"원숭이도 땅도 뺏겼다"..뭉칫돈 몰리자 해커들 먹잇감 된 NFT

/사진='지루한 원숭이들의 요트클럽'(Bored Ape Yacht Club·BAYC) 홈페이지 캡처

지루한 원숭이들이 사라졌다. 지난달 25일(현지시간) 유명 대체불가토큰(NFT)프로젝트 '지루한 원숭이들의 요트클럽'(Bored Ape Yacht Club·BAYC)은 공식 인스타그램 계정이 해킹되면서 NFT 91개가 도난됐다고 밝혔다. 해킹 피해액은 약 280만달러(약 35억원)로 추산됐다. 공식 트위터를 통해 해킹 사실을 알린 BAYC는 사용자들에게 "오늘은 민팅(Minting·NFT 발행)이 진행되지 않으며 관련된 어떤 링크도 누르지 말라"고 안내했다.

지난해 초부터 과열된 NFT 시장이 새로운 투자처로 급부상하면서 이를 노린 해킹 피해가 반복되고 있다. 해커들은 인스타·디스코드·트위터 등 사회관계망서비스(SNS), 발행 플랫폼과 매매 플랫폼의 중간다리 역할을 하는 브릿지 업체를 타깃삼는 등 NFT 시장을 공격하고 있다.

NFT 해킹은 이번이 처음이 아니다. 만우절이던 지난달 1일 'BAYC'를 비롯해 '두들스'(Doodles) '뇨키 클럽'(Nyoki Club) '프리키 랩스'(Freaky Labs) 등 해외 유명 NFT 프로젝트의 디스코드 계정이 해킹 피해를 입었다. NFT 게임 등 내부에서 사용되는 암호화폐 자체를 훔쳐가는 사례도 있다. 앞서 지난달 23일(현지시간) P2E(Play to Earn) 게임 '엑시 인피니티'(Axie Infinity·AXS) 개발사 '스카이마비스'의 이더리움 기반 사이드 체인 '로닌'은 약 6억2500만달러(약 7700억원)의 암호화폐를 도난당한 바 있다.

국내에서도 NFT 해킹은 빈번하게 벌어지고 있다. 지난달 30일 메타버스 부동산 플랫폼 '클레이시티'(KlayCity)는 공식 트위터 등을 통해 "디스코드 계정이 해킹당했다"며 "상황 파악 중"이라고 밝혔다. 클레이시티는 폐허가 된 2080년 지구를 재건한다는 콘셉트의 게임 플랫폼으로, 가상 부동산 NFT를 활용해 '$ORB' '$LAY' 등 토큰을 얻고 새 구역의 NFT를 찾는 방식으로 운영되고 있다. 앞서 같은 달 16일에도 NFT 프로젝트 '메타콩즈' 디스코드 계정이 해킹돼 11.9이더리움(약 4500만원)의 피해액이 발생하기도 했다.

NFT 해킹은 관련 보안 인프라 자체가 아직 활성화돼 있지 않다는 점이 근본적인 배경으로 꼽힌다. 특히 NFT 발행 플랫폼과 매매 플랫폼이 구분된 경우가 많다보니 이를 연결해주는 브릿지 업체가 보안에 취약한 경우가 많다. 이에 전문가들은 NFT 보안 인프라의 견고한 구축과 함께 하드웨어 지갑·USB 등 '콜드월렛'(Cold wallet)에 가상자산을 보관하는 등 개인 스스로 보안에 주의해야 한다고 지적한다. 콜드월렛은 암호화폐 지갑의 한 종류로 오프라인에서 동작하는 지갑을 말한다.

최화인 블록체인 에반젤리스트는 "이더리움 등 암호화폐를 만드는 개발자 개인의 보안 역량이 천차만별이라 블록체인의 안전성을 충분히 활용하지 못하는 상황이 벌어질 수 있다"며 "NFT 네트워크로 들어오는 게 아니라 인스타그램·디스코드 등 외부 중앙 서버를 털어 NFT를 도난하는 형태의 해킹도 발생하는 상황"이라고 설명했다.

최 에반젤리스트는 "발행 플랫폼과 매매 플랫폼을 연결해주는 브릿지 업체가 중간에 투자금을 '먹튀'하거나 업체 자체의 보안이 취약해 해킹 피해가 나타나는 것"이라며 "열어본 웹사이트 목록이나 암호 등 개인정보가 저장된 모바일에서 암호화폐 지갑을 사용하는 경우가 많아 쉽게 해킹 타깃이 될 수 있다. 스마트폰 보안 시스템을 사용하고 문자나 이메일로 오는 링크는 바로 삭제해야 하고, 콜드월렛 방식으로 자산을 외부에 보관하는 것도 NFT 해킹을 막을 방법"이라고 조언했다.

홍효진 기자 hyost@mt.co.kr

머니투데이

IT/과학

"원숭이도 땅도 뺏겼다"..뭉칫돈 몰리자 해커들 먹잇감 된 NFT