업비트 이어 보아·피기셀까지···국내 가상자산 보안 위기 '경고등'

국내 최대 가상자산 거래소 업비트의 해킹 사태에 이어 국내 1위 무선충전기 대여 서비스 회사 충전돼지의 블록체인 프로젝트인 피기셀과 빗썸에 상장된 국내 프로젝트까지 잇따라 해킹 피해를 입으며 국내 가상자산 업계의 보안 우려가 가속화되고 있다.

Quick Point!

국내 가상자산 업계에서 해킹 피해가 잇따라 발생

업비트, 피기셀, 보아 코인 등 주요 프로젝트 연쇄 피해

보안 취약성에 대한 우려와 투자자 불안 확대

12일 업계에 따르면 지난 5일 국내 400만 이상의 이용자를 보유한 무선충전 임대 서비스 '충전돼지'의 블록체인 프로젝트 피기셀이 대규모 해킹 공격을 받았다. 해커들은 스마트 컨트랙트의 민트(발행) 기능을 악용해 기존 발행량을 초과하는 코인을 무단으로 생성한 뒤 시장에 매도했다.

충전돼지 코인도 해킹···가격 97% 폭락

이에 피기셀은 토큰 가격이 75% 급락하는 충격을 겪었다. 해커가 대량의 코인을 매도하면서 투자자들이 막대한 손실을 입은 것이다. 특히 민트 컨트랙트를 배포하는 프라이빗키가 노출돼 해커가 약 2000만개의 코인을 무단 발행한 뒤 매도한 것으로 알려졌다.

앞서 피기셀은 지난 10월 28일 토큰 생성 이벤트(TGE) 당시 746% 급등하며 2.53달러의 최고가를 기록했다. 다만 해킹 이후 97% 이상 가격이 폭락했다. 구체적인 매도 개수와 가격은 확인하기 어려운 상황이나 이번 해킹 사태로 2달 만에 프로젝트가 존폐의 기로에 놓이게 됐다.

이와 관련해 재단 측은 "현 단계는 피해를 복구하는 데 집중하고 있다"며 "거래소·파트너사·투자자·커뮤니티와의 신뢰를 회복하고 생태계가 정상화될 수 있도록 모든 역량을 투입할 예정"이라고 밝혔다.

브릿지 컨트랙트서도 탈취...거래량 50배 폭증

2020년 빗썸에 상장된 보아 코인 역시 최근 해킹 피해를 입었다. 지난 3일 보아 코인은 브릿지 컨트랙트에서 보아코인 9억9000만개가 탈취됐다고 자사 공지사항을 통해 밝혔다.

브릿지는 이종 블록체인간 자산 전송을 가능하게 하는 기술이다. 통상 락 앤 민트(Lock-and-Mint) 방식으로 자산을 이동시키는데 이는 실제 전송이 이뤄지는 것이 아닌 기존 컨트랙트에서 자산을 동결시키고 다른 한쪽에서 복사본을 생성하는 방식이다. 이때 서명 과정에서 취약점이 드러나기 때문에 검증 로직 오류 등을 통해 해킹이 쉽게 발생하는 구간이다.

이로 인해 6원대에서 거래되던 보아 코인은 현재 3.623원까지 하락했다. 무엇보다 해킹 이후 거래량이 비정상적으로 폭증하며 거래 변동성이 커졌다. 약 280억원 수준이던 일일 거래량이 해킹 이후 약 1조4000억원으로 약 50배 급증해 투자 변동성이 극도로 심화됐다.

업비트 해킹에 이어 피기셀, 보아 코인까지 연이어 발생한 해킹 사태로 국내 가상자산 시장의 보안 취약성이 여실히 드러나면서 투자자들의 불안이 가중되고 있다.

전문가들 "오딧 레포트·보안체계 사전 검토 필수"

전문가들은 프로젝트 단계에서부터 철저한 보안 감사를 실시하고 토큰 발행량 제한 등 기본적인 보안 설정을 갖춰야 한다고 강조한다. 또한 투자자들도 프로젝트의 오딧 레포트, 보안 체계, 팀 구성 등을 면밀히 검토한 뒤 투자 결정을 내려야 한다는 지적이다.

한 보안 전문가는 "해킹은 방법론이 무궁무진해 100% 막을 수 없다. 업비트도 프라이빗키가 탈취되지 않았냐"면서도 "다만 이번 건은 사측에도 잘못이 있어 보인다"고 말했다.

이어 "토큰을 발행할 때 솔리디티 라이브러리에 민트(mint), 번(burn) 등 여러 기능이 있다. 예를 들어 토큰의 발행 상한을 1백만개로 하려면 상단 캡을 씌워놔야 한다"며 "캡을 안 씌웠다면 발행 기능을 그대로 남겨놓은 것"이라고 설명했다.

그러면서 "스마트컨트랙트 오딧(감사)을 받으면 간단하다. 캡을 씌워놓으라고 지침을 준다"며 "오딧을 보다 꼼꼼히 체크할 필요가 있다"고 언급했다.

한 VC 업체 관계자는 "해킹은 막을 수 없는 문제다. 다만 보상을 해주냐 못해주냐가 문제인데, 대부분 못해준다는 것이 문제"라며 "보상이 이뤄진다 하더라도 사태 파악까지 시일이 걸리는 데다, 피해액이 수시로 바뀌기 때문에 이를 산정하는 방식도 어렵다"고 했다.

그는 "투자 전 주의사항으로 ▲프로젝트 관련 회사의 해킹 전적 확인 ▲오딧 레포트 체크 ▲검증 회사 등급 확인 ▲팀 내 보안전문가 유무를 확인해야 한다"고 했다.

특히 "오딧 레포트를 제공하는 검증 회사에도 등급이 있기 때문에 그 부분도 확인이 필요하다"며 "팀 내에 보안전문가가 있고 없고의 차이는 크니, 이 부분도 사전에 검토해야 한다"고 조언했다.