국내 암호화폐 거래소가 해커들의 먹잇감으로 전락하고 있다. 전체 해킹 피해액 규모만 1,000억원에 이른다. 전문가들은 보안을 제대로 강화하지 않으면 또다시 해킹은 언제든지 재발할 수 있다고 지적한다.

23일 관련 업계에 따르면 지난해 4월부터 현재까지 거래소들은 다섯 차례나 해킹을 당했다. 지난해 4월 야피존은 해킹으로 55억원 규모의 암호화폐를 도난당한 끝에 파산했다. 이후 지난해 말 유빗이 170억원 규모로, 올해 들어 이달 10일 코인레일이 400억원 규모로 암호화폐를 해킹으로 탈취당했다.

심지어 지난 20일 국내 최대 암호화폐 거래소 빗썸에서 350억원 규모의 암호화폐를 도난당하는 해킹 사고를 당하면서 국내 암호화폐 시장이 무방비 상태에 놓였다는 우려가 커지고 있다. 빗썸은 도난 사실을 확인한 뒤 한국인터넷진흥원(KISA)에 해킹 사실을 신고했다. 현재 KISA와 경찰은 해킹의 원인을 파악하기 위해 수사를 진행 중이다. 빗썸 관계자는 “남은 암호화폐 자산은 전량 해킹으로부터 안전한, 인터넷에서 물리적으로 분리된 콜드월렛으로 이동 조치해 보관 중”이라고 말했다. 특히 빗썸에 대한 공격이 며칠에 걸쳐 여러 번 시도됐다는 점이 투자자들에게 충격을 주고 있다. 빗썸은 지난 16일 “최근 지속적으로 비정상적인 접근 시도가 증가해 긴급 서버 점검을 실시했다”고 홈페이지에 공지했다.


빗썸이 해킹을 당한 것은 지난해에 이어 이번이 두 번째다. 지난해 6월에는 해킹으로 인해 이용자 정보 3만1,000여건, 빗썸 웹사이트 계정 정보 5,000여건 등 총 3만6,000여건의 고객 개인정보가 유출됐다.

빗썸은 회원 수 400만여명을 보유한 국내 최대 암호화폐 거래소로 전 세계 6위 수준의 거래량을 기록하고 있다. 하지만 빗썸은 지난해 해킹 사건을 겪고도 규모에 걸맞는 보안 수준을 갖추지 못했다는 게 보안 전문가들의 시각이다. 실제 앞서 KISA는 빗썸이 정보보호관리체계(ISMS) 인증을 정식 신청해 예비점검을 나갔지만 준비가 미흡하다고 판단해 반려했다. 빗썸의 한 관계자는 “KISA의 보완 요청에 따라 재신청을 준비하고 있다”고 설명했다. ISMS 인증이란 주요 정보자산 유출 및 피해 방지를 위해 KISA가 기업의 정보보호 체계의 적합성을 심사하는 것으로 이를 통과해야 최소한의 보안체계를 갖췄다고 할 수 있다. 현재 국내 암호화폐 거래소 가운데 ISMS 인증을 받은 곳은 없다.

문제는 중소형 암호화폐 거래소의 보안 실태는 더욱 허술해 해킹 사고가 언제든지 재발할 수 있다는 점이다. 개인정보 유출이나 기업 기밀 등을 막도록 사내 업무망과 외부 인터넷망을 분리하는 작업조차 진행하지 않은 거래소가 태반인 실정이다. 중소 거래소 대다수가 자본금이 수천만원 수준에 지나지 않는 스타트업에 불과하기 때문이다. 보안 업계의 한 관계자는 “빗썸·업비트·코인원·코빗 등 4대 주요 거래소를 제외한 대부분 거래소는 기본인 망 분리조차 갖추지 않았다”면서 “해킹 시도가 지속 일어날 수 있는 만큼 거래소 보안 강화가 절실하다”고 지적했다.

국내 암호화폐 시장이 해커들의 먹잇감으로 전락하면서 투자자들의 불안도 더욱 커지고 있다. 한 암호화폐 거래자는 “해킹 때문에 불안감이 커지고 있다”면서 “해킹 가능성이 낮은 해외 거대 거래소로 자산을 옮길지 고민하고 있다”고 말했다.
/김기혁기자 coldmetal@sedaily.com