3억 2천만 달러 Liquid Network 사태 이후: 한 방어선이 무너진 뒤, 디지털 자산 플랫폼은 무엇을 지킬 수 있을까?

최근 잇따른 보안 사고는 디지털 자산 업계를 다시 한번 익숙한 질문 앞에 세웠다. 플랫폼이 도대체 어떤 상태여야 '안전하다'고 할 수 있을까?

9월 초, 비트코인 사이드체인 Liquid Network에서 중대한 보안 사고가 발생했다. 공격자는 Elements 소프트웨어의 검증 취약점을 악용해 약 4,000 BTC, 사고 당시 가격으로 약 3억 2천만 달러에 달하는 자산을 탈취했다. 주목할 점은 관련 PAK 및 Federation 키 자체는 침해되지 않았다는 사실이다. 이는 더 깊이 논의할 가치가 있는 질문을 부각시킨다. 키 자체가 뚫리지 않았는데도, 애초에 발생해서는 안 될 자산 이동이 어떻게 시스템을 통과할 수 있었을까?

비슷한 위험이 다른 영역에서도 나타났다. 8월에는 공격자가 Cosmos EVM의 치명적인 보안 취약점을 악용해 여러 네트워크를 공격했고, 총 6개 네트워크가 실제로 피해를 입었다. 해당 취약점은 이미 버그 바운티 프로그램을 통해 보고된 바 있었다. 7월에는 Triple-A가 사회공학적 공격을 받아 공격자가 관련 직원의 자격 증명을 탈취한 뒤 운영 환경에 침투했다. 이로 인해 회사 자체 자산 일부가 유출됐지만, 고객 자금은 신탁 계좌에 별도 보관되어 침해된 운영 환경과 분리되어 있었기 때문에 피해를 입지 않았다.

세 사건의 원인은 서로 다르지만, 모두 더 현실적인 문제를 가리킨다. 보안 사고를 완전히 막기는 어려울 수 있지만, 코드, 인력, 권한 중 한 부분이 뚫렸을 때 위험이 과연 어디에서 멈출 것인가?

진짜 막아야 할 것은 '침해' 그 자체가 아니라, 위험이 얼마나 멀리 퍼질 수 있는가이다

'공격을 받았는가'보다 더 중요한 질문은 이것이다. 첫 번째 방어선이 무너진 뒤, 공격자는 얼마나 더 깊이 들어갈 수 있는가? 계정 하나가 뚫렸다고 해서 핵심 자산 작업을 완료할 수 있는가? 권한 하나가 침해됐을 때 더 핵심적인 시스템으로 계속 진입할 수 있는가? 온라인 환경에 문제가 생겼을 때, 핵심 자산 중 얼마나 많은 부분이 실제로 공격 경로에 노출되는가?

이것이 최근 사건들이 주는 중요한 교훈이다. 공격이 최종적으로 얼마나 큰 피해를 입히는지는 공격자가 무엇을 뚫었는지만이 아니라, 뚫린 뒤 시스템 안에 방어선이 얼마나 더 남아 있는지에 달려 있다.

계정 하나가 뚫리자마자 핵심 권한에 바로 접근할 수 있거나, 온라인 환경에 문제가 생기면 대량의 핵심 자산이 곧바로 영향을 받을 수 있다면, 어떤 취약한 부분이라도 순식간에 증폭될 수 있다. 반대로 권한, 핵심 작업, 위험 모니터링, 자산 보관 사이에 다층적인 격리가 존재한다면, 한 번의 침해가 반드시 전면적인 함락으로 이어지지는 않는다.

다시 말해, 플랫폼의 보안 역량을 평가할 때는 '첫 번째 문을 지킬 수 있는가'만 볼 것이 아니라, 첫 번째 문이 뚫린 뒤에도 몇 개의 문이 더 남아 있는지를 봐야 한다.

공격 체인을 따라가며 보는 BIT의 '다음 문'은 어디에 있는가?

