00:00앞서 전해드린 것처럼 미국 FBI가 이번 바이낸스 해킹 사건 배후로 북한 해킹 조직을 지목했습니다.
00:072017년과 2018년 미국 초청을 받아 FBI와 두 차례 회의에 참여했고,
00:12북한 정찰정보총국 소속으로 알려진 해커 박진혁 조사의 자문 역할을 수행하신
00:17지니언스 시큐리티 센터장 문종현 이사님께 관련 내용 여쭤보겠습니다.
00:22이사님 나와 계십니까?
00:23네, 안녕하십니까?
00:25네, 먼저 이번 사건의 공격 방식부터 짚어보도록 하겠습니다.
00:30일단 바이낸스가 밝힌 내용을 보면 엔지니어 업무용 노트북이 해킹된 다음에
00:34서비스 시스템에 접근해서 비인가 출금을 실행했을 가능성이 제기가 되고 있는데요.
00:39일단 이게 직원 PC를 장악하는 것만으로도 8조 원이 넘는 가상 자산을 빼낼 수 있는 겁니까?
00:45네, 먼저 핵심은 직원 PC 자체의 8조 원이 들어있었던 건 아니고요.
00:51그 PC가 거래소 핵심 시스템으로 들어가는 아마 출발점이 됐을 가능성이 있다는 점입니다.
00:57참고로 바이낸스는 2017년 중국에서 출범을 했고
01:01당시 중국의 가상 자산 규제가 좀 강화되면서 약 두 달 만에 해외로 사업 기반을 옮겼고요.
01:08현재는 아랍에미리트를 주요 거점으로 활동하는 세계 최대 규모의 가상 자산 거래소입니다.
01:14그런데 이번에 탈취된 금액이 약 63억 달러로 알려졌고
01:18우리 돈으로는 8조 4천억 원 정도에 가깝습니다.
01:23그래서 바이낸스의 초기 조사에서는 대부업수라고 해서
01:26개발과 시스템 운영을 담당하는 엔지니어의 업무용 노트북이 먼저 침해됐을 가능성이 제기됐는데요.
01:34공격자가 이 PC를 발판으로 내부 서비스 시스템까지 접근해서
01:40비인가 출금 거래를 만들어냈을 가능성이 좀 있다는 겁니다.
01:44그런데 가상 자산이 실제로 외부로 빠져나가려면
01:48거래소 내부에서 출금을 승인하고 전자 서명을 만들어주는 과정을 거쳐야 하는데요.
01:54이번에는 비트코인이나 이더리움처럼 서로 방식이 다른
01:58여러 블록체인에서 공격자가 원하는 거래의 정상적인 서명이
02:03매우 짧은 시간 안에 만들어졌습니다.
02:06그래서 쉽게 비유를 좀 해드리면
02:08금고 열쇠를 훔친 게 아니라
02:10정상적인 송금 승인 시스템을 장악한 다음에
02:14이 시스템 스스로 범인의 계좌로 돈을 보내게 만든 것에 가깝다고 볼 수 있을 것 같고요.
02:20다만 바이낸스가 이후 추가적인 침해 지점도 확인했다고 밝혔기 때문에
02:26단순히 지금 직원 노트북 하나만이
02:29이번 사건의 전체의 원인이었다고 보기에는 좀 아직 이르고
02:32정확한 침투 경로는
02:34침투 경로는 최종 조사 결과를 좀 더 지켜봐야 할 것 같습니다.
02:39이번 사건의 배후로
02:41북한 해킹 조직 트레이더 트레이터가 공식 지목됐는데요.
02:46FBI가 북한의 소행이라고 확인했는데
02:48이 조직 어떤 특징을 가진 해킹 조직인가요?
02:52먼저 이 트레이더 트레이터는
02:54북한 내부에서 사용하는 공식 조직명은 아니고요.
02:58미국 정부가 북한의 가상자산 탈취 활동을 추적하면서
03:02사용하는 명칭이라고 보시면 될 것 같습니다.
03:06가장 큰 특징은 시스템보다 먼저 사람을 노린다는 점인데요.
03:12가상자산 거래소의 개발자나
03:14내부 직원들을 대상으로 먼저 채용 담당자나 투자자처럼 위장을 해서
03:20공격자들이 접근을 합니다.
03:22그래서 가짜 취업 제한이나 코딩 테스트를 보내고
03:26이때 악성 코드를 실행하도록 유도하고 있고
03:29그 다음에 직원 PC나 계정을 장악한 뒤에
03:33내부 시스템으로 침투하는 방식을 사용하고 있습니다.
03:38지금 그러면 이전에 북한이 해왔던 해킹과 이번 해킹을 비교해 본다면
03:43공통점이나 차이점도 있습니까?
03:46일단 공통점이라고 보면 역시 사람과 신뢰 관계를 먼저 이용하고 있다는 점이고요.
