지난 10년간 가장 큰 암호화폐 절도 사건들

이 글에서는 지난 10년간 발생한 주요 암호화폐 도난 사건들을 모두 떠올려 보려고 합니다.

1. Bitstamp hack, $5.3 mln (BTC), January 4th, 2015

2015년 1월 4일, Bitstamp의 운영용 hot wallet이 익명의 해커에 의해 해킹당했고 19,000개의 비트코인(약 500만 달러 상당)이 유실되었다고 발표했습니다.

공격은 2014년 11월 4일에 시작되었습니다. 당시 거래소의 CTO였던 Damian Merlak은 Skype를 통해 Punk Rock Holiday 2015 펑크 록 페스티벌 무료 티켓을 제안받았습니다. Merlak이 그런 음악에 관심이 있고 밴드에서도 활동한다는 사실이 알려져 있었습니다. 티켓을 받으려면 “Punk Rock Holiday 2015 TICKET Form1.doc”라는 파일을 보내 참가자 설문지를 작성하라는 요청을 받았습니다. 이 파일에는 VBA 스크립트가 포함되어 있었습니다. 그가 파일을 열자 자신의 컴퓨터에 멀웨어가 다운로드되었습니다. Merlak은 별다른 의심 없이 그 “신청서”를 열었지만, 이로 인해 Bitstamp 거래소 자금에 대한 접근 권한이 곧바로 열린 것은 아니었습니다.

하지만 공격자들은 포기하지 않았습니다. 공격은 5주간 이어졌고, 그동안 해커들은 때로는 기자로, 때로는 헤드헌터로 위장했습니다.

마침내 공격자들에게 운이 따랐습니다. 2014년 12월 11일, 감염된 워드 문서를 Bitstamp 시스템 관리자 Luka Kodric가 자신의 컴퓨터에서 열었고, 그는 거래소 지갑에 접근 권한을 가지고 있었습니다. 이 파일은 이메일로 도착했으며, 겉으로는 Association for Computer Machinery 소속 직원이 보낸 것처럼 꾸며져 있었지만, 실제로 조사 결과 파일의 흔적은 Tor 깊숙한 곳으로 이어지는 것으로 드러났습니다. 해커들의 시도는 한 통의 메일에만 국한되지 않았습니다. Skype에서 공격자는 Association for Computing Machinery 직원인 척하며, 자신의 Frame이 국제적인 명예 학회에 참여할 것이라 믿게 만들었고, 이를 위해 몇 가지 서류 작업이 필요하다고 설득했습니다. Kodric는 이를 믿었습니다.

Kodriс의 컴퓨터에 트로이 목마를 설치한 해커들은 거래소의 hot wallet에 직접 접근할 수 있게 되었습니다. 로그에 따르면 공격자는 Kodric 계정으로 LNXSRVBTC 서버에 접근하여 wallet 파일 .dat를 보관하고 있던 곳에 들어갔고, 비밀번호가 저장되어 있던 DORNATA 서버에도 접근했습니다. 이후 서버들은 독일의 한 제공업체에 속한 특정 IP 주소로 리디렉션되었습니다.

이 사건과 관련해 아직 공식적인 체포 보도는 없습니다. 분명한 것은 해커들이 영국 밖에 있어 사건이 복잡해졌고, 수사 당국이 다른 국가의 법 집행 기관들과 협력해야 한다는 점입니다.

2. GateHub hack, $9.5 mln (XRP), June 1st, 2019

해커들은 GateHub의 암호화폐 지갑 서비스에서 약 100개의 XRP Ledger 지갑을 침해했습니다. 이 사건은 6월 6일 GateHub의 예비 성명에서 보고되었습니다.

가장 먼저 수상한 활동을 발견한 XRP 애호가 Thomas Silkjær는 해커들이 약 1,000만 달러 상당의 암호화폐(23,200,000 XRP)를 훔쳤다고 추정하며, 그중 550만 달러(13,100,000 XRP)는 이미 거래소와 믹서 서비스를 통해 세탁되었다고 봅니다.

GateHub는 아직 조사를 진행 중이므로 공식 결과를 발표할 수 없다고 밝혔습니다. 또한 피해자들에게 관할 지역의 관련 당국에 신고할 것을 권고했습니다.