최근 글로벌 디지털 금융 서비스 플랫폼 BIT(구 Matrixport)가 《BIT 신뢰 백서》 V2.0(https://www.bit.com/whitepaper)을 발표했다. '첫 번째 방어선이 무너진 뒤 무슨 일이 일어나는가'라는 질문을 따라 이 백서를 다시 읽으면, 주목할 만한 점이 보인다. BIT의 보안 체계는 어느 한 방어선에만 의존하지 않고, 신원, 권한, 작업, 자산 사이에 다층적인 보호 장치를 마련해 두었다는 것이다.

예를 들어, 계정 자격 증명이 탈취됐다고 해서 공격자가 핵심 자산 작업을 완료할 수 있는 모든 권한을 갖게 되는 것은 아니다. 백서에 따르면 BIT는 최소 권한 원칙을 통해 직원이 접근할 수 있는 시스템과 작업 범위를 제한한다. 자산 이동, 계정 보안, 권한 변경, 거래 지시 생성 및 승인과 같은 핵심 작업에는 최소 두 명의 승인된 인력이 공동으로 참여해야 한다. Cactus Custody를 예로 들면, 이러한 계층화된 접근 방식은 기관급 디지털 자산 수탁 시나리오까지 확장된다.

신원 인증을 통과했다고 해서 이후의 모든 작업이 '무사 통과'되는 것은 아니다. 비정상적인 로그인, 비정상적인 기기, 비정상적인 출금 등의 행위에 대해 BIT는 지속적인 모니터링을 수행한다. 자산 측면에서는 대부분의 디지털 자산을 콜드 월렛에 보관하여 온라인 환경에 문제가 생겼을 때 핵심 자산의 노출을 더욱 줄인다.

이러한 메커니즘을 종합해 보면 BIT의 보안 논리가 더욱 직관적으로 드러난다. 신원이 침해됐다고 해서 모든 권한을 얻는 것은 아니고, 권한 하나를 얻었다고 해서 핵심 작업을 독립적으로 완료할 수 있는 것은 아니며, 신원 인증을 통과했다고 해서 이후 행동이 위험 판단에서 자유로워지는 것도 아니고, 온라인 환경에 문제가 생겼다고 해서 모든 핵심 자산이 동시에 노출되는 것도 아니다.

공격이 최종적으로 얼마나 멀리 나아갈 수 있는지를 결정하는 것은 바로 이러한 '아니다'들이다. 이것이 어떤 공격이든 완전히 막을 수 있다는 뜻은 아니지만, 어느 한 방어선에 문제가 생기더라도 그 뒤에서 이상 징후를 식별하고, 권한을 제한하거나 위험을 격리할 기회가 여전히 존재한다는 뜻이다.

보안의 격차는 많은 경우 첫 번째 문이 뚫린 뒤에 숨어 있다.

위험을 발견했을 때, 누가 진짜 '정지 버튼'을 누를 권한이 있는가?

하지만 기술적 방어선을 몇 겹 더 두는 것만으로는 충분하지 않다. Cosmos EVM 사건에서 주목할 만한 세부 사항은 해당 취약점이 이미 버그 바운티 프로그램을 통해 보고된 바 있다는 점이다. 그러나 당시 확보된 정보에 따르면, 처음에는 알려진 프로덕션 네트워크 구성에서 자금 손실을 초래하지 않을 것으로 판단되었다.

이는 자주 간과되는 또 다른 문제를 드러낸다. 위험을 발견했다고 해서 위험이 정확하게 평가되고 충분히 처리된 것은 아니라는 점이다.

취약점이 제출된 뒤, 누가 그것이 얼마나 심각한지 판단하는가? 보안 팀이 위험을 수용할 수 없다고 판단할 경우, 제품 출시를 계속 진행하지 못하도록 막을 권한이 있는가? 비즈니스 일정과 보안 판단이 충돌할 때, 최종 결정권은 누구에게 있는가?

《BIT 신뢰 백서》 V2.0에 따르면, 제품 방안, 요구사항, 아키텍처 또는 출시 변경에 중대한 보안 위험이 존재하거나 보안 기준선 및 규정 준수 요건을 충족하지 못할 경우, 보안 팀은 '거부권'을 행사하여 관련 활동을 일시 중단하고, 시정 및 재심사를 거친 후에만 진행을 재개하도록 요구할 수 있다.

