"거래소 못 믿어"...블록체인 개발사 해킹 자구책 마련

암호화폐 거래소 해킹 사고가 빈번하게 발생하면서, 아예 블록체인에 특정 지갑 주소 동결(Lock) 기능을 넣는 개발업체들이 늘고 있다.

해커에 의한 암호화폐 탈취 징후가 발견되면 해당 지갑의 거래를 정지시킬 수 있는 기능으로, 장물에 해당하는 암호화폐가 시장에 유통되는 것을 막을 수 있는 임시 조치다. 피해액이 적을 경우, 회사가 보유한 물량을 지급해 직접 피해자 구제에 나설 수도 있다.

하지만, 해킹 피해 규모가 커지면 블록체인 개발사가 나서는 데 한계가 있다는 의견도 나온다. 개발사가 지나치게 많은 권한을 가지는 것이 블록체인 탈중앙화 정신에서 벗어난다는 지적을 받을 수 있기 때문이다.

12일 암호화폐 업계에 따르면 전 세계적으로 암호화폐 거래소를 노린 해킹 시도가 늘어나면서, 블록체인 개발업체들이 자구책 마련에 고심하고 있다.

암호화폐 거래소 코인레일은 지난 10일 새벽 해킹 공격으로 약 400억원 규모(당시 시세 기준) 암호화폐를 도난 당했다. 코인레일이 보유하고 있던 전체 암호화폐 중 30%에 해당하며, 피해를 입은 암호화폐도 9종에 이른다.

이번 사고로 코인레일은 국내 암호화폐 거래소 해킹 사례 중 최대 피해액, 최다 암호화폐 유출이란 불명예 기록을 세웠다.

코인레일이 10일 새벽 400억 규모의 암호화폐 탈취 해킹 피해를 입었다.

이번 코인레일 해킹 사고로 피해를 입은 암호화폐 중 가장 발빠르게 투자자 보호에 나선 곳은 엔퍼(NPER)다. 엔퍼는 블로그를 통해 "일부 토큰이 거래소에서 해킹당한 것으로 보이나 엔퍼팀에서 해커의 지갑 주소를 영구 동결(Lock) 걸어 놓고 이동 불가능하게 조치했다"고 공지했다.

엔퍼는 블록체인 개발 소스코드에 특정 암호화폐 주소를 동결 또는 동결해지할 수 있는 기능을 구현해 놓고 있었기 때문에, 이번 사고에 발빠르게 대응할 수 있었다.

이번 해킹 피해 대상이 된 또 다른 암호화폐 애스톤(ATX)은 개발 소스코드에 '블랙리스트' 지정 기능을 가지고 있어, 해커 지갑 주소를 동결시켰다.

지갑 주소가 동결되면 지갑 안에 있는 암호화폐는 거래를 할 수 없게 된다. 해당 물량은 시장에서 유통되지 못하기 때문에 지갑 동결을 풀지 않는 이상 '소각'되는 효과가 있다.

이번 사고와는 상관 없으나, 블록체인 기반 환자 건강 데이터 교환 플랫폼을 개발하는 휴먼스케이프도 ICO 참여자들의 안전한 자산관리를 위해 모니터링 중 해킹 징후가 발견되면 곧바로 지갑을 정지시키는 ‘락’ 기능과, 영구적으로 해커의 지갑을 동결시키는 ‘블랙리스트’ 기능을 최근 추가했다고 밝혔다.

휴먼스케이프 측은 "하드포크를 통해 이런 기능을 추가 했다"며 "앞으로 거래소가 해킹 당해도 흄(HUM) 토큰 안전하다"고 강조했다.

■ 잦은 거래소 해킹 사고에 자구책 마련하는 블록체인 개발 업체들

블록체인 업체들이 소스코드에 '락'이나 '블랙리스트' 기능을 넣는 건 암호화폐 거래소 해킹으로 부터 투자자들을 보호하기 위해서다.

블록체인 자체는 해킹에서 비교적 안전한 기술이다. 블록체인 네트워크 참여자 모두가 동일한 거래 내역을 기록하기 때문에 일부 노드(참여자 컴퓨터)가 해킹 당해도 나머지 노드가 위변조를 쉽게 검증할 수 있다. 또 거래 내역은 블록단위로 묶여 저장되는데, 이전 블록의 디지털 지문인 해시값이 다음 블록에 포함돼기 때문에 해킹하려면 이전 모든 블록의 값을 바꿔야 한다. 네트워크 참여자 절반 이상이 해킹을 당하는 51% 공격을 제외하면 해킹이 어려운 구조다.

하지만, 암호화폐 거래소를 통한 해킹 피해는 빈번하게 발생하고 있다. 대다수 중대형 거래소는 중앙화된 방식으로 거래를 중개하기 때문이다. 거래소의 보안에 취약점이 존재하면 해커의 먹잇감이 될 수 있다. 투자자들의 프라이빗 키를 보관하고 있는 핫월렛(인터넷에 연결된 보관소)이 공격대상이 된다. 해커가 프라이빗 키를 탈취하면, 해당 지갑에 있는 암호화폐를 마음대로 해커의 지갑으로 옮길 수 있다.

코인레일 해킹 사고 피해 코인인 엔퍼는 해커 지갑을 동결하고 전체 물량을 소각한다고 밝혔다.

거래소 해킹 사고가 워낙 자주 발생하자, 블록체인 개발 업체들이 찾아낸 방법이 해커 손에 들어간 코인을 무용지물로 만드는 '락', '블랙리스트' 기능이다.

해커 지갑을 동결시키면, 이후 투자자 보호 조치는 한결 수월해 진다. 일단, 해커가 손에 넣은 코인을 저가에 매매해 시장 가격을 무너뜨리는 행위를 막을 수 있게 된다.

이후 전체 투자자 커뮤니티가 동의 하에 해킹 당한 물량만큼 신규 코인을 재발행하거나, 개발업체가 보유하고 있는 물량을 피해자에게 보상으로 지급하는 등 피해자 구제 방안을 마련할 수 있다.

엔퍼 측은 이번 코인레일 해킹 사고 피해에 대해서 "회사 보유분을 보상에 사용하는 방안에 대해 코인레일과 협의 중"이라고 밝힌 바 있다.

■탈중앙화 블록체인...개발사 권한 강화되는 일 경계해야

하지만, 해킹 피해 규모가 클 경우, 블록체인 개발 업체들이 직접 나서는 데 한계가 있다. 락 기능으로 해커가 암호화폐를 유통시키는 행위를 막을 순 있지만, 그 이상으로 피해자에 대한 구제·보상책까지 마련하긴 어렵다. 탈중앙화라는 블록체인 정신을 훼손한다는 비판을 받을 수 있기 때문이다.

엔퍼와 달리, 이번 코인레일 해킹 사고로 수억에서 수백억 대 피해를 입은 펀디엑스와 애스톤이 쉽게 대응책을 내놓지 못하고 있는 이유다.