바이낸스 핫월렛 해킹 이후 거래소들 콜드월렛 보관율 공개 — 금융위는 서명·승인 체계 점검 주문

지난달 30일 바이낸스에서 해킹 사고가 발생했다. 블록체인 분석업체 TRM랩스에 따르면 공격자들은 핫월렛 인프라를 공격해 약 63억6000만달러를 탈취했고, 대부분이 약 20분 만에 빠져나간 것으로 분석됐다. 사고 이후 주요 거래소들이 고객 자산 보관 구조를 공개하기 시작했다. 코인베이스는 지난 4일 고객 자산의 99% 이상을 콜드월렛에 둔다고 밝혔고, 입출금 수요에 맞춰 핫월렛 잔액을 조정한 뒤 남는 자산을 콜드월렛으로 옮기는 방식이라고 설명했다. 게이트는 지난 5일 PoSEC라는 보안 증명 체계를 내놓으며 전체 자산의 88.26%를 콜드 스토리지에 보관하고, 핫월렛 자산이 전액 탈취되더라도 콜드 스토리지만으로 고객 자산의 104.58%를 충당할 수 있다고 밝혔다.

국내에서는 콜드월렛 보관 비율 80%가 규제상 최소 의무 비율이다. 지난 9월 기준 업비트 99.17%, 빗썸 94.76%, 코인원 85%, 디지털엑스(옛 코빗) 82.79%, 고팍스 80.54%로 모두 의무 비율을 넘겼지만 거래소 사이 차이는 작지 않다. 금융위원회는 지난 2일 금융감독원·금융보안원·디지털자산거래소 공동협의체(DAXA)와 주요 거래소 관계자가 참석한 긴급 점검회의를 열고, 콜드월렛 비중 확대, 출금 승인·서명 체계와 관리자 권한 관리 강화, 이상 거래 모니터링, 추가 준비금 적립을 요청했다. 점검회의에서 나온 주문 단계이며 제도 변경으로 확정된 사항은 아니다.

보관 비율만으로 안전을 가늠하기 어렵다는 점이 이번 사고의 핵심이다. 오프라인 지갑이라도 거래 서명 시스템이나 내부 승인 권한이 침해되면 자산이 빠져나갈 수 있고, 바이낸스 사고에서도 거래 서명 인프라의 취약성이 쟁점이 됐다. TRM랩스 등 보안업계는 공격자들이 핫월렛 서명 체계를 침해했을 가능성을 제기했다. 블록에이드의 이도 벤나탄 공동창업자 겸 CEO는 코인텔레그래프에 "핵심은 결국 서명 시스템이 승인해서는 안 될 거래에 서명했다는 점"이라며 승인 전 악성 요청을 걸러내는 검증 체계가 중요하다고 말했다. 이용자가 볼 수 있는 항목은 콜드월렛 비율 수치 하나가 아니라, 거래소가 출금 승인 절차와 권한 관리를 어떻게 공개하는지, 사고 시 준비금과 보상 기준을 어떻게 안내하는지까지다.