03:53북한 해킹 조직은 예전부터 오래전부터 채용 제한이나
03:58가짜 이력서, 투자 제한 등을 이용한 스피어 피싱
04:02우리가 쉽게 얘기하면 이메일 기반의 공격을 하고 있고요.
04:06최근에 달라진 점은 공격의 목표가 훨씬 더 깊어지고 있다는 점입니다.
04:12예전에는 단순히 비밀 번호나 개인 키를 직접 훔치는 공격이 좀 많았다면
04:18최근에는 이 개인 키를 실제로 사용하는 승인 시스템이나
04:23전자선명 시스템 자체를 노리는 사례로 좀 많이 두드러지고 있는 것 같습니다.
04:30특히 이번 사건에서 눈여겨볼 대목이 해킹 이후 20분 동안 벌어진 상황인데요.
04:35바이낸스 임원진이 긴급회의까지 열었지만
04:38자산이 빠져나가는 것을 막지 못했다고 하던데
04:40내부에서도 손을 쓸 수 없었던 이유가 뭐죠?
04:44네, 가장 큰 이유는 공격자는 이미 사전에 준비를 철저히 마친 상태인 것 같습니다.
04:51그래서 이미 일종의 가상 시나리오를 먼저 다 준비해서
04:55자산 탈취를 매우 빠르게 수행을 한 것 같고요.
04:59당연히 바이낸스 방어하는 입장에서는 이 사고를 인지하고
05:03발견한 다음부터 대응안을 진행을 해야 되기 때문에
05:08좀 그 부분에서는 어려움이 있을 거다라고 생각이 들고요.
05:12블록체인 이 거래 시스템이라는 거는
05:15정상적인 전자 서명이 붙어가지고 네트워크로 전달되고 확정이 되면
05:21우리가 사용한 일반 은행 송금처럼
05:24자유롭게 취소하거나 되돌리기가 좀 어려운 구조를 가지고 있습니다.
05:28그래서 이번에도 주요 자금 유출이 약 20분이라는 짧은 시간에 집중이 됐고
05:34공격자가 이미 거래소 내부에서 정상적인 출금과 서명을 만들 수 있는 단계까지 들어가 있었다면
05:41바이낸스가 이상을 발견하고 상당수 거래가 이미 블록체인으로 넘어갔을 시점에는
05:48대응이 좀 많이 어려웠을 것 같고
05:50특히 이더리움이라는 이 가상자산은 스마트 컨트랙트라는 기능을 활용할 수가 있는데요.
05:58쉽게 말하면 미리 정해놓은 조건이 충족되면 자동으로 실행되는 블록체인 프로그램입니다.
06:05그래서 공격자는 아마 이런 자동화 기능과 사전에 준비한 거래를 이용해서
06:10굉장히 빠르게 탈취를 할 수 있지 않았을까 생각을 합니다.
06:15가상자산이 이제 한번 외부 지갑으로 전송이 되면 되돌리기 어렵다 이렇게 전해지고 있는데
06:20어떤 자산은 좀 동결이 가능하고 어떤 자산은 동결이 어렵고
06:24이런 차이가 좀 있는 건가요?
06:25네. 이건 가상자산마다 이제 좀 구조가 서로 다르기 때문인데요.
06:30보통 우리가 스테이블 코인이라고 많이 들어보셨을 것 같은데
06:34조금 어렵지만 USDT나 USDC라는 게 있거든요.
06:39근데 이게 쉽게 말하면 우리가 코인 한 개가 1달러 안팎의 가치를
06:44이제 계속 유지할 수 있도록 만든 가상자산이에요.
06:47그래서 USDT라는 거는 테더 또는 USDC는 서클이라는 회사가 발행을 하고 있고요.
06:53이렇게 발행 회사가 있는 자산은 스테이블 코인은 범죄에 사용된 지갑 주소가 확인이 되면
07:00해당 토큰을 더 이상 움직이지 못하도록 동결하는 조치를 취할 수가 있습니다.
07:05그래서 스마트 컨트랙트를 통해서 만약에 특정 주소의 거래를 제한하는 방식이 사용될 수 있기 때문에
07:12어느 정도 이제 동결이 가능한 구조를 가지고 있는데요.
07:16반면에 이제 비트코인이나 우리가 많이 사용하는 이더리움에는
07:20이런 중앙에서 발행하는 회사가 없기 때문에
07:23어떤 회사가 특정 주소에 있는 코인을 바로 정지시킬 수는 없는 구조를 가지고 있습니다.
07:29그래서 공격자 입장에서는 동결될 가능성이 있는 이 스테이블 코인을 탈취하면
07:34최대한 빨리 가능한 빨리 비트코인이나 이더리움처럼
07:39직접 동결하기 어려운 자산으로 이제 바꾸려고 하는 겁니다.
