9월 20일 이른 아침, 싱가포르 암호화폐 거래소 BingX는 보안 침해가 발생했다고 확인했습니다. 회사 관계자에 따르면 사건은 "소규모 자산 손실"로 끝났다고 합니다. 그러나 전문가들은 이번 사건이 수백만 달러의 도난으로 이어질 수도 있었다고 밝혔습니다. 이것은 최근 몇 년간의 첫 번째 큰 암호화폐 거래소 해킹 사건이 아닙니다.
시장 가치가 급등함에 따라 그와 관련된 위험도 함께 높아졌습니다. 해커들은 중앙집중형 암호화폐 거래소를 공격 대상으로 삼습니다. 이 플랫폼들은 사용자 자금을 수십억 달러 보유하고 있어, 과거의 은행처럼 사이버 범죄자들에게 매력적인 목표가 되었습니다. 암호화폐는 탈중앙화되어 있으며, 각 거래소마다 보안 수준이 다릅니다. 이는 역사상 가장 큰 도난 사건 중 일부를 일으키는 결과를 초래했습니다.
거래소 해킹의 증가는 암호화폐에 관한 중요한 진실을 보여줍니다: 블록체인 기술은 안전하다는 평을 받지만, 사용자가 자산을 저장하고 거래하는 장소는 여전히 공격에 취약합니다. 많은 경우, 이러한 해킹 사건은 보안 프로토콜의 허점, 코드 실수 또는 직원의 부주의를 이용했습니다. 그 결과 수백만 달러가 도난당했으며, 이는 공공의 신뢰를 훼손하였고 암호화폐가 보다 나은 인프라 없이는 널리 사용될 수 있을지에 대한 의문을 제기했습니다.
BingX 스캔들이 벌어지고 있는 지금, 지난 몇 년간의 가장 큰 암호화폐 거래소 해킹 사건 10선을 살펴보고 기술적 결함, 금융적 영향 및 얻은 교훈에 대해 이야기해 봅시다.
1. Mt. Gox (2014) – 거인의 몰락
일본의 Mt. Gox 거래소는 2010년대 초반 비트코인 거래를 주도했습니다. 그리고 이는 암호화폐 역사상 가장 유명한 해킹 사건 중 하나가 발생한 장소입니다.
한창 활동 중이었을 때, 이 거래소는 전 세계 비트코인 거래의 70% 이상을 처리했습니다. 2014년 2월, Mt. Gox가 갑자기 거래를 중단했을 때 많은 사람들이 우려했습니다. 그렇게 얼마 지나지 않아, 거래소는 파산을 선언하며 당시 4억 5,000만 달러 가치의 850,000 BTC가 도난당했다고 발표했습니다. 현재 가치로는 수십억 달러에 해당하는 금액입니다. 따라서 10년이 지난 지금도 그 이야기는 충분히 무섭게 들립니다.
공격은 여러 해에 걸쳐 발생했습니다. 해커들은 회사의 핫 월렛의 결함과 내부 보안 취약점을 이용해 Mt. Gox 지갑에서 비트코인을 서서히 빼내갔습니다. 주요 문제는 거래소의 거래 검증 시스템의 취약점인 "거래 탄력성(transaction malleability)"이었습니다. 이 취약점을 통해 도둑들은 거래 ID를 변경하고 돈을 도난당하면서도 발각되지 않을 수 있었습니다.
Mt. Gox의 CEO였던 마크 카펠레스는 나중에 체포되어 절도로 기소되었습니다. 이 해킹 사건은 관리 부재와 보안 부족이 얼마나 위험할 수 있는지를 보여주며 암호화폐 세계에 큰 교훈을 남겼습니다. 일부 도난당한 비트코인은 회수되었습니다.
2. Coincheck (2018) – 5억 달러 NEM 강도 사건
2018년 1월, 일본에 기반을 둔 거래소 Coincheck에서 5억 달러 이상의 NEM (XEM) 토큰이 도난당했습니다.
NEM 거래는 비트코인 거래보다 더 복잡하여 여러 명의 승인이 필요합니다. 하지만 그것만으로는 충분하지 않았습니다. 어째서 그럴까요? 불행히도 Coincheck는 대부분의 NEM을 "핫 월렛"에 보관했습니다. 온라인 상태로 비교적 쉽게 해킹될 수 있는 지갑이죠.
해커들은 Coincheck의 서버에 침투하여 거래소의 핫 월렛에 접근했습니다. 큰 보안 결함 중 하나는 많은 자산에 대해 다중 서명 지갑을 사용하지 않았다는 것입니다. 일단 내부에 들어가자 해커들은 NEM을 다른 계좌로 옮겼습니다. 비록 블록체인 기술로 인해 변경할 수 없는 거래라고 해도, NEM이 탈중앙화되어 있어 Coincheck는 거래를 취소할 수 없었습니다.
