바이낸스 해킹 조사 보고서와 대만 가상자산 하위 규정 초안 — 내부통제를 '시험'하라는 제안

바이낸스가 3일 공개한 초기 조사 보고서는 영향을 받은 가상자산 규모를 63억4000만달러(약 8조5463억원)로 밝혔다. 공격자는 가짜 채용 공고와 면접, 변조된 개발 도구를 앞세워 엔지니어의 업무용 컴퓨터에 악성 프로그램을 설치했고, 내부 시스템 권한을 얻은 뒤 배포 인증정보로 정상 출금 절차를 우회해 지갑 서명 시스템에 명령을 보냈다. 개인키 유출 증거는 확인되지 않았고 조사는 진행 중이다. 이 사고는 개인키를 여러 참여자가 나눠 관리하는 다자간 연산(MPC)을 써도 서명 시스템에 들어온 거래 요청이 정당한지는 따로 판단되지 않는다는 점을 드러냈다. 기고문은 공격자가 이더리움의 EIP-7702 승인 기능으로 핫월렛 일부 실행 권한을 자신이 통제하는 스마트계약에 넘겼고, 출금을 멈춘 뒤에도 체인에 남은 권한으로 자산 이동이 이어질 수 있었다고 설명했다.

같은 날 대만 금융감독관리위원회는 가상자산서비스법 하위 규정 8개 초안을 공개했다. 사업자 설립과 업무 관리, 내부통제·감사, 외부 위탁, 임직원 자격 등을 다루고, 내부 감사·준법·위험관리·회계·정보통신 담당자에게 전문 과정 이수와 시험 합격, 입사 후 교육과 2년마다 재교육을 요구한다. 초안 공고가 관보에 실린 다음 날부터 40일간 의견을 받은 뒤 확정될 예정이라, 지금은 시행된 규정이 아니다. 한국의 가상자산이용자보호법 체계와는 별개의 대만 제도이므로 국내 사업자에게 바로 적용되지는 않는다.

궈 부집행장이 제시한 관리 과제는 고권한 직원의 정보 노출 축소, 회사·개인 기기 분리, 허용 소프트웨어 관리, 운영 환경의 배포 권한 분리, 거래별 서명 심사, 사고 상황 훈련이다. 서명 시스템은 요청이 사내 절차에서 왔는지와 무관하게 목적지 주소·송금 한도·금지 거래 유형을 거래마다 점검하고, 체인에 지속 권한을 남기는 작업은 별도 감시 대상으로 두라는 내용이다. 이용자 입장에서 읽을 대목은 두 가지다. 첫째, 가짜 채용·면접·코딩 시험을 통한 악성코드 설치는 개인에게도 쓰이는 수법이므로 낯선 채용 접촉이 보내는 개발 도구나 실행 파일은 열지 않는 것이 안전하다. 둘째, 거래소 보안은 지갑 보관 방식만이 아니라 권한을 가진 사람과 시스템 관리에서 갈린다는 점이다. 핫월렛 규모를 사고 때 감당할 수 있는 손실 기준으로 정해야 한다는 제안도 그 연장선이다.