3. Tether hack, $30.9 mln (USDT), November 19th, 2017

Tether는 “US tokens”(USDT)라는 디지털 화폐를 만들었습니다. 이는 Bitcoin, Litecoin, Ether를 사용해 실물 상품 거래에 활용할 수 있었습니다. Tether에 1달러를 예치하면 사용자는 1 USD를 받았고, 이는 다시 법정화폐로 전환할 수 있었습니다. 2017년 11월 19일, 공격자는 Tether의 메인 지갑에 접근해 3,090만 달러 상당의 토큰을 인출했습니다. 이 거래에 Bitcoin 주소를 사용했기 때문에 되돌릴 수 없었습니다.

상황을 해결하기 위해 Tether는 해커가 훔친 돈을 법정화폐나 Bitcoin으로 인출하지 못하도록 조치했지만, 공포 심리가 확산되면서 Bitcoin 가치가 하락했습니다.

4. Ethereum hack, $31 mln (ETH), July 20th, 2017

2017년 7월 20일, 해커는 SwarmCity, Edgeless Casino, Eternity가 보유한 매우 큰 지갑 세 곳에서 153,037 Ether, 약 3,100만 달러를 전송했습니다. 알려지지 않은 사기범들은 다중 서명 취약점을 악용해 지갑의 소유권을 변경하는 데 성공했습니다.

가장 먼저 이 도난을 알아챈 것은 SwarmCity 개발자들이었습니다.

이후의 전개는 역사에 남을 만합니다. “화이트 해커”들이 훔친 자금을 반환한 뒤, 다른 침해된 계정들까지 보호했습니다. 그들은 취약한 지갑에서 자금을 훔친 범죄자들과 같은 방식으로 행동했지만, 자신들을 위해서가 아니었습니다. 그리고 이 모든 일은 하루도 채 걸리지 않았습니다.

5. Dao hack, $70 mln (ETH), June 18th, 2016

2016년 6월 18일, Ethereum 커뮤니티 구성원들은 DAO에서 자금이 빠져나가고 있으며 전체 ETH 잔고가 감소하고 있다는 사실을 알아차렸습니다. 공격자는 첫 몇 시간 만에 총 360만 Ether, 당시 약 7,000만 달러 상당을 빼냈습니다. 이 공격은 분할 함수의 취약점으로 가능했습니다. 공격자들은 같은 DAO Token을 사용해 DAO 스마트 컨트랙트에서 Ether를 여러 차례 인출했습니다. 이는 recursive call exploit으로 알려진 방식 덕분에 가능했습니다.

이 exploit에서 공격자는 스마트 컨트랙트(DAO)에게 스마트 컨트랙트가 자신의 잔액을 갱신하기 전에 Ether를 여러 번 돌려달라고 “요청”할 수 있었습니다. 이를 가능하게 만든 핵심 결함은 두 가지였습니다. DAO 스마트 컨트랙트를 만들 때 개발자들이 recursive call 가능성을 고려하지 않았다는 점, 그리고 스마트 컨트랙트가 먼저 ETH 자금을 전송한 뒤 내부 토큰 잔액을 갱신했다는 점입니다.

중요한 것은 이 버그가 Ethereum 자체에서 발생한 것이 아니라, Ethereum 위에 구축된 이 하나의 애플리케이션에서 비롯되었다는 점입니다. DAO를 위해 작성된 코드에는 여러 버그가 있었고, recursive call exploit은 그중 하나였습니다. 다른 관점에서 보면 Ethereum을 인터넷에, Ethereum 기반 애플리케이션을 웹사이트에 비유할 수 있습니다. 웹사이트가 작동하지 않는다고 해서 인터넷 전체가 작동하지 않는 것은 아니며, 단지 하나의 웹사이트에 문제가 있는 것뿐입니다.

해커는 알 수 없는 이유로 DAO 자금 유출을 멈췄지만, 계속할 수도 있었습니다.

Ethereum 커뮤니티와 팀은 신속하게 상황을 통제하고, 이 exploit에 대응하기 위한 여러 제안을 내놓았습니다. 공격자가 표준 28일 후 자신의 child DAO에서 Ether를 현금화하지 못하도록 하기 위해 soft-fork가 표결에 부쳐졌고, 도입 직전까지 갔습니다. 그러나 출시 몇 시간 전, 커뮤니티 일부가 구현상의 버그를 발견했고, 이로 인해 denial-of-service 공격 벡터가 열렸습니다. 이 soft fork는 DAO에서 발생한 모든 거래를 블랙리스트 처리하도록 설계되었습니다.