이 메커니즘에서 진짜 주목할 점은 단순히 승인 절차가 하나 더 늘어났다는 것이 아니라, 위험이 실제로 발생했을 때 '안 된다'고 말할 권한을 가진 사람이 존재하는가라는 매우 실질적인 질문에 답한다는 것이다. 보안 체계에서 문제를 발견하는 능력도 중요하지만, 보안 판단이 실제로 비즈니스 결정에 영향을 미칠 수 있도록 하는 것 역시, 한 방어선이 단지 제도 속에 적혀 있는 것에 그칠지, 아니면 실제로 작동할 수 있을지를 결정한다.

비즈니스가 점점 복잡해질수록 '보안'은 지갑 속 자산만을 의미하지 않는다

디지털 금융 플랫폼이 디지털 자산, 미국 주식, RWA 등 다양한 유형의 자산과 금융 인프라를 동시에 연결하기 시작하면, 보안 문제도 더 이상 지갑과 계정 차원에서만 발생하지 않는다. 자산을 누가 처리하는지, 어떤 기관을 거치는지, 어디에서 청산되고 보관되는지 역시 사용자가 위험을 판단하는 중요한 요소가 된다.

이것이 《BIT 신뢰 백서》 V2.0이 보안 및 신뢰 체계를 더욱 확장하여 다루는 지점이다. 리스크 관리 및 보안 조치 외에도, 백서는 다양한 사업 주체에 해당하는 규제, 감사, 독립적 검증 방안을 공개하여 외부에서 누가 무엇을 책임지는지, 어떤 메커니즘이 검증 가능한지, 그리고 이러한 메커니즘이 어디까지 적용되는지를 더 잘 판단할 수 있게 한다.

BIT의 미국 주식 사업을 예로 들면, 증권 사업은 Matrix Gelephu Pte. Ltd.가 운영하며 GFSO의 규제를 받는다. 관련 사업은 동시에 미국의 허가된 금융 기관 및 해당 청산·수탁 인프라와 연결되어 있다.

일반 사용자에게는 복잡해 보이는 이러한 금융 구조도 결국 몇 가지 아주 단순한 질문으로 귀결된다. 내 자산은 누가 처리하는가? 어떤 단계를 거치는가? 각 기관은 각각 무엇을 책임지는가? 이러한 기관의 신원과 규제 상태를 확인할 수 있는가?

이것이 '검증 가능성'이 진정으로 의미를 갖는 지점이다. 보안은 플랫폼이 스스로 말하는 것에만 의존할 수 없으며, 사용자와 외부가 무엇을 검증할 수 있는지도 살펴봐야 한다.

Liquid Network, Cosmos EVM, Triple-A 사건을 돌아보면, 세 사건의 진입점은 완전히 다르지만 모두 시장에 동일한 경고를 보낸다. 어떤 방어선도 영원히 무너지지 않을 것이라고 가정해서는 안 된다는 것이다. 보안 격차를 실제로 벌리는 것은 단일 보안 기술 자체가 아니라, 신원, 권한, 작업, 자산, 조직적 의사 결정 사이에 충분한 격리와 견제를 구축하여 국지적 침해가 전면적 함락으로 확대되기 어렵게 만드는 능력일 수 있다.

이런 관점에서 《BIT 신뢰 백서》 V2.0에서 주목할 점은 얼마나 많은 보안 조치를 나열했는가가 아니라, 이러한 조치들이 하나의 완전한 방어선으로 연결될 수 있는지 여부다. 한 부분에 문제가 생기면 다음 계층이 있고, 다음 계층에도 문제가 생기면 위험을 계속 식별하고, 차단하고, 격리할 기회가 여전히 존재하는 구조인지 말이다.

디지털 자산 플랫폼에게 '한 번도 공격받은 적이 없다'는 영구적인 약속이 되기는 어려울 수 있다. 하지만 지속적으로 구축할 수 있는 다른 것이 있다. 진정한 보안은 어느 한 방어선이 무너지더라도 한 번의 침해가 쉽게 전면적 함락으로 이어지지 않도록 하는 것이다. 그리고 이러한 방어선이 존재할 뿐만 아니라 외부에서 지속적으로 검증될 수 있을 때, '신뢰'는 비로소 플랫폼이 스스로 하는 말 이상의 의미를 갖게 된다.