NEM 블록체인의 개방성 덕분에 경찰은 일부 도난 자금을 찾을 수 있었지만, 여전히 많은 돈이 행방불명입니다. 이 해킹 사건 이후, Coincheck는 피해를 입은 사용자들에게 자체적으로 보상해야 했으며, 이는 일본 정부가 거래소에 대한 규제를 강화하는 결과를 낳았습니다.
3. Bitfinex (2016) – 다중 서명 논란
Bitfinex는 2016년 8월 해킹으로 120,000 BTC, 즉 약 7,200만 달러 가치의 암호화폐가 도난당했습니다.
블록체인 보안 회사인 BitGo는 Bitfinex에게 다중 서명 지갑 시스템을 제공했습니다. 하지만 이번 해킹을 통해 이 설정에도 취약점이 있음이 드러났습니다.
해커들은 Bitfinex의 보안을 뚫고 핫 월렛에 접근했습니다. Bitfinex의 키 관리의 보안 결함과 다중 서명 구현의 코드 오류가 해커들이 접근할 수 있었던 이유로 나중에 밝혀졌습니다.
Bitfinex 해킹의 금융적 영향과 이후 처리 방법은 주목할 만합니다. 거래소는 잃어버린 자금을 나타내는 토큰(BFX)을 만들어 사용자가 거래하거나 거래소의 재정 상태가 개선될 때까지 보유하도록 했습니다. Bitfinex는 영향을 받은 고객들에게 보상했지만, 이 사건은 중앙집중형 거래소의 보안과 다중 서명 지갑의 유용성에 의문을 제기했습니다.
4. Binance (2019) – 실패하기에는 너무 큰 타깃
2019년 5월, 큰 해킹 사건이 일어났습니다. 이는 거래량 기준으로 가장 큰 암호화폐 거래소 중 하나인 Binance에서 발생했습니다. 공격 당시 약 7천 BTC, 즉 약 4천만 달러가 도난당했습니다. 이는 암호화폐 업계에서 상당히 큰 사건이었습니다.
해커들은 피싱, 바이러스, 기타 정교한 기법을 사용하여 많은 사용자 API 키, 2FA 코드, 잠재적으로 내부 침투에 도움이 될 수 있는 다른 정보들을 확보했습니다.
사용된 정교한 방법들 때문에 Binance 해킹은 주목할 만합니다. 해커들은 매우 조직적으로 이 해킹을 수행하여 비트코인을 단 한 번의 빠른 거래로 인출하여 경보를 울렸습니다.
인출은 즉시 중단되었고 Binance는 긴급 대응을 시작했습니다. 다행히도 사용자들은 Binance의 SAFU(Secure Asset Fund for Users) 자금 덕분에 손실을 보상받을 수 있었습니다. 이 자금은 특히 이와 같은 긴급 상황을 위해 마련되었습니다.
비록 플랫폼의 보안 시스템이 침해되었지만, Binance의 프로토콜 덕분에 피해를 최소화하고 신속히 복구할 수 있었습니다. 이 사건 역시, 진화하는 사이버 공격에서 안전한 플랫폼은 없다는 것을 보여주었습니다.
5. KuCoin (2020) – 2억 7천 5백만 달러 도난 사건
2020년 9월, 싱가포르 거래소 KuCoin에서 약 2억 7천 5백만 달러 가치의 이더리움, 비트코인, 및 ERC-20 토큰이 도난당했습니다.
다시 한 번, 거래소의 핫 월렛이 침해되었습니다, 이는 대규모 자산을 온라인에 보관하는 위험을 보여줍니다.
도난된 자산의 양과 KuCoin의 신속한 대응은 이 사건을 주목할 만하게 만듭니다. 거래소는 프로젝트 팀 및 블록체인 기업들과 협력하여 도난당한 자금의 상당 부분을 빠르게 동결시켰습니다. 결국, 도난당한 자금의 2억 달러 이상이 반환되었습니다.
KuCoin의 대응은 암호화폐 보안 조치가 얼마나 발전했는지를 보여줬으며, 특히 블록체인 프로젝트와 협력하여 도난 자금의 이동을 중지하거나 되돌리는 능력이 얼마나 중요한지를 강조했습니다.
그러나 이 사건은 중앙집중형 거래소의 위험성에 대해 넓은 대화의 장을 열었으며, 핫 월렛 보안을 개선할 필요성을 더욱 주목하게 했습니다.
6. NiceHash (2017) – 6천 4백만 달러의 채굴 해킹
슬로베니아의 암호화폐 채굴 마켓플레이스인 NiceHash는 2017년 12월 해킹으로 4,700 BTC가 도난당했습니다. 당시 가치는 약 6,400만 달러였습니다.
NiceHash의 내부 시스템에 접근하기 위해 범죄자들은 아마도 소셜 엔지니어링을 사용했을 것입니다.
