금융보안원이 국내 금융권 처음으로 디지털자산 보안 위협을 집중 분석한 정기 보고서를 내놨다. ‘딥체인(DeepChain) : 디지털자산 인텔리전스’란 이름의 이 간행물은 크로스체인(서로 다른 블록체인 간 연계) 환경에서 발생하는 보안 위협을 첫 번째 주제로 택했다. 보험업계가 디지털자산 결제나 토큰증권(STO) 등 신규 업무를 확장하려면 블록체인 간 연결이 필수적인 만큼, 이번 분석은 향후 리스크 관리에 중요한 참고 자료가 될 전망이다.
보고서가 조명한 크로스체인은 서로 다른 블록체인 사이에서 자산과 데이터를 이동시키는 중개 역할을 한다. 이를 위해 사업자는 이용자의 디지털자산을 내부에 보관하고 새로운 자산을 발행하는 구조를 쓰는데, 바로 이 지점이 해커의 주요 표적이 되고 있다. 실제로 해외에서는 2022년 로닌(Ronin) 브릿지 해킹으로 약 9472억원, 2023년 오르빗(Orbit) 사고로 1245억원, 올해 4월 켈프DAO(KelpDAO) 사고로 4432억원의 피해가 각각 발생했다. 특히 켈프DAO 사례는 검증자 서명키 탈취가 아닌 메시지 검증 인프라 자체가 침해된 점이 특징으로, 보안 취약점이 갈수록 다양해지고 있음을 보여준다.
국내 금융권에서도 스테이블코인을 활용한 토큰증권 결제나 블록체인 간 자산 이전 등 디지털자산 업무가 늘면서 크로스체인 사업자와의 협력 필요성이 커지고 있다. 하지만 일부 사업자는 기존 금융권 수준의 보안·내부통제 체계를 갖추지 못한 경우가 있어 우려가 제기된다. 금융보안원은 크로스체인 사업자 선정 시 보안 수준을 철저히 검증해야 하며, 출금·발행 검증 시 다수의 검증자를 두고 안전한 서명 임계치(과반수 동의)를 확보했는지 확인해야 한다고 강조했다.
보고서는 국가 배후 해킹 그룹이 사용하는 공격 기법도 상세히 다뤘다. 전통 금융서비스 공격과 달리, 디지털자산 영역에서는 채용 플랫폼 등 SNS를 통해 내부 중요 권한자에게 접근한 뒤 위장 악성 파일을 전송하는 사회공학 기법이 주로 활용된다는 분석이다. 스마트 컨트랙트와 키 관리뿐 아니라 외부 데이터 참조와 거버넌스 구조까지 보안 요소를 세분화해 대응 방안을 제시했다.
박상원 금융보안원 원장은 "디지털자산 보안 사고는 고객의 직접적인 자산 손실뿐 아니라 생태계 전체 신뢰를 무너뜨릴 수 있다"며 "시장이 제도화 초기 단계인 만큼 업무 기획·개발·운영 전 단계에서 보안을 내재화해야 한다"고 밝혔다. 금융보안원은 이 인텔리전스 보고서를 정기 발간해 금융권의 선제적 위협 대응을 지원할 계획이다. 보고서 전문은 금융보안원 홈페이지 '자료마당' 내 '인텔리전스 보고서'에서 확인할 수 있다.
