거래소 보안, 무엇으로 판단하나 — 보호기금·준비금 증명·출금 통제 점검 항목

거래소 한 곳의 투자 부문이 낸 리서치 형태의 자료다. 거래소 안전성을 평가하는 기준이 '해킹을 막았는가'에서 '사고가 난 뒤 이용자 자산을 되돌려줄 수 있는가', '관련 정보를 어디까지 공개하는가'로 넓어지고 있다는 문제의식을 담았다. 제시된 항목은 보호기금, 준비금 증명(PoR), 출금 통제, 공시 습관, 이용자 계정 보안 다섯 가지다.

보호기금에 대해서는 기금이 있다는 사실보다 규모·구성·검증 가능성이 중요하다고 봤다. 같은 액수라도 보관 중인 고객자산 규모에 따라 감당할 수 있는 손실 수준이 달라지므로 고객자산 대비 비율을 가늠해야 하고, 기금이 비트코인(BTC)으로만 채워져 있으면 가격이 내릴 때 달러 환산 가치도 함께 줄어 사고 시점의 보전 재원이 작아질 수 있다는 지적이다. 지갑 주소가 공개돼 있으면 블록 익스플로러에서 잔고와 이동 내역을 직접 볼 수 있다. 준비금 증명은 거래소가 스스로 낸 수치인지 외부 기관이 확인한 자료인지, 검증 주체와 확인 범위가 명시돼 있는지, 갱신 주기가 월 1회인지 분기 1회인지에 따라 신뢰할 수 있는 정도가 다르다. 머클트리 방식이면 이용자가 자기 계정 잔고가 증명 대상에 포함됐는지 확인할 수 있다. 다만 보호기금도, 준비금 증명도 거래소 전체의 부채나 재무 여력을 보여주는 자료는 아니다.

출금 통제는 콜드월렛 보관 비율만으로 판단하기 어렵다는 점을 짚는다. 서명 화면 조작이나 직원 기기 침해처럼 개인키를 쓰는 과정과 내부 시스템이 공격 경로가 될 수 있기 때문이다. 대규모 출금에 복수 승인이 필요한지, 별도 기기에서 거래 내용을 확인하는지, 자산 이동에 시간 지연을 두는지, 이상 출금을 자동으로 멈추는 체계와 외부 보안 감사가 있는지가 비교 대상이다. 공시 습관은 사고가 났을 때 피해 규모·동결 자산·초기 침해 경로를 공개하고 조사 진행에 따라 갱신하는지, 평소 정기 보안 보고서를 내는지로 본다.

이용자 쪽에서 당장 손댈 수 있는 것은 계정 설정이다. 피싱이나 악성 앱으로 인증 정보가 새면 거래소 시스템이 멀쩡해도 자산이 빠져나간다. 출금 주소 화이트리스트, 새 주소를 등록한 뒤 일정 시간 출금 잠금, 새 기기 로그인이나 비밀번호 변경 뒤 출금 제한, 하드웨어 보안키와 패스키, 이상 로그인 알림이 해당한다. 이런 기능은 탈취를 막는 것이 아니라 자산이 즉시 빠져나가는 것을 늦춰 이용자가 알아차리고 대응할 시간을 버는 데 목적이 있다. 그래서 거래소가 기능을 제공하는지만 보지 말고 내 계정에서 실제로 켜져 있는지까지 확인해야 한다.