6. NiceHash hack, 4736.42 (BTC), December 6th, 2017

NiceHash는 셰어링 이코노미 방식으로 해시 파워 판매자(채굴자)와 구매자를 연결하는 통합 마켓플레이스를 갖춘 슬로베니아의 암호화폐 해시 파워 중개 서비스입니다.

2017년 12월 6일, 회사 서버가 공격 대상이 되었습니다. 처음에는 Reddit 사용자들이 자신의 자금에 접근하거나 거래를 할 수 없다고 보고했으며, 로그인하려고 하면 서비스 중단 메시지가 표시되었습니다. 결국 서비스가 대규모 사이버 공격을 당했으며 4736.42개의 Bitcoin이 흔적도 없이 사라졌다는 사실이 알려졌습니다.

큰 손실에도 불구하고 NiceHash는 운영을 계속할 수 있었지만, CEO이자 창립자인 Marco Koval은 사임하고 새로운 팀이 자리를 맡게 되었습니다. 회사는 투자자들의 신뢰를 유지했으며 시스템 보호를 강화하기 시작했습니다.

7. Mt. Gox hack, 850000 (BTC), June 19th, 2011

Mt. Gox 해킹은 역사상 가장 큰 Bitcoin 도난 사건 중 하나였습니다. 이는 복잡한 취약점을 이용한 고도로 전문적인 해커들의 소행이었습니다.

한 해커(또는 해커 집단)가 한 감사인의 컴퓨터에 접근한 뒤 보안 취약점을 이용해 Mt. Gox 서버에 들어갔고, 그 후 Bitcoin의 표시 가격을 코인당 1센트로 변경한 것으로 알려졌습니다.

그다음 약 2000 BTC가 유출되었습니다. 일부 고객들은 이를 모른 채 이 낮은 가격으로 거래를 진행했고, 총 650 BTC가 거래되었습니다. 해킹 사건이 전 세계 헤드라인을 장식했음에도 Bitcoin은 반환될 수 없었습니다.

투자자 신뢰를 높이기 위해 회사는 도난당한 코인을 모두 보상했고, 남은 자산의 대부분을 오프라인 저장소에 보관했으며, 그 후 몇 년 동안은 세계에서 가장 신뢰할 수 있는 Bitcoin 거래소로 여겨졌습니다.

하지만 그것은 단지 신뢰성의 환상에 불과했습니다.

조직의 문제는 훨씬 더 심각했고, 경영진은 아마 그것조차 알지 못했을 것입니다.

Mt. Gox의 CEO였던 Mark Karpeles는 원래 개발자였지만, 시간이 지나면서 기술적 세부 사항에 깊이 관여하지 않게 되었고, 세계 최대의 암호화폐 거래 플랫폼을 만들었다는 영광에 취해 있었습니다. 당시 Mt. Gox는 전체 Bitcoin 거래의 70% 이상을 처리하고 있었습니다.

물론 이 서비스의 기술적 취약점을 이용하려는 이들도 있었습니다. 어느 순간 해커들은 Bitcoin을 어떤 가격으로도 살 수 있게 만들었고, 몇 분 만에 수백만 달러어치의 코인이 판매되었습니다. 대부분은 헐값이었습니다. Bitcoin의 세계 가격은 몇 분 만에 안정되었지만, 이미 너무 늦었습니다.

결과적으로 Mt. Gox는 약 850,000개의 Bitcoin을 잃었습니다. 거래소는 파산을 선언해야 했고, 수십만 명이 돈을 잃었으며, 일본 당국은 사기 혐의로 CEO Mark Karpeles를 체포했습니다. 그는 무죄를 주장했고 이후 석방되었습니다. 2014년 당국은 기존 주소에 남아 있던 일부 Bitcoin을 복구했지만 거래소로 이전하지는 않았고, 채권자들의 손실을 보상하기 위한 신탁을 설립했습니다.

8. Coincheck hack, $530 mln, January 26th, 2018

그 금액은 놀라웠고, 악명 높은 Mt. Gox 해킹을 넘어섰습니다.

Mt. Gox는 해킹 직후 곧바로 파산을 신청했지만, Coincheck는 놀랍게도 계속 영업을 이어갔고 최근에는 일본 금융청(FSA)으로부터 라이선스가 있는 거래소로 승인받기까지 했습니다.