07:42네, 그러면 FBI에서도 해커들이 탈취한 자산을 이더리움으로 전환하고 있고
07:49향후 추가 세탁에 나설 것으로 예상했고
07:51또 이사님께서도 스마트 컨트랙트를 지금 말씀을 하셨는데
07:54이렇게 되면 왜 추적이 어렵게 되는 거죠?
07:56정확히 말씀을 드리면 이더리움으로 바꾼다고 해서 돈의 흔적이 사라지는 건 아니고요.
08:04이더리움도 이제 모든 거래 기록이 블록체인에 남기 때문에
08:08어느 지갑에서 어느 지갑으로 이동했는지는 계속 추적할 수가 있습니다.
08:13이제 문제는 이 자금을 동결하고 실제로 회수하는 과정이 훨씬 어려워진다는 거고요.
08:19그래서 FBI는 이번 사건 이후에 북한 측이 탈취 자산을 주로 이더리움으로 전환하고 있고
08:26이후 추가적인 자금 세탁에 나설 것으로 이제 안내를 하고 있는 상황이거든요.
08:32그래서 이 과정에서 보통 우리가 탈중앙화금융이라고 해서
08:36이른바 디파이를 이용할 수도 있고 공격자들이
08:39이 디파이는 이제 보통 중앙 거래소 없이 블록체인 프로그램을 이용할 수 있는
08:45이제 금융 서비스거든요.
08:47그리고 또 믹싱이라든가 또는 인스턴트 스왑이라고 해서
08:52즉시 교환해주는 서비스들도 있어요.
08:55그래서 어떤 한 종류의 코인을 다른 코인으로 이제 바꿀 수도 있고요.
09:00또 이제 블록체인 브릿지라고 해서
09:02서로 다른 블록체인 사이에서 자산을 옮겨주는 서비스까지 이제 좀 거치면
09:08지금 탈취한 자금을 여러 지갑으로 계속 나누면서
09:12이동 경로가 이제 수십 갈래 또는 수백 갈래로 이제 늘어나게 되고
09:17마치 거미줄처럼 복잡해지는 거죠.
09:19이제 그러면 실제 소유자를 특정하거나 자산을 동결하거나
09:24이제 회수하는 일이 이제 어려워지는 거기 때문에
09:27이제 그런 부분에서 조금 계속 좀 이 블록체인 기반의
09:31비트포인은 추적이 어렵다라고 보시면 될 것 같습니다.
09:34네. 이번 사건의 계기로 사실 기업들도 좀 위협을 경계할 것 같고
09:39개인들도 좀 보완수칙을 지켜야 할 것 같은데
09:41어떤 것들이 좀 중요할까요?
09:44이 부분이 이제 이번 사건을 이해하는 데 가장 중요한 대목인 것 같은데요.
09:50블록체인이 보통 우리가 이제 안전하다는 것과
09:53이 가상자산을 이제 중간에서 중개해주는 거래소가 안전하다는 것은
09:59조금 다른 또 문제입니다.
10:01그래서 블록체인의 강점은 한 번 기록된 거래를 누군가 마음대로 수정하거나
10:07이제 위조하기가 매우 어렵다는 건데요.
10:10블록체인은 그 거래가 만들어지기 전에 거래소 내부에서
10:14어떤 일이 일어났는지는 판단해 주지는 않습니다.
10:17그래서 예를 들어서 공격자가 거래소의 전자서명 시스템을 장악해서
10:22자신이 원하는 송금의 정상적인 서명을 만들어냈다면
10:26블록체인 입장에서는 정상적인 거래로 받아들일 수밖에 없습니다.
10:31그래서 쉽게 비유하면 은행 장부를 위조한 게 아니라
10:35공격자가 은행의 정상적인 결제, 도장을 찍게 만든 것이고요.
10:40장부는 오히려 그 거래를 정확하게 기록만 해주는 거죠.
10:44그래서 거래소에는 보통 핫월렛, 고객의 출금을 빠르게 처리하기 위해서
10:49인터넷에 연결해서 사용하는 이 가상자산 지갑이 있고요.
10:54만약에 이제 그 가상자산 지갑을 관리해주는 직원 PC나
10:58옆에 있는 직원 PC나 서버, 클라우드 계정, 출금 승인 시스템이나
11:04전자서명 시스템 등이 마냥 해킹을 당하면
11:06블록체인 자체가 뚫리지 않더라도
11:09자산이 빠져나갈 수 있게 되는 거죠.
11:12네, 알겠습니다. 오늘 말씀 여기까지 듣겠습니다.
11:15지금까지 문종현 지니어스 시큐리티 센터장과 함께했습니다.
11:18이사님, 오늘 말씀 고맙습니다.
11:20감사합니다.
11:21감사합니다.
