‘니모닉 노출’ 탈취 코인 반납받고 ‘또 털린’ 국세청·경찰

지난 2월 26일 국세청이 체납자로부터 압류했다고 공개한 가상자산 저장용 USB(하드월렛) 사진. 국세청은 이와 함께 가상자산의 ‘마스터 키’ 역할을 하는 니모닉 코드를 함께 노출하면서 480만달러의 압류 코인이 탈취당했다.[국세청 보도자료 갈무리]

국세청이 ‘니모닉 코드’ 노출 사고 논란이 된 약 69억원 상당 가상자산을 두번이나 탈취당했다.

경찰청 사이버테러수사대는 2일 국세청 가상자산 해킹범 2명을 컴퓨터 등 사용 사기 혐의로 입건하고 추적하고 있다. 앞서 국세청은 지난달 26일 고액체납자 가상자산이 든 콜드월렛 USB 4개를 압류했단 보도자료를 내면서 전자지갑의 마스터키와 같은 니모닉 코드를 실수로 노출했다.

니모닉 코드는 분실한 가상자산 복원에 쓰는 암호다. 니모닉을 확보하면 콜드월렛이나 USB 등 매체 없이도 가상자산을 어디서든 복원할 수 있다. 경찰은 해당 니모닉을 이용해 가상자산을 탈취한 첫 해킹범으로부터 “가져갔다가 돌려놨고 반성 중”이란 자수서와 함께 반납받았다고 한다.

경찰은 내사 단계이던 지난달 28일 오후 한 남성이 경찰청 홈페이지에 “내가 코인을 빼갔고 원상복구 조치했다”고 신고한 뒤로도 “가상자산이 다시 돌아왔는지는 수사 상황이라 확인이 어렵다”며 환수 여부를 밝히지 않았는데, 약 2시간 만에 동일 니모닉 코드로 코인이 유출됐다고 한다.

경찰은 반납받은 가상자산이 수 시간 만에 다른 계정으로 빠져나가자 추가 피의자를 쫓고 있는 상황이다. 유출된 가상자산은 PRTG 코인 400만개로, 480만달러(약 69억원) 상당으로 알려졌다. 다만 거래가 없고 현금화가 사실상 불가능한 자산이라 실질적 피해는 크지 않단 해석도 있다.

국세청은 경찰에 수사를 의뢰한 한편 전날(1일) 입장문을 내 “(니모닉 코드 노출은) 변명의 여지 없이 국세청의 잘못”이라며 “이번 사고를 계기로 보안체계 전반에 대한 외부진단을 실시하고, 대외 공개 시 민감 정보가 유출되지 않도록 사전 심의 등 내부 통제를 강화하겠다”고 밝혔다.

피의자가 특정될 경우 정보통신망법위반과 특경법상 컴퓨터 등 사용 사기 혐의 등 적용 가능성이 거론된다. 한편 공공기관 가상자산 관리 행태도 도마에 오를 전망이다. 광주지검은 지난 1월 압수물로 보관하던 비트코인 320개를 분실했다. 이로 인한 경찰청의 점검 과정에서 서울 강남경찰서 역시 압수해 보관하던 비트코인 22개를 분실한 것으로 4년여 만에 확인돼, 피의자 2명을 추적했다.

김대성 기자 kdsung@dt.co.kr