[디지털자산 대응 점검③] 압수 디지털자산 줄줄이 유출…전문 수탁사, 정부 대안 될까

[블록미디어 김해원 기자] 검찰·경찰·국세청 등 주요 수사·과세 기관에서 잇따라 발생한 대규모 디지털자산(가상자산) 유출 사고가 논란이 되고 있다. 일선 담당자의 단순 과실을 넘어 압수된 디지털자산을 안전하게 보관하고 통제할 기관 차원의 관리 시스템이 부재한 것 아니냐는 지적이 나온다.

잇따른 보안 사고…피싱·니모닉 노출까지

국가기관의 디지털자산 관리 실태는 최근 한 달 사이 발생한 여러 사건을 통해 드러났다.

먼저 국세청에서는 압류 디지털자산 관리 과정에서 니모닉 코드가 외부에 노출되는 사고가 발생했다. 국세청은 지난달 26일 고액 체납자로부터 압류한 콜드월렛(USB 형태 오프라인 지갑)을 소개하는 보도자료를 배포했는데, 이 과정에서 지갑 복구 구문인 니모닉(Mnemonic) 코드가 사진에 그대로 노출됐다. 다음 날 해당 코드를 이용해 약 400만개의 PRTG 코인(당시 약 69억원)이 외부로 이동했고 국세청은 지난 1일 공식 사과와 함께 경위 조사에 착수했다.

검찰에서도 유사한 사고가 발생했다. 광주지방검찰청은 불법 도박사이트 수사 과정에서 압수한 비트코인 320.88개(약 315억원)를 인수인계하던 중 피싱 사이트에 접속해 지갑 정보를 입력하는 실수가 발생하면서 자산이 외부로 이동했다. 이후 수사 압박이 이어지자 해킹범이 설 연휴 무렵 코인을 반환했고 검찰은 지난 10일 이를 전량 매각해 국고로 귀속시켰다.

경찰에서도 압수 디지털자산 유출 사례가 확인됐다. 강남경찰서는 2021년 수사 과정에서 임의 제출받아 보관 중이던 비트코인 22개가 외부로 유출된 사건을 조사해 지난 2월 관련 피의자들을 체포했다. 이들은 동일 기종의 하드월렛을 준비해 니모닉 코드를 입력하는 방식으로 압수된 코인을 원격으로 이동시킨 것으로 조사됐다.

“기본 보안 절차만 있었어도 막을 사고”

디지털자산 보안 전문가들은 최근 발생한 검찰·경찰·국세청의 자산 유출 사건 상당수가 기본적인 보안 절차만 갖춰졌어도 예방 가능했던 사고라고 지적한다.

조재우 한성대학교 부교수는 “검찰과 경찰에서 발생한 사건은 기관 수탁사나 별도의 보안 지갑으로 자산을 즉시 이전하는 체계를 갖췄다면 막을 수 있었을 가능성이 높다”고 말했다.

그는 “검찰 사건은 피싱 사이트 접속으로 지갑 정보가 노출됐고, 경찰 사건은 압수 이후 별도 보안 조치 없이 기존 니모닉 코드가 다시 사용되면서 자산이 이동한 사례로 보인다”고 설명했다.

다만 국세청 사례는 상황이 다소 다르다는 분석이다. 니모닉 코드가 공개되는 순간 사실상 누구나 접근할 수 있는 상태가 되기 때문이다.

조 교수는 “니모닉 코드가 공개된 직후 즉시 수탁사 지갑 등 안전한 지갑으로 옮겼다면 피해를 막을 가능성은 있었지만 대응이 늦어지면 통제하기 어려운 상황이 된다”고 말했다.

또 블록체인 자산은 전통 금융자산처럼 거래를 동결하는 개념이 존재하지 않아 자산 확보 이후 즉시 별도의 지갑으로 옮기는 것이 안전하다.

조 교수는 “비트코인 등 대부분의 디지털자산은 거래 자체를 동결할 수 없기 때문에 자산을 확보한 뒤 즉시 별도의 보안 지갑이나 수탁 기관 지갑으로 이전하는 방식이 가장 현실적인 대응”이라고 설명했다.

민간 기업은 ‘분산·위탁’ 관리…보안 체계 격차

디지털자산을 대규모로 보유·운용하는 민간 기업들은 단일 담당자가 니모닉이나 개인키(Private Key)를 단독 관리하는 구조를 지양한다.

대신 여러 승인 절차를 거쳐 자산 이동을 통제하는 다중서명(Multi-signature) 시스템을 도입하고 있으며, 개인키를 여러 조각으로 분산해 보관하는 MPC(다자간 연산) 기술도 활용한다. 이를 통해 담당자 한 명이 해킹을 당하거나 내부 사고가 발생해도 자산이 유출되지 않도록 구조적으로 차단한다.

또한 많은 기업들이 직접 지갑을 관리하기보다 전문 수탁사(Custody)에 자산 보관을 맡기는 방식을 활용하고 있다.

국내에서는 한국디지털자산수탁(KODA), 한국디지털에셋(KDAC) 등이 대표적인 디지털자산 수탁 기관이다. KODA는 KB국민은행과 해시드가 설립한 기관이며 KDAC은 NH농협은행과 신한은행을 대주주로 두고 있다.

이 같은 상황에서 감사원은 최근 검찰·경찰·국세청·관세청 등을 대상으로 압수·압류 디지털자산 관리 실태 점검에 착수했다.

국세청도 지난 9일 디지털자산 관리 개선 태스크포스(TF)를 구성해 관리 체계 전반을 점검하고 있다. TF는 국세청 내부 부서가 아니라 청장 직속 조직으로 운영되며 현재 인력 배치와 사무실 구성 등 초기 단계에 있다.

국세청 관계자는 “현재 TF 인력만 배치된 상태로 조직 구성과 운영 방식이 정리되는 단계”라며 “참여 인원 등 세부 사항은 아직 내부적으로 공유되지 않았다”고 설명했다.

디지털자산 보관 방식과 관련해서는 외부 전문기관에 자산을 위탁 보관하는 방안도 검토 중이다. 다만 구체적인 수탁 기관이나 운영 방식이 확정된 것은 아니다.

국세청 관계자는 “향후 유사한 사고가 발생하지 않도록 전문기관에 자산 보관을 맡기는 방안 등을 검토하고 있다”며 “아직 특정 기관에 맡기겠다고 결정된 단계는 아니다”라고 말했다.