개인 키 보호만으론 암호화폐 절도 막을 수 없다
CryptoSlate2026년 9월 21일 05:304
최근 암호화폐 거래소 리퀴드(Liquid)에서 발생한 4,000 BTC(약 1,000억 원 상당) 규모의 해킹 사건은 암호화폐 투자자들에게 큰 충격을 주고 있습니다. 이번 사건의 가장 놀라운 점은 해킹 공격자들이 개인 키를 탈취하지 않았음에도 불구하고 리퀴드 네트워크가 정상적인 출금을 승인했다는 사실입니다. 이는 단순히 개인 키를 안전하게 보관하는 것만으로는 암호화폐 자산을 완벽하게 보호할 수 없다는 점을 시사합니다. 리퀴드에서 사용되는 비트코인 기반 토큰 L-BTC는 별도의 블록체인에서 더 빠르고 프라이빗한 거래를 위해 설계되었습니다. 사용자는 비트코인을 리퀴드 중앙화된 준비금에 맡기고, 그 대가로 L-BTC 토큰을 받게 됩니다. 이 토큰을 상환하면 준비금에 보관된 실제 비트코인이 사용자에게 돌아오는 방식입니다. TRM Labs의 분석에 따르면, 공격자들은 소프트웨어 취약점을 이용해 실제 비트코인을 예치하지 않고도 L-BTC 토큰을 대량으로 발행한 뒤, 이를 실제 비트코인으로 교환하는 수법을 사용했습니다. 즉, 출금 승인 담당자들이 잘못된 정보에 기반한 거래를 승인한 것입니다.
오랜 기간 동안 우리는 암호화폐를 안전하게 보관하기 위해서는 개인 키를 철저히 보호해야 한다는 교육을 받아왔습니다. 개인 키는 암호화폐 거래를 승인하는 비밀 정보이며, 도난당하지 않도록 관리하는 것은 필수적입니다. 하지만 이번 리퀴드 사건은 소프트웨어가 개인 키를 도용당하지 않고도 잘못된 거래를 승인할 수 있다는 것을 보여주었습니다. 이는 마치 여러 명의 담당자가 동일한 잘못된 계좌 잔고를 확인하고 출금을 승인하는 것과 같습니다. 이러한 기술적인 문제 뒤에는 '누가 손실을 보상할 것인가'라는 막대한 금전적 문제가 뒤따릅니다.
암호화폐 거래소들이 고객 자산 보호를 위해 보험에 가입하는 경우가 많습니다. 하지만 암호화폐 보험이 항상 고객의 모든 손실을 즉각적이고 완벽하게 보상해준다고 보장할 수는 없습니다. 보험 계약 조건에 따라 특정 유형의 손실만 보장되거나, 제기된 클레임에 대해서만 보상이 이루어질 수 있습니다. 또한, 보험 회사가 손실액을 보상하더라도, 그것이 고객이 잃어버린 암호화폐를 대체하는 데 필요한 금액에 미치지 못할 수도 있습니다. 이러한 문제는 보험금 지급과 고객 계좌 사이에서 발생하며, '재정적 보호'라는 약속이 기대와는 완전히 다른 의미로 다가올 수 있습니다.
고객들은 자신이 직접 처리할 수 없는 업무를 대신 처리해주기를 바라며 금융 서비스에 자산을 맡깁니다. 여기에는 자산 보호뿐만 아니라, 이러한 보호 조치가 실패했을 때 책임을 지는 것도 포함됩니다. 보험은 이러한 책임을 뒷받침할 수 있지만, 그 구체적인 지원 범위는 보험 약관에 따라 결정됩니다. 코인베이스(Coinbase)의 경우, 자사의 범죄 보험이 사이버 보안 침해를 포함한 도난으로부터 보관 시스템에 있는 '일부' 디지털 자산을 보호한다고 명시하고 있습니다. 하지만 코인베이스는 총 손실액이 보험 회수액을 초과할 경우, 고객이 손실을 감수해야 할 수도 있다고 경고하고 있습니다.
리퀴드 사건은 거래소의 내부 시스템 오류나 소프트웨어 결함으로 인해 개인 키가 침해되지 않았더라도 대규모 자산 손실이 발생할 수 있다는 것을 분명히 보여줍니다. 이는 개인 키 보안의 중요성을 약화시키는 것이 아니라, 오히려 더욱 포괄적인 보안 및 위험 관리 시스템의 필요성을 강조합니다. 거래소는 단순히 개인 키를 안전하게 보관하는 것을 넘어, 모든 거래 승인 과정에 대한 엄격한 검증 절차와 이상 거래 탐지 시스템을 구축해야 합니다. 또한, 비상 상황 발생 시 고객 자산을 신속하고 투명하게 복구할 수 있는 명확한 프로토콜을 마련해야 합니다.
투자자들은 자신이 거래하는 거래소가 어떤 보안 시스템을 갖추고 있는지, 그리고 비상 상황 발생 시 어떤 보상 메커니즘이 작동하는지에 대해 충분히 이해해야 합니다. 단순히 '보험 가입'이라는 문구에 안주하기보다는, 보험의 범위, 조건, 그리고 실제 보상 절차에 대해 구체적으로 확인하는 것이 중요합니다. 또한, 리퀴드와 같이 비트코인을 기반으로 하는 다양한 토큰 상품의 경우, 해당 토큰이 실제 비트코인과 1:1로 정확하게 상환될 수 있는지, 그리고 그 과정에서 발생할 수 있는 위험은 무엇인지에 대한 면밀한 검토가 필요합니다.
궁극적으로, 암호화폐 시장의 성숙을 위해서는 거래소의 책임 강화와 더불어 투자자 교육이 필수적입니다. 투자자들은 자신의 자산이 어떻게 보호되고 있는지, 그리고 어떤 위험에 노출될 수 있는지에 대한 이해도를 높여야 합니다. 개인 키 보안은 여전히 중요하지만, 그것이 암호화폐 자산 보호의 전부는 아니라는 점을 명심해야 할 것입니다. 소프트웨어의 신뢰성, 내부 통제 시스템의 견고함, 그리고 비상 상황에 대한 대응 능력까지 종합적으로 고려해야만 암호화폐 자산을 더욱 안전하게 지킬 수 있습니다. 이번 리퀴드 사건은 암호화폐 생태계 전반에 걸쳐 보안에 대한 새로운 접근 방식과 투자자 보호 강화의 필요성을 다시 한번 일깨우는 계기가 되었습니다.