상자산이용자보호법은 거래소에 이용자 자산 80% 이상의 콜드월렛 보관을 요구하지만, 봇 운영자와 디파이 팀의 키에는 그런 기준이 없다. '감사 완료'라는 문구가 '키 관리 검증'까지 포함하는 날이 와야 한다.
본 기사는 정보 제공 목적이며 투자 권유가 아닙니다.
참고