코인레일 홈피 갈무리

400억원 상당의 암호화폐를 탈취당한 '코인레일' 해킹사고도 '빗썸'이나 '유빗'처럼 '보안 부주의'가 사고의 원인이었을 가능성이 크다는 게 보안업계의 공통된 지적이다. 

11일 코인레일은 자사 홈페이지에 해킹당한 사실을 밝히고 전체 보유자산의 30%가 유출됐다고 공지했다. 피해액은 약 400억원 규모다. 이 가운데 3분의2는 회수했지만 3분의1은 아직 찾지못했다고 코인레인측은 밝혔다. 그러나 실제 피해액이 얼마인지는 경찰조사가 마무리된 이후에 확인가능할 것으로 보인다.

이번 해킹은 코인레일이 암호화폐를 허술하게 관리한데서 비롯됐다는 분석이 지배적이다. 암호화폐 거래사이트 모임인 한국블록체인협회는 거래사이트들에게 암호화폐의 70% 이상을 반드시 '콜드월렛'에 보관하도록 강제하고 있다. 콜드월렛은 인터넷에 연결되지 않은 서버를 말한다. 콜드월렛에 보관하면 인터넷을 통한 해킹공격에서 암호화폐를 안전하게 보관할 수 있다.

그런데 코인레일은 인터넷이 연결된 서버인 '핫월렛'에 암호화폐를 보관한 것으로 파악되고 있다. 더 빠른 거래가 가능하도록 하기 위해 콜드월렛이 아닌 핫월렛을 주로 활용한 것으로 보인다. 

업계 관계자는 "블록체인협회는 회원사들에게 암호화폐를 콜드월렛에 보관하도록 강제하고 있지만 코인레인은 협회 회원사가 아니어서 이 규정을 지키지 않은 것같다"면서 "이 규정이 자율규제이다보니 협회 회원사들도 잘 지키지 않는다"고 말했다.

이처럼 거래사이트들이 암호화폐를 콜드월렛에 보관하는 것을 꺼리는 이유는 비용 때문이다. 콜드월렛에 보관된 암호화폐를 유통하려면 범용직렬버스(USB) 등 이동장치가 필요하고, 이를 관리하는 인력도 별도로 배치해야 한다. 반면 '핫월렛'은 비용부담이 적다.

특히 코인레일 등 중소거래사이트들은 지난 1월 거래실명제 도입 이후, 은행 입출금 계좌를 받지 못하면서 사실상 코인간거래 등 우회영업만 가능한 상황이다. 원화 거래가 불가능해 수수료 수익이 과거의 절반도 못미치고 있다. 이런 처지에 '콜드월렛'을 별도로 구축할 여력이 있겠느냐는 게 중소업체들의 항변이다.

중소거래사이트 업체의 한 관계자는 "수익이 발생해야 서버를 증설하거나 '콜드월렛' 전환이 가능한데 정부가 계좌를 막아버리면서 지금은 이러지도 저러지도 못하는 상황"이라며 "해킹 공격이 지속되면 어디선가 또 뚫릴 수밖에 없을 것"이라고 토로했다.

보안업계 한 관계자는 "블록체인의 보안성만 내세우고 있지만 정작 거래사이트 직원들의 PC관리나 해킹위협탐지 등 일반 보안 수준은 매우 형편없다"면서 "암호화폐 거래소의 경우 타 금융권과 비교하면 해킹 성공 가능성이 수십여배 더 높다"고 꼬집었다.