새해 최대 보안 위협 ‘가상자산 해킹’… “당신의 코인 지갑이 위험”

NFT 등 가상자산 해킹 공격 심화 예상
허술한 가상자산 ‘비밀번호’ 주의해야
국정원 “北 외화벌이 위해 가상자산 해킹”

일러스트=이은현

새해에는 가상자산 해킹이 사이버보안 최대 위협으로 떠오를 것으로 보인다. 테라·루나 사태, 위믹스 상장폐지 등 이슈로 ‘코인 열풍’이 일부 사그라든 가운데에도 가상자산 해킹이 북한 해커를 포함한 범죄 해킹 집단의 주요 수입원으로 내년에도 악용될 전망이다.

30일 보안업계에 따르면 올해 사이버보안 위협이 가파르게 증가한 가운데 내년에도 가상자산 해킹 피해가 이어질 전망이다. 안랩은 2023년 주요 사이버 보안 위협 전망을 발표하며 개인의 가상자산 지갑을 노린 공격이 내년에 심화할 것이라고 경고했다.

안랩은 “최근 대형 가상자산 거래소나 주요 블록체인 서비스에 대한 해킹 공격이 발생하며, 코인과 대체불가능토큰(NFT) 등 가상자산을 개인 지갑으로 옮기는 사용자가 증가하고 있다”라며 “내년에는 개인의 가상자산 지갑을 노린 공격 시도도 증가할 것으로 예상된다”라고 했다.

다수 가상자산 이용자는 계정 소유권 인증 및 지갑 복구를 위해 사용되는 일종의 ‘비밀번호’인 시드 구문(계정의 소유권을 인증하고 지갑을 복구하기 위해 사용되는 무작위 단어 조합)이나 12개 혹은 24개 단어로 이뤄진 니모닉키를 외우지 못해 사진, 이메일, 스마트폰 메모, 카카오톡 나에게 보내기 등으로 기록한다.

이렇듯 허술한 보안 아래 보관된 시드구문과 니모닉키는 스마트폰, PC 등이 해킹되면 바로 개인의 가상자산에 해커가 접근할 수 있는 열쇠가 된다. 해커가 가상자산이 아니라 가상자산을 보관하는 지갑의 ‘마스터키’를 탈취한다는 것이다. 해커는 이러한 니모닉키 정보와 지갑 계정 정보를 탈취하기 위해 정보 유출 악성코드나 유명 가상자산 지갑을 사칭한 피싱 웹사이트 및 애플리케이션(앱) 유포를 확대할 것이라고 안랩 측은 전망했다.

특히 최근 가상자산 시장에서 주목받는 NFT 플랫폼 및 커뮤니티 해킹 역시 내년에도 가파르게 증가할 것으로 업계는 내다봤다. 라온화이트햇은 ’2023 보안 위협 전망’을 통해 “글로벌 최대 NFT 마켓플레이스 ‘오픈씨(Opensea)’ 해킹으로 약 250만달러(약 31억원)의 피해가 발생했으며, 최근에는 NFT 프로젝트의 디스코드 계정을 해킹해 사용자들에게 악성 주소를 클릭하게 하는 범죄가 지속해 발생하고 있다”라며 “해킹 방법도 단순히 링크 클릭을 유도하는 것뿐만 아니라 QR코드를 촬영하면 사용자 접근권한을 탈취할 수 있는 방식 등으로 진화하고 있다”라고 했다.

일러스트=손민균

정부 역시 내년 가상자산 보안의 비상등이 켜졌다며 경고했다. 과학기술정보통신부는 한국인터넷진흥원(KISA)·사이버 위협 인텔리전스 네트워크와 ‘올해 사이버보안 위협 분석과 내년 사이버보안 위협 전망’을 발표해 “내년에도 직접적 수익 창출을 위해 가상자산 타깃형 공격이 더욱 활발해질 것이다”라고 분석했다.

특히 북한의 가상자산 해킹 공격은 내년에도 심화할 것으로 보인다. 국정원은 내년 사이버보안 관련 전망을 발표하며 북한의 가상자산 해킹을 주요 위협 요소로 꼽았다. 국정원은 “가장 손쉽게 많은 돈을 가져갈 수 있는 가상자산 해킹에 북한은 2017년부터 집중해 나라의 핵심 외화벌이 수단으로 부상했다”라며 “북한의 가상자산 해킹 역량은 세계 최고 수준이다”라고 했다.

국정원에 따르면 북한이 2016년부터 국내외 금융기관·가상자산 등을 해킹해 발생한 피해 규모는 총 1조5000억원 이상으로 파악됐다. 이 기간 국내 피해액은 1000억원 이상으로 추정된다. 올해는 우리나라 가상자산 거래가 실명제로 전환되면서 보안이 강화돼 국내 피해는 없었고 해외에서만 8000억원의 피해가 발생했다. 그러나 국정원은 북한이 관련 보안 허점을 파악해 가상자산을 탈취할 수 있는 NFT, 메타버스 등 웹 3.0 플랫폼에 대한 공격을 내년에도 확대할 것이라며 가상자산 관련 보안을 강화해야 한다고 강조했다.

가상자산 해킹 피해를 예방하기 위해 개인 지갑 사용자는 시드 구문이나 니모닉키를 안전한 곳에 보관하고, 키 분실 위험으로부터 안전한 지갑을 사용해야 한다. 또 송금하려는 지갑의 범죄 연루 등도 꼼꼼히 확인해야 한다고 전문가들은 조언한다.

또 개인은 출처가 불분명한 메일 속 첨부파일∙URL 실행 자제, 콘텐츠∙소프트웨어 다운로드는 공식 경로 이용, 소프트웨어∙운영체제∙인터넷 브라우저 등 최신 보안 패치 적용, 로그인 시 비밀번호 외에 이중인증 사용, 백신 최신버전 유지 및 실시간 감시 기능 실행 등 보안 수칙을 지켜야 한다.

조직 차원에서는 조직 내 PC, 운영체제, 소프트웨어, 웹사이트 등에 대한 수시 보안점검 및 패치 적용, 보안 솔루션∙서비스 활용 및 내부 임직원 보안교육 실시, 관리자 계정에 대한 인증 이력 모니터링, 멀티팩터인증 도입 등 예방대응책을 마련해야 한다고 보안 전문가들은 권고했다.

- Copyright ⓒ 조선비즈 & Chosun.com -