코인베이스, 고객 자산 99% 이상 콜드스토리지 보관 공개 — 바이낸스 63억달러 탈취 이후 거래소 보관 체계 점검

지난달 29일 바이낸스에서 63억달러 규모 자산이 탈취된 사고가 있었고, 코인베이스는 4일(현지시각) 공식 블로그를 통해 자사 자산 보호 체계를 공개했다. 더블록이 이를 보도했다. 코인베이스는 이번 공격의 영향을 받지 않았다고 밝혔으며, 고객 자산을 1대1로 보유하고 고객 승인 없이 대여하거나 사용하지 않는다고 설명했다. 보관 구조로는 고객 자산 99% 이상을 인터넷과 분리된 콜드스토리지에 두는 방식을, 무단 이체 차단 장치로는 개인키 분산 관리와 출금 한도 설정, 비정상 거래 탐지 시스템을 들었다. 회사는 "인공지능 기술의 발전이 보안 환경을 빠르게 변화시키고 있다"며 보안 혁신에 지속 투자하겠다고 했다.

침해 경로에 주목할 만하다. 바이낸스는 3일 공격자들이 가짜 채용 면접과 내부 AI 도구를 이용해 보안 체계를 침해했다고 설명했다. 기술적 취약점이 아니라 사람과 업무 도구를 통한 접근이 출발점이었다는 뜻이다. 바이낸스는 4일 영향 자산의 약 98%를 보충했고 나머지 2%는 시장과 장외거래(OTC)로 확보 중이라며, 유동성이 낮은 일부 자산은 매입에 시간이 걸린다고 했다. 준비금 증명(Proof of Reserves) 대상 디지털자산은 10종에서 44종으로 늘렸고, 새 영지식증명(ZKP) 생성에는 약 50~60시간이 걸릴 것으로 예상했다. 창펑 자오 공동창업자는 디지털자산 기업의 AI 보안 기술 도입과, 공격 사례를 공유하고 탈취 자금을 더 빠르게 동결하는 업계 보안 협력체계가 필요하다고 주장했다.

여기서 나온 내용은 해외 거래소 두 곳의 자체 발표이고, 어느 쪽도 국내 제도에 따른 의무 이행 결과가 아니다. 국내 이용자가 쓰는 거래소라면 확인할 항목은 세 가지다. 첫째, 콜드월렛 보관 비율과 그 근거가 공지로 나와 있는지. 둘째, 자기 계정 쪽 방어 수단 — 출금 한도, 출금 주소 등록·화이트리스트, 2단계 인증, 로그인·출금 알림이 켜져 있는지. 셋째, 채용·제휴·업무 협조를 내세운 연락으로 파일 실행이나 원격 접속, 지갑 연결을 요구받은 적이 있는지. 가짜 면접 수법은 거래소 임직원만의 문제가 아니라 개인에게도 같은 형태로 온다.