Web3.0 안전 가이드

🗯️

국내 거래소 지닥 해킹 (’23.04월)


 
 
notion image
 
notion image
 
notion image
 
notion image
notion image
 
notion image
 
 
자세한 내용 더 보기
 
국내 거래소 지닥 해킹 사고 발생 (’23.04.09)
[출처=지닥 홈페이지]
[출처=지닥 홈페이지]
 
국내 가상자산거래소 지닥은 지난 4월 9일 오전 7시 경 발생한 해킹으로 보관 자산의 23%를 탈취당했다고 밝혔습니다.
지닥은 핫월렛에서 해킹이 발생해 비트코인 60여개, 이더리움 350여개, 위믹스 1000만개, 테더(USDT) 22만개 등 180억원 상당의 코인이 식별되지 않은 지갑으로 빠져 나갔다고 공지하며, 입출금 서비스를 일시 중단하였습니다.
 
 
[출처=지닥 홈페이지]
[출처=지닥 홈페이지]
 
지닥은 10일 오후 4시 56분, 홈페이지 공지를 통해 해킹 피해 사실을 알렸으며, 즉시 비상대책반을 소집하여 입출금 시스템 및 관련 서버 중단 및 차단, 해킹 사실 신고 및 수사 요청 등의 대응을 하고 있음을 안내했습니다.
이후 지닥은 시스템 보안성 검토 및 자산 충당을 완료하고 일부 자산을 제외한 전체 자산에 대해 입출금 서비스를 재개하였습니다. (페이코인(PCI), 스텔라 루멘(XLM), 이더리움클래식(ETC) 제외, 5월 4일 기준 업데이트)
 
 
키 유출이 아닌 내부 인프라 시스템 공격?
 
지닥 측에서는 아직 정확한 해킹의 원인을 밝히고 있지 않으나, 국내 정보보안 업체 티오리에 따르면 해커들이 지닥의 지갑 키를 탈취한 것이 아닐 수도 있다며, 이보다는 내부 시스템에 있는 입금/출금 관련 API를 호출했을 가능성이 높다는 분석을 제기하였습니다.
 
티오리는 이 같은 분석의 근거로 다음 원인들을 제시했습니다.
1️⃣
“이용자→공격자” 경로가 아닌 “이용자 →거래소→공격자” 경로로 탈취했다는 점
공격자 입장에서는 사용자 월렛에서 바로 공격자 주소로 보내는 것이 빠르고 안전함에도 굳이 거래소를 거쳐 가는 경로를 택했다는 것은, 개인키 및 시드 구문 탈취 보다는 지닥 내부 시스템에 침투해 입출금 관련 API를 호출하는 방식으로 해킹이 이루어졌을 가능성이 높다고 해석할 수 있습니다.
2️⃣
해킹되지 않고 남겨진 상당한 자산
모든 월렛의 키를 얻었다면 남아 있는 수억원 규모의 자산까지 모두 탈취했을 텐데 그렇지 않았다는 것은 역시 공격자가 비밀키를 확보했다기 보다는 거래소 내부 시스템에 침투한 해킹 방식으로 분석할 수 있습니다.
3️⃣
거래소에서 일반적으로 설정되는 가스 한도를 사용한 공격자
티오리 관계자에 따르면, "스윕 트랜잭션을 통해 코인을 지닥 핫월렛으로 모으는 과정에서의 트랜잭션과, 공격자 지갑으로 출금하는 트랜잭션 모두 지닥 시스템 내에서 사용되는 가스 한도 값과 동일한 가스 한도를 사용했다"며 "공격자 지갑으로 자산이 이동된 뒤에는 일반적으로 메타마스크를 포함한 대부분의 지갑 앱이 사용하는 가스 한도를 사용했다"며, “만약 비밀키를 탈취해 진행한 공격이었다면 고정적인 가스 한도 값이 아닌, 각 트랜잭션에 따른 유동적인 가스 한도 값을 사용했을 것”이라고 전했습니다.
 
참조
ZDNET Korea, ‘23.04.11 <지닥 해커, 지갑 키 아닌 내부 시스템 권한 탈취>
 
 
 
잇따른 중앙화 거래소의 사고, 탈중앙화 서비스 진입으로 이어져
 
[출처=블록체인 데이터 플랫폼 디파이라마(DefiLlama)]
[출처=블록체인 데이터 플랫폼 디파이라마(DefiLlama)]
 
올해 3월의 탈중앙화거래소 유니스왑(Uniswap)의 지난달 거래량은 700억달러, 92조원를 기록했는데요, 이는 글로벌 최대 중앙화거래소 중 하나인 코인베이스의 거래량인 494억달러, 65조원의 1.5배에 달하는 규모입니다.
이 같은 DEX의 성장은, 본문의 지닥 해킹, 작년의 FTX 파산 사태 등 중앙화 거래소에서 잇따라 발생한 문제와도 엮어서 생각해 볼 수 있을 것 같습니다.
중앙화거래소에 자산을 맡기기 위해선 신뢰성이 근간이 돼야 하는데 투자자의 자산이 보호되지 못하는 사례가 반복되며 개인 키 관리를 직접 하는 DEX로의 진입을 시도하는 사용자들이 점진적으로 증가하였다고 해석할 수 있겠습니다.
 
 
이용자 보호를 위한 제도 마련
 
 
디지털 시대에서의 악의적인 공격을 원천적으로 모두 막을 수는 없어 보입니다. 해킹으로 인한 피해는 비단 가상자산 업계에만 국한된 문제는 분명 아니고, 지금도 여러 분야에서 발생하고 있는 문제이죠.
그래서 정부와 관련 업계에서는 이용자를 보호할 수 있는 제도 마련을 위한 노력을 하고 있고 이와 같은 과정에서 ‘가상자산 이용자보호 등에 관한 법안’의 국회 통과 절차가 진행되고 있습니다.
해당 법안은 이용자 자산의 보호를 위한 내용으로, ① 고객 예치금의 예치·신탁, ② 고객 가상자산과 동일종목·동일수량 보관, ③ 해킹·전산장애 등의 사고에 대비한 보험·공제 가입 또는 준비금의 적립, ④ 가상자산 거래기록의 생성·보관에 관한 사항을 규율하고 있습니다.
 
 
부리또월렛이 솔루션
 
notion image
 
제도적인 보완이 점진적으로 진행되고 있다고 하지만 이용자들이 당장에 이 위험을 조금이라도 회피할 수 있는 방법이 있을까요?
부리또 월렛과 같은 비수탁형 개인지갑이 하나의 솔루션이 될 수 있을 것입니다.
국내 암호화폐 시장에서는 아직까지 거래량이 중앙화 거래소에 집중되고 있는 편인데요, 부리또월렛과 같이 개인 키를 본인이 직접 관리하는 비수탁형 개인지갑을 이용한다면, 탈중앙화 블록체인 생태계의 다양한 WEB3 서비스를 즐기면서도, 중앙화 거래소에서 내 자산을 안전하게 지키며 가상자산 거래를 할 수 있습니다.
탈중앙화 생태계로의 급격한 선회가 부담스럽다면, 익숙한 중앙화 거래소의 시스템을 이용하면서 내 자산을 안전하게 보호할 수 있는 개인지갑부터 시작해 보세요!