4억 달러 암호화폐 강도 사건: 개인 키는 안전하지만 신뢰 체인이 무너질 때
약 4억 달러 규모의 암호화폐 도난 사건이 중앙화 거래소와 DeFi 프로토콜의 보안에 대한 우려를 다시 불러일으켰다. 그러나 핵심 교훈은 단순히 “또 다른 거래소가 해킹당했다”는 것이 아니다. 개인 키는 도난당하지 않았다. 침해된 것은 권한 부여 계층, 즉 누가 지갑으로 하여금 트랜잭션에 서명하게 할 수 있는지를 결정하는 신뢰 체인이었다.
진짜 공격 표면
대부분의 주요 암호화폐 도난 사건에서 공격자는 암호학을 깨지 않는다. 그들은 인간과 운영 프로세스를 침해한다. 직원 기기 침해, 서명자를 속이는 피싱 이메일, 다중 서명 승인 워크플로의 결함 등이다. 공격자가 권한 있는 서명자를 사칭할 수 있게 되면, 블록체인은 설계된 대로 정확히 트랜잭션을 실행한다. 지갑 자체는 안전하게 유지되지만, 이를 둘러싼 거버넌스는 그렇지 않다.
이 구분이 중요한 이유는 보안 패러다임이 바뀌기 때문이다. 수년간 업계는 키 관리, 즉 하드웨어 지갑, 콜드 스토리지, 샤미르 백업에 집중했다. 이들은 필요하지만 충분하지 않다. 새로운 영역은 권한 부여 무결성, 즉 누가 트랜잭션을 제안, 승인, 브로드캐스트할 수 있으며 어떤 조건에서 가능한가이다.
업계에 대한 시사점
- 다중 서명은 은탄환이 아니다. 모든 서명자가 동일한 침해된 기기를 사용하거나 동일한 사회공학 공격에 넘어간다면, 다중 서명은 아무런 보호도 제공하지 못한다.
- 운영 보안이 이제 프로토콜 보안이다. 거래소와 펀드는 서명자 신원, 기기 위생, 승인 워크플로를 핵심 인프라로 취급해야 한다.
- 온체인 투명성은 양날의 검이다. 공격자는 감사자만큼이나 쉽게 트랜잭션 패턴과 승인 임계값을 연구할 수 있다.
이 사건은 규제 당국의 관심이 커지고 있음도 부각한다. 손실이 늘어남에 따라 커스터디 제공자에게 키 세레모니 감사, 서명자 직무 분리, 실시간 이상 탐지에 관한 더 엄격한 요건이 부과될 것으로 예상된다. 이미 신중한 기관 투자자들은 자본을 배분하기 전에 권한 부여 통제에 대한 제3자 증명을 요구할 수 있다.
투자자가 자신을 보호하는 방법
- “우리는 다중 서명을 사용한다”는 말뿐 아니라 상세한 권한 부여 정책을 공개하는 커스터디언과 프로토콜을 선호하라.
- 여러 독립적인 제공자와 체인에 걸쳐 커스터디를 분산하라.
- 셀프 커스터디의 경우, 서명 기기를 분리한 하드웨어 지갑을 사용하고 단일 침해 환경에서 트랜잭션을 승인하지 말라.
- 온체인 승인을 모니터링하고 사용하지 않는 허용량을 정기적으로 취소하라.
앞으로의 전망
차세대 암호화폐 보안은 더 강력한 암호화가 아니다. 더 강력한 거버넌스, 즉 검증 가능한 서명자 신원, 독립 하드웨어를 사용한 임계값 서명, 권한 부여 이벤트의 지속적인 모니터링이다. 업계가 “키는 어디에 있는가”라는 질문만큼 “누가 서명할 수 있는가”라는 질문을 진지하게 다루기 전까지, 9자리 수의 강도 사건은 시장의 반복되는 특징으로 남을 것이다.
