암호화폐 결제 시스템, AI 시대 보안 취약점 노출…코인베이스 등 15곳 '낙제점'

급변하는 디지털 경제 환경 속에서 인공지능(AI) 에이전트 기반의 결제 시스템 도입이 가속화되는 가운데, 주요 암호화폐 결제 처리 서비스(facilitator)들의 보안 취약성이 도마 위에 올랐습니다. 최근 발표된 연구 결과에 따르면, 코인베이스를 포함한 15개 주요 x402 결제 처리 서비스가 AI 에이전트 경제 시대에 맞춰 설계된 보안 테스트를 통과하지 못한 것으로 드러났습니다. 이는 판매자가 대금을 받지 못하거나, 처리 서비스가 보유한 자산이 노출되고, 공격자 주도의 네트워크 비용을 공급업체가 떠안게 되는 심각한 결과를 초래할 수 있습니다.

이번 연구는 35회 미국 USENIX 보안 심포지엄에서 발표되었으며, 연구진은 코인베이스, Thirdweb, PayAI, Mogami 등 15개의 주요 x402 결제 처리 서비스를 대상으로 테스트를 진행했습니다. 그 결과, 모든 테스트 대상 플랫폼이 적어도 하나 이상의 보안 규칙을 위반한 것으로 밝혀졌습니다. 이는 곧 잠재적인 공격에 노출될 수 있음을 의미합니다.

연구진은 시스템 전반에 걸쳐 총 49개의 규칙 위반을 31개의 고유한 취약점으로 식별했습니다. 이들 취약점은 연구 기간 동안 관찰된 x402 거래량의 99%, 결제 거래액의 98%를 차지하는 시스템에서 발견되었습니다. 이는 현재 운영 중인 대부분의 x402 결제 시스템이 잠재적인 보안 위협에 노출되어 있음을 시사합니다. 이와 관련하여 연구진은 '무료 쇼핑', '자산 도난', '서비스 중단', '가스 남용' 등 네 가지 광범위한 공격 유형을 파악했습니다.

특히, 연구진은 제한된 조건 하에서 두 건의 '무료 쇼핑' 공격, 세 건의 '가스 남용' 공격, 그리고 처리 서비스 보유 자산 노출로 이어질 수 있는 한 건의 공격 경로를 직접 검증했습니다. 이는 공격자들이 시스템의 허점을 이용해 실제 결제 없이 상품이나 서비스를 탈취하거나, 불필요한 네트워크 수수료를 발생시켜 서비스 제공업체에 큰 부담을 지울 수 있음을 보여줍니다.

연구 결과에 대해 전문가들은 99%의 x402 거래 자체가 취약하다는 의미는 아니라고 선을 그었습니다. 그러나 해당 공격이 발생할 경우, 판매자에게 직접적인 금전적 손실을 입히고, 처리 서비스가 보유한 자산을 도난당하며, 무제한적인 스폰서 지급 가스/수수료 발생, 그리고 결제 서비스의 중단을 야기할 수 있다고 경고했습니다. 이는 단순한 기술적 결함을 넘어 실제적인 비즈니스 운영에 치명적인 영향을 미칠 수 있음을 의미합니다.

이번 보안 취약점 발견은 x402가 머신 기반 상거래의 인프라로 홍보되고 있는 시점에서 더욱 심각하게 받아들여지고 있습니다. x402는 웹사이트 및 API가 결제를 요청하고, 소프트웨어 및 AI 에이전트가 이를 자율적으로 완료할 수 있도록 지원하는 시스템입니다. 이 과정에서 결제 처리 서비스는 구매자와 판매자 사이의 중개자 역할을 수행하며, 서명된 결제 승인을 확인한 후 거래를 블록체인에 제출합니다. 이러한 중개자 역할은 거래의 원활한 정산을 위한 중요한 통제권을 부여하는 동시에, 리스크를 집중시키는 구조적인 문제를 안고 있습니다.

가장 심각한 공격 경로 중 하나는 아직 배포되지 않은 스마트 계약 지갑의 서명을 지원하도록 설계된 이더리움 서명 표준인 ERC-6492와 관련이 있습니다. 연구진은 악의적인 메타데이터를 사용하여 처리 서비스가 예상되는 결제를 정산하는 대신 임의의 토큰 승인 거래를 자금 지원하고 제출하도록 조작할 수 있음을 발견했습니다. 연구진은 처리 서비스의 자금을 직접 이동시키지는 않았지만, 공격자가 해당 권한을 사용하여 처리 서비스가 통제하는 자산의 이체를 승인할 수 있다는 점에서 이 결함을 자산 도난의 직접적인 경로로 분류했습니다.

이와 유사하게, 검증된 세 건의 다른 공격은 처리 서비스가 판매자를 위해 블록체인 거래 수수료를 후원할 수 있다는, 즉 처리 서비스의 유용성을 높이는 동일한 경제적 기능을 악용했습니다. 공격자는 이러한 기능을 이용하여 처리 서비스가 지불하도록 유도함으로써, 실제로는 자신은 비용을 지불하지 않으면서 서비스의 혜택을 누리거나 시스템의 자원을 고갈시킬 수 있습니다. 예를 들어, 공격자는 수많은 임시 거래를 발생시켜 처리 서비스로 하여금 상당한 양의 가스 비용을 지불하도록 만들 수 있으며, 이는 서비스 제공업체에 심각한 재정적 부담으로 작용할 수 있습니다.

이번 연구 결과에 대해 일부 처리 서비스 제공업체들은 이미 수정 조치를 시작했다고 알려졌습니다. 그러나 연구 결과 발표 시점에는 어떤 취약점이 실제 배포된 시스템에서 아직 해결되지 않았는지에 대한 구체적인 정보는 공개되지 않았습니다. 이는 사용자들이 여전히 잠재적인 위험에 노출될 가능성을 시사하며, 향후 보안 업데이트 및 검증 과정에 대한 지속적인 관심과 주의가 요구됩니다.

AI 에이전트 경제로의 전환은 필연적으로 결제 시스템의 혁신을 요구합니다. 하지만 이러한 혁신은 강력한 보안 체계 없이는 오히려 새로운 위험을 초래할 수 있습니다. 코인베이스와 같은 주요 플레이어들이 보안 테스트에서 어려움을 겪었다는 사실은, 암호화폐 및 블록체인 기술의 발전과 더불어 보안 강화 노력이 동반되어야 함을 분명히 보여줍니다. 향후 관련 기관 및 기업들의 책임감 있는 보안 강화 조치와 투명한 정보 공개가 필수적입니다.