하지만 이용자들이 아무런 불편을 겪지 않은 것은 아닙니다. 비트겟이 사고 직후 출금을 중단하면서, 계정에 코인이 표시돼도 다른 곳으로 보낼 수 없었습니다.
거래소의 코인이 도난당했는데 내 잔액은 그대로라는 설명은 어떻게 가능한 걸까요? 이번 엠블록레터에서는 비트겟 해킹 사건을 통해 거래소가 코인을 보관하는 방식과 이용자에게 미치는 영향을 살펴보겠습니다.
비트겟에서는 무슨 일이 있었을까?
비트겟이 발표한 사고 감지 시각은 한국시간 9월 25일 오전 3시 31분입니다. 공격자는 거래소가 코인을 관리하고 전송하는 내부 시스템에 침입했습니다.비트겟의 조사 설명에 따르면, 공격자는 거래 정보를 조작한 뒤 승인 절차를 작동시켜 코인을 외부로 빼냈습니다. 이용자의 계정에 하나씩 로그인한 것이 아니라, 거래소가 코인을 보내는 시스템을 공격한 사건입니다.
피해는 거래소의 일부 지갑에서 발생했습니다. 비트겟은 인터넷과 분리해 보관하는 콜드월렛은 피해를 입지 않았다고 밝혔습니다.
최초 피해 추정액은 3억5,160만달러였습니다. 이후 조사에서 빠져 있던 지캐시와 트론 관련 거래가 추가로 확인되면서 3억8,750만달러로 수정됐습니다. 금액이 늘어난 것은 같은 공격의 피해를 더 확인했기 때문이며, 추가 해킹이 발생했다는 뜻은 아닙니다.
거래소가 털리면 내 잔액도 줄어들까?거래소에서 코인을 사면 화면에 내가 보유한 수량이 표시됩니다. 하지만 그 코인을 실제로 보관하고, 외부로 보내는 데 필요한 권한은 거래소가 관리합니다. 이용자가 출금 버튼을 누르면 거래소가 요청을 받아 코인을 보내는 구조입니다.
따라서 거래소에서 코인이 도난당했다고 해서 모든 이용자의 잔액이 그 즉시 줄어드는 것은 아닙니다. 거래소가 도난당한 만큼을 부담하면 이용자 잔액을 유지할 수 있습니다. 비트겟도 이번 사고로 이용자 계정 잔액은 영향을 받지 않았다고 발표했습니다.
예를 들어 계정에 1 BTC가 표시돼 있다면, 거래소의 해킹 피해가 발생했다는 이유만으로 그 숫자가 자동으로 0 BTC가 되는 것은 아닙니다. 다만 화면의 숫자와 별개로, 거래소가 이용자의 출금 요청을 실제로 처리할 수 있어야 합니다.
이번 사건에서도 잔액은 유지됐지만 출금은 중단됐습니다. 비트겟은 보안 점검을 위해 출금을 막았으며, 그동안 거래소 안에서 코인을 사고파는 거래와 입금은 계속 제공했습니다. 이용자는 거래소에서 매매할 수는 있었지만, 코인을 다른 거래소나 개인 지갑으로 옮길 수는 없었습니다.도난당한 코인은 누가 메울까?비트겟은 이번 손실을 이용자 보호기금으로 전액 충당하겠다고 밝혔습니다. 보호기금은 보안 사고 등에 대응하기 위해 거래소가 별도로 마련한 자산입니다.
사고 당시 비트겟이 제시한 기금 평가액은 4억6,400만달러 이상이었습니다. 공개된 피해 추정액 3억8,750만달러보다 큰 금액입니다. 회사는 이 기금으로 사고 손실을 부담한다는 방침을 발표했습니다. 이는 이용자에게 보상금을 추가로 지급한다는 뜻은 아닙니다. 비트겟은 이용자 잔액이 그대로 유지되며, 개인별로 별도의 보상금을 지급하는 프로그램을 발표하지 않았다고 설명했습니다.
또한 회사가 손실을 메우는 것과 해커에게서 코인을 되찾는 것은 다른 일입니다. 9월 28일 보도 기준으로 비트겟은 도난 자산 일부의 이동을 막았다고 밝혔지만, 정확히 얼마를 동결하거나 회수했는지는 공개하지 않았습니다.
이번 사건에서는 비트겟이 손실을 부담하겠다고 밝혔지만, 모든 거래소가 같은 방식으로 대응하는 것은 아닙니다. 다른 거래소에서 사고가 발생하면 해당 거래소의 손실 처리 방침을 확인해야 합니다.
내 코인을 지키려면 무엇을 확인해야 할까?거래소에서 사고가 나면 먼저 내가 보유한 코인을 실제로 출금할 수 있는지 확인해야 합니다. ‘출금 재개’라는 공지가 나와도 모든 코인이 동시에 출금되는 것은 아닙니다.
비트겟은 한국시간 9월 28일 오후 5시부터 비트코인 출금을 재개했습니다. 이더리움은 9월 29일, 테더는 9월 30일, 기타 토큰 등은 10월 2일 오후 5시에 순차 재개하는 일정을 발표했습니다. 비트코인은 실제 재개가 확인됐고, 나머지는 발표된 일정입니다. 내가 사용하는 전송 경로까지 출금이 열렸는지는 거래소 화면에서 확인해야 합니다.
거래소에 맡기지 않고 개인 지갑에서 코인을 직접 관리하는 방법도 있습니다. 이 방식에서는 코인을 보내는 데 필요한 개인키, 즉 자산을 움직일 수 있는 비밀 열쇠를 이용자가 관리합니다. 거래소의 출금 승인 없이 직접 코인을 전송할 수 있습니다.
대신 보안과 복구의 책임도 본인에게 있습니다. 개인키나 지갑을 복구하는 비밀 문구가 유출되면 코인을 도난당할 수 있습니다. 지갑에 접근할 수 없게 된 상태에서 복구 수단까지 잃으면 자산을 되찾지 못할 수 있습니다.
거래소를 이용하면 자산 보관과 출금 처리를 회사에 맡기고, 개인 지갑을 이용하면 그 권한과 책임을 직접 갖습니다. 보관 방식을 선택할 때는 거래 편의성과 함께, 누가 내 코인을 관리하고 사고가 났을 때 어떻게 대응하는지도 살펴봐야 합니다.