더 일반적인 해킹과는 달리, 이번 사건은 채굴 플랫폼을 대상으로 했습니다.
NiceHash의 사용자들은 다른 사람들에게 컴퓨팅 성능을 대여하고 그 대가로 비트코인을 받았기 때문에 큰 손실을 입었습니다. 대응으로 회사는 모든 운영을 중단하고 철저한 조사를 시작했습니다.
NiceHash는 결국 피해를 입은 사용자들에게 보상했지만, 이번 사건은 채굴 플랫폼을 포함한 전체 암호화폐 생태계가 얼마나 취약한지를 보여주었습니다.
7. Liquid (2021) – 9천 4백만 달러의 취약점
일본의 거래소 Liquid는 2021년 8월에 발생한 해킹으로 9천 4백만 달러 이상의 비트코인, 이더리움, 다른 암호화폐를 도난당했습니다.
해커들은 Liquid의 핫 월렛에 접근한 후 자산을 여러 주소로 이동시켰습니다. 더 많은 돈이 도난당할 수 있다고 판단한 거래소는 자산을 콜드 월렛으로 옮겼습니다.
Liquid는 다른 거래소들과 협력하여 모든 거래를 중단하고 도둑들을 추적하며 도난당한 자금을 회수하려고 노력했습니다. 일부 자산은 회수되었지만, 이번 사건은 핫 월렛의 취약성 및 실시간 디지털 자산 보안의 어려움을 다시 한 번 부각시켰습니다.
8. Cryptopia (2019) – 작은 거인의 몰락
뉴질랜드에 기반을 둔 작은 암호화폐 거래소 Cryptopia는 사용자들에게 높은 평가를 받았습니다.
2019년 1월 발생한 해킹으로 약 1천 6백만 달러 상당의 암호화폐가 도난당했습니다. 해킹 이후, Cryptopia는 모든 운영을 중단해야 했으며 거래소는 파산되었습니다.
Cryptopia는 피해를 입은 사용자들에게 보상할 자금이 거의 없었기에 이 해킹 사건은 특히 피해자들에게 치명적이었습니다. 일부 사용자들의 전 자산이 사라졌습니다. 조사 결과 여러 보안 문제가 드러나면서 거래소의 내부 절차와 위험 관리가 주목을 받았습니다.
9. Zaif (2018) – 6천만 달러의 해킹
2018년 9월, 일본의 암호화폐 거래소 Zaif에서 약 6천만 달러 상당의 비트코인, 비트코인 캐시, 모나코인이 도난당했습니다.
해커들은 거래소의 핫 월렛을 침해한 후 자산을 이동시켰습니다. 잠시 동안 아무도 눈치채지 못했습니다.
손실을 일부 회수하기 위해 Zaif의 모회사인 Tech Bureau는 사업의 지배권을 다른 일본 금융 서비스 제공업체인 Fisco에 매각했습니다. 해킹으로 인해 Zaif는 운영을 일시 중단해야 했고, 일본 정부는 암호화폐 거래소에 대한 규제를 강화했습니다.
10. Bitmart (2021) – $1억 5천만 달러 핫 월렛 침해 사건
2021년 12월, 전 세계적으로 알려진 비트코인 거래소 Bitmart에서 대규모 해킹이 발생했습니다. 사용자들의 자금 약 1억 5천만 달러에 해당하는 금액이 이 공격에서 도난당했습니다. Binance Smart Chain (BSC)와 Ethereum (ETH) 토큰의 핫 월렛이 이 공격의 취약점이었습니다. 해커들은 Bitmart의 지갑 키를 손에 넣은 후 거래소의 지갑에 저장된 암호화폐를 원하는 대로 조작할 수 있었습니다.
해커들은 Safemoon, Shiba Inu (SHIB)와 같은 여러 토큰에 대해 자동 인출을 설정하는 등 더욱 복잡한 전략을 사용했습니다.
보안 회사 PeckShield가 처음으로 이상한 거래를 감지하고 이를 알렸습니다. 곧이어 Bitmart의 CEO인 Sheldon Xia가 해킹을 확인하고 피해를 평가할 때까지 사이트에서의 인출과 입금을 중단했습니다.
Bitmart는 곧 사용자의 손실을 자체 자산에서 보상할 것이라고 공지했습니다.
다른 해킹 사건들처럼, Bitmart 해킹 사건도 핫 월렛의 주요 보안 문제에 주목하게 만들었습니다. 항상 인터넷에 연결된 것은 공격에 노출될 수 있습니다.
그러나 그것만이 전부가 아닙니다.
이와 같은 공격은 중앙화 거래소의 신뢰성과 사용자 자금을 안전하게 보호할 수 있는 능력에 대한 의문을 제기합니다.
이 사건으로 인해 많은 사람들은 보안을 강화하고 이러한 문제가 다시 발생하지 않도록 콜드 월렛 저장이 더욱 선호되어야 한다는 결론에 도달했습니다.