3조원이 털렸다는 건 시작일 뿐이야: 코인 투자자가 다시 짜야 할 보안 습관

3조원이 날아갔다면 이미 구조가 보이는 거야

3조원. 숫자가 너무 커서 오히려 감이 안 오지. 그런데 가상자산 해킹 피해의 60%를 특정 국가 연계 조직이 가져갔다는 건, 이 판이 더 이상 변두리 범죄가 아니라는 뜻이야. 공격자 입장에서 보면 가상자산 시장은 국경이 없고, 주말도 없고, 한번 빼가면 되돌리기 어려운 현금 창구다. 은행을 털면 계좌 동결과 이상거래 탐지가 따라붙는데, 가상자산은 개인 지갑 서명 한 번이면 끝나는 경우가 많아. 체인 위에는 영수증이 남아도 돈은 이미 멀리 가 있지.

내가 다크웹 모니터링하다 보면 늘 비슷한 냄새가 나. 값비싼 취약점 하나로 끝나는 사건보다 운영이 느슨한 시스템을 여러 겹으로 찢어 들어가는 사건이 훨씬 많아. 누군가는 피싱 링크를 밟고, 누군가는 슬랙 토큰을 털리고, 누군가는 테스트용 개인 지갑을 운영망과 섞어 둔다. 그러면 공격자는 굳이 정문을 부술 필요가 없어. 열린 창문으로 들어오면 되거든. 보안은 사후약방문이야. 그리고 가상자산 판은 아직도 창문을 열어 둔 집이 너무 많다.

공격자 입장에서 보면 왜 가상자산판이 이렇게 맛있을까

북한 해커가 먼저 노리는 공격 경로

첫째, 유동성이 빠르다. 거래소, 브리지, 탈중앙화 서비스가 24시간 이어져 있어서 훔친 자산을 잘게 쪼개고 섞어 버리기 좋다. 둘째, 키 하나가 곧 돈이다. 비밀번호를 바꾸면 끝나는 서비스와 달리 시드 문구나 프라이빗 키가 털리면 소유권 자체가 넘어간다. 셋째, 보안 책임이 분산돼 있다. 거래소는 인프라를 지키고, 프로젝트 팀은 스마트컨트랙트를 지키고, 사용자는 지갑을 지켜야 하는데 셋 다 완벽할 리가 없지.

개발자 노트북에서 키 관리 서버까지 이어진다

여기서 국가 단위 조직은 더 집요해진다. 공격은 한 번에 들어오지 않아. 채용 제안 메일로 시작해서 개발자 노트북을 밟고, 거기서 깃 저장소 비밀값을 가져가고, 배포 서버를 거쳐 지갑 관리 시스템까지 간다. 겉으로는 평범한 문서 파일인데 안쪽에는 악성 스크립트가 숨어 있고, 화상회의 링크 하나가 내부망 정찰의 시작점이 되기도 해. 이건 영화 같은 얘기가 아니야. 오래된 수법이 제일 잘 먹힌다는, 보안 업계의 지루한 진실일 뿐이야.

진짜 취약점은 코드보다 운영에서 터진다

운영 취약점은 권한 설계에서 열린다

사람들은 해킹이라고 하면 스마트컨트랙트 버그나 제로데이를 먼저 떠올려. 물론 그것도 치명적이야. 그런데 더 자주 보는 건 운영 실수다. 핫월렛 권한을 너무 넓게 열어 두거나, 출금 승인 절차를 두 사람이 아니라 사실상 한 사람이 처리하거나, 이상 징후 알림이 새벽마다 너무 많이 울려서 결국 아무도 안 보는 상태. 이런 건 취약점 보고서에 화려하게 남지도 않아. 대신 사고가 났을 때 피해 규모를 몇 배로 키운다.

키 관리가 무너지면 다중서명도 무력해진다

거래소든 프로젝트 팀이든 기본은 단순해. 큰 자산은 콜드월렛에 두고, 핫월렛 한도는 작게 잘라 두고, 출금 주소는 허용 목록으로 묶고, 관리자 계정은 하드웨어 키로만 들어가게 해야 해. 다중서명도 이름만 멀티시그면 소용없다. 같은 네트워크, 같은 팀 채팅방, 같은 승인 문화에 묶여 있으면 한 번의 침투가 여러 서명자를 동시에 무력화할 수 있어. 세상 모든 시스템은 뚫린다. 그래서 설계는 침입 자체보다 확산을 막는 쪽으로 가야 해.

여기서 가장 자주 터지는 오해가 하나 있어. 블록체인은 위변조가 어렵지만, 지갑 운영은 여전히 인간이 한다는 점이야. 원장은 단단한데 출입문은 허술한 셈이지. 성벽이 높다고 안심했는데 경비병이 열쇠를 잃어버리는 상황, 그게 지금 가상자산 보안의 전형적인 역설이야. 기술은 분산됐는데 책임은 아직 허술하게 중앙화돼 있다.

잠재적 피해자라면 지금 당장 바꿔야 할 것

개인 투자자 체크포인트

개인 투자자라면 거창한 장비보다 습관부터 다시 짜. 거래용 자산과 장기 보관 자산을 분리하고, 장기 보관분은 인터넷에 붙은 개인 지갑에 오래 두지 마. 문자 인증은 버리고 앱 기반 2단계 인증이나 하드웨어 키를 써. 자주 쓰지 않는 지갑의 권한 승인도 한 번씩 지워야 해. 예전에 연결한 디앱 권한이 그대로 남아 있으면, 잊고 있던 문이 밤새 열려 있는 셈이거든.

거래소 운영 체크포인트

프로젝트 팀이나 거래소라면 더 냉정해야 한다. 지갑 운영 서버를 일반 업무망과 분리하고, 출금 지연 시간을 일부러 두고, 평소와 다른 지역·시간·규모의 이동이 나오면 자동으로 멈추게 만들어야 해. 내부자 권한도 최소화해야 하고, 사고 대응 훈련을 분기마다 돌려야 한다. 패치 안 하면 끝이야. 그런데 패치보다 더 중요한 건, 털렸을 때 누가 무슨 순서로 차단하고 공지하고 복구할지 미리 정해 두는 거다.

가상자산 시장은 자유로운 대신, 실수의 비용도 자유롭다

가상자산의 매력은 빠른 속도와 낮은 마찰이야. 하지만 같은 이유로 공격자에게도 천국이 된다. 역사적으로 금광이 생기면 가장 먼저 몰려드는 건 광부만이 아니었어. 사기꾼과 무장 강도도 같이 왔다. 지금 코인 생태계가 딱 그래. 기술은 미래를 말하는데, 방어 체계는 아직 서부 개척 시대를 못 벗어난 구석이 많다.

그래서 질문은 간단해. 다음 불장은 오느냐가 아니야. 다음 공격이 왔을 때 당신 자산이 한 번에 다 노출되느냐, 아니면 중간에서 멈추느냐가 더 중요해. 공격자는 늘 가장 약한 고리를 찾는다. 당신 개인 지갑, 당신 거래 습관, 당신이 믿는 서비스의 운영 절차가 그 고리가 아니길 바랄 뿐이지.