Coincheck는 2014년 일본에서 설립되었으며, 일본에서 가장 인기 있는 암호화폐 거래소 중 하나였습니다. Bitcoin, Ether, LISK, NEM 등 다양한 디지털 자산을 제공한 Coincheck는 일본 Blockchain Association에 합류한 신흥 거래소였습니다.

Coincheck는 2014년에 설립되었기 때문에 Mt. Gox 이후 일본 FSA가 도입한 새로운 거래소 등록 요건의 적용을 받지 않았고, 결국 이러한 허술한 보안 기준이 Coincheck 해킹으로 이어진 한 요인이 되었습니다.

2018년 1월 26일, Coincheck는 블로그에 NEM 입출금을 제한하고 있으며 플랫폼에서 암호화폐를 사고파는 대부분의 방법도 제한하고 있다고 밝혔습니다. 거래소가 해킹당했다는 추측이 퍼졌고, NEM 개발자들은 NEM 프로토콜의 기술적 결함이나 거래소 보안 문제는 알고 있는 바가 없다는 성명을 발표했습니다.

이후 Coincheck는 공개 기자회견을 열어 해커들이 5억 개의 NEM 토큰을 탈취했으며, 이 토큰들이 네트워크의 서로 다른 19개 주소로 분산되었다고 확인했습니다. 당시 NEM이 약 1달러 선에서 거래되던 시점에 총액은 약 5억 3천만 달러에 달했으며, Coincheck 해킹은 업계 역사상 가장 큰 도난 사건으로 간주되었습니다.

Coincheck는 자사 거래소의 보안에 대한 다소 민망한 세부 사항을 공개해야 했는데, 모든 NEM을 단일 hot wallet에 보관했고 개발자들이 권장한 NEM 다중 서명 계약 보안을 사용하지 않았다고 밝혔습니다.

동시에 NEM 개발자 팀은 해킹으로 도난당한 모든 NEM에 “stolen”이라는 식별 메시지를 붙여 다른 거래소가 이를 받지 않도록 했습니다. 그러나 NEM은 몇 달 뒤 불특정한 이유로 도난당한 NEM 추적을 중단한다고 발표했고, 해커들이 다크웹에서 훔친 자금을 현금화하기 직전이라는 추측이 계속되었습니다.

주류 언론은 이 해킹을 광범위하게 보도하며, 과거 암호화폐 거래소들이 적절한 보안 기준을 충족하지 못해 발생한 유사한 실패 사례와 비교했습니다. 당시 암호화폐에 대한 언론 보도는 대부분 그 모호한 특성, 극심한 변동성, 보안 부족에 초점이 맞춰져 있었습니다. Coincheck의 해킹은 도난 금액이 충격적이었고, 사용된 암호화폐인 NEM은 일반 대중에게 거의 알려지지 않았기 때문에 그 서사를 더욱 강화했습니다.

해킹 이후 NEM은 급격히 하락했고, 2018년 내내 더 큰 폭으로 떨어졌으며, 이는 업계 전반의 장기 약세장과도 맞물렸습니다. 현재 NEM은 약 0.07달러에 거래되고 있으며, 1월 초 ATH였던 1.60달러 이상에서 급락한 상태입니다.

Coincheck 해킹의 규모에 맞먹는 사건은 Mt. Gox 해킹 정도뿐이었습니다. 명목상으로는 Coincheck가 업계 역사상 가장 큰 해킹이지만, Mt. Gox의 영향이 훨씬 컸습니다. 도난 자금이 Bitcoin으로만 구성되어 있었고, 장기적인 시장 조정과 함께 도난 자금 및 창업자를 둘러싼 지속적인 논란을 야기했기 때문입니다. 더구나 Mt. Gox는 당시 전체 Bitcoin 유통량의 6%를 낭비했고, 시장은 오늘날보다 훨씬 덜 성숙했습니다.

이 여파에도 불구하고 Coincheck는 현재 완전히 운영 중이며 일본 FSA에 등록되어 있습니다.

경험이 보여주듯 사람은 실수를 하고, 그 실수는 큰 대가를 치르게 할 수 있습니다. 특히 미친 암호화폐 세계를 이야기할 때는 더욱 그렇습니다. 조심하고 private keys는 안전한 곳에 보관하세요.