“열쇠 주고 껍데기만 지켰나”… 400억 증발 몰랐던 검찰의 허술한 관리

가상자산 거래소 전광판에 비트코인 가격이 실시간으로 변동되고 있는 모습. 검찰은 최근 업무 인수인계 중 피싱 피해로 비트코인 320개를 분실한 사실을 뒤늦게 파악하고 감찰에 착수했다. 뉴시스

국가 자산을 지켜야 할 수사기관의 방어선이 ‘클릭 한 번’에 허망하게 무너졌다. 수백억 원대 비트코인 압수물이 증발한 이번 사건은 가상자산이라는 디지털 자산을 물리적 압수물로만 취급해온 사법 당국의 안일한 인식과 시스템의 허점이 맞물려 발생한 참사로 보인다.

28일 광주지검에 따르면 발단은 지난해 8월 업무 인수인계 과정이었다. 광주지검 소속 수사관 5명은 압수물인 비트코인 320개의 수량을 확인하기 위해 인터넷 조회를 시도하던 중 피싱 사이트에 접속했다. 이로 인해 당시 시세로 약 400억 원에 달하는 비트코인이 외부로 탈취됐으며 검찰은 1년 가까이 흐른 최근에서야 비로소 분실 사실을 파악하고 감찰에 착수했다.

이처럼 황당한 탈취가 가능했던 배경에는 가상자산 보안 체계에 대한 근본적인 오해가 있었을 것으로 보인다. 수사관들이 피싱 사이트에 접속했을 당시 지갑의 모든 권한을 복구할 수 있는 ‘시드 구문’을 정당한 인증 절차로 오인해 입력했을 가능성이 제기된다. 시드 구문은 사실상 금고의 마스터키와 같아서 이를 입력하는 순간 물리적 장치인 하드월렛의 보안 기능은 사실상 무용지물이 되기 때문이다.

특히 잔액 조회와 인출 권한을 구분하지 못한 점이 결정적 실책이었을 것으로 분석된다. 블록체인상의 잔고는 지갑 주소만으로도 누구나 확인할 수 있음에도 굳이 보안 정보를 요구하는 피싱 사이트의 지시에 응한 것은 기술적 문해력의 한계를 드러낸 대목으로 보인다. 하드월렛 실물만 손에 쥐고 있으면 자산이 안전할 것이라는 고정관념이 오히려 보안 사고를 부르는 화근이 된 셈이다.

이후 1년 동안 분실 사실을 인지하지 못한 과정 역시 절차적 부실에서 기인한 것으로 보인다. 정기 점검에서 네트워크상의 실시간 잔액을 직접 대조하기보다는 USB 형태의 하드월렛 장치가 금고에 있는지만을 확인하는 구태의연한 방식에 의존했을 가능성이 높다.

결국 이번 사건은 확인된 피싱 피해를 시작으로 가상자산에 대한 전문적 관리 역량과 시스템 부재가 겹치며 발생한 이례적인 사고로 보인다.

알기 쉬운 용어 설명

◆ 하드월렛(Hard Wallet)과 핫월렛(Hot Wallet)

가상자산 지갑은 인터넷 연결 여부에 따라 크게 두 가지로 나뉜다. 하드월렛은 USB 등 별도의 물리적 장치에 암호 키를 담아 인터넷과 단절된 상태로 보관하는 방식이다. 해킹이 거의 불가능해 보안성이 매우 높지만 거래 시마다 장치를 연결해야 하는 번거로움이 있다. 반면 핫월렛은 스마트폰 앱이나 웹 브라우저처럼 항상 인터넷에 연결된 지갑을 말한다. 사용은 편리하지만 해킹이나 악성코드 노출 위험이 상대적으로 높다.

◆ 시드 구문(Seed Phrase)

가상자산 지갑을 복구하기 위해 설정된 12~24개의 단어 조합이다. 지갑 장치를 분실하더라도 이 구문만 있으면 어디서든 자산을 복구할 수 있는 마스터키 역할을 한다. 보안의 최후 보루이기 때문에 어떤 경우에도 온라인에 입력하거나 타인에게 노출해서는 안 된다. 이번 사건에서 수사관들이 피싱 사이트에 입력한 것으로 추정되는 정보가 바로 이 시드 구문이다.

양다훈 기자 [e-mail]