3억 2천만 달러 Liquid Network 사건 이후: 하나의 방어선이 무너졌을 때, 디지털 자산 플랫폼은 무엇을 지킬 수 있는가?

최근 연이어 발생한 보안 사고는 디지털 자산 업계를 다시 한 번 익숙한 질문으로 이끌었습니다. 플랫폼은 도대체 어떤 기준을 충족해야 '안전'하다고 할 수 있을까요?

9월 초, Bitcoin 사이드체인 Liquid Network에서 중대한 보안 사고가 발생했습니다. 공격자는 Elements 소프트웨어의 검증 취약점을 악용해 약 4,000 BTC, 사고 당시 가격 기준 약 3억 2천만 달러 상당의 자산을 빼냈습니다. 주목할 점은 관련 PAK 및 Federation keys 자체는 침해되지 않았다는 것입니다. 이는 더 논의할 가치가 있는 문제를 수면 위로 끌어올렸습니다. 키 자체가 침해되지 않았는데, 왜 발생해서는 안 될 자산 이전이 여전히 시스템을 통과할 수 있었을까요?

유사한 위험은 다른环节에서도 나타났습니다. 8월에는 공격자가 Cosmos EVM의 핵심 보안 취약점을 악용해 여러 네트워크를 공격했으며, 총 6개 네트워크가 실제로 악용되었습니다. 해당 취약점은 이전에 버그 바운티 프로그램을 통해 이미 보고된 상태였습니다. 7월에는 Triple-A가 사회공학 공격을 당해 공격자가 관련 인원의 자격 증명을 획득하고 운영 환경에까지 침투했으며, 최종적으로 일부 회사 자체 자산이 빼내졌습니다. 다만 고객 자금은 신탁 계좌에 독립적으로 보관되어 침해된 운영 환경과 격리되어 있었기 때문에 영향을 받지 않았습니다.

세 사건의 원인은 각기 다르지만, 공통적으로 더 현실적인 문제를 가리킵니다. 보안 사고는 완전히 피하기 어려울 수 있지만, 코드, 인원, 권한 중 어느 한环节이 뚫렸을 때 위험은 과연 어디에서 멈추는가 하는 점입니다.

진짜 방어해야 할 것은 '침해' 그 자체가 아니라, 위험이 어디까지 갈 수 있는가이다

'공격을 당했는가'보다 더 따져봐야 할 문제는 첫 번째 방어선이 무력화된 후 공격자가 어디까지 갈 수 있는가입니다. 계정 하나가 뚫리는 것만으로 핵심 자산 작업을 완료할 수 있는가? 권한 하나가 뚫리면 더 핵심적인 시스템으로 계속 진입할 수 있는가? 온라인 환경에 문제가 생겼을 때, 실제로 공격 경로에 노출되는 핵심 자산은 얼마나 되는가?

이는 최근 몇 건의 사건이 주는 중요한 시사점이기도 합니다. 한 번의 공격이 최종적으로 얼마나 큰 영향을 미치는지는 공격자가 무엇을 뚫었는지뿐만 아니라, 뚫린 이후 시스템에 남아 있는 방어선이 얼마나 많은지에 달려 있습니다.

만약 계정 하나가 뚫리면 곧바로 핵심 권한에 닿을 수 있고, 온라인 환경에 문제가 생기면 대량의 핵심 자산에 직접 영향을 미칠 수 있다면, 어떤 취약한环节이든 빠르게 확대될 수 있습니다. 반대로 권한, 핵심 작업, 리스크 모니터링, 자산 보관 사이에 다층 격리가 존재한다면, 한 번의 침해가 전면적인 붕괴로 이어지지 않을 수 있습니다.

다시 말해, 한 플랫폼의 보안 능력을 측정하는 것은 '첫 번째 문을 지킬 수 있는가'만 보는 것이 아니라, 첫 번째 문이 뚫린 후에도 뒤에 몇 개의 문이 남아 있는지를 보는 것입니다.

공격 체인을 따라가 보면, BIT의 '다음 문'은 어디에 있는가?

최근 글로벌 디지털 금융 서비스 플랫폼 BIT(구 Matrixport)가 《BIT 신뢰 백서》 V2.0(https://www.bit.com/whitepaper)을 발표했습니다. '첫 번째 방어선이 무력화된 후 무슨 일이 일어나는가'라는 질문을 따라 이 백서를 다시 읽어보면, 주목할 만한 점은 BIT의 보안 체계가 특정 단일 방어선에 의존하지 않고 신원, 권한, 작업, 자산 사이에 다층 보호를 설정한다는 것입니다.

예를 들어 계정 자격 증명이 탈취되었다고 해서 공격자가 핵심 자산 작업을 완료할 모든 권한을 갖는 것은 아닙니다. 백서에 따르면 BIT는 최소 권한 원칙을 통해 직원이 접근할 수 있는 시스템과 작업 범위를 제한하며, 자산 이전, 계정 보안, 권한 변경, 거래 지시 생성 및 심사 등 핵심 작업에는 최소 두 명의 권한 있는 인원이 공동으로 참여해야 합니다. Cactus Custody를 예로 들면, 이러한 계층화 사고는 기관급 디지털 자산 커스터디场景으로도 확장됩니다.

신원 인증을 통과했다고 해서 이후 작업이 내내 '청신호'인 것도 아닙니다. 비정상 로그인, 비정상 기기, 비정상 출금 등의 행위에 대해 BIT는 지속적으로 모니터링하며, 자산 측면에서는 대부분의 디지털 자산을 콜드 월렛에 보관해 온라인 환경에 문제가 생겼을 때 핵심 자산의 노출을 더욱 줄입니다.

이 메커니즘들을 함께 놓고 보면 BIT의 보안 논리는 더욱 직관적이 됩니다. 신원 하나가 뚫렸다고 해서 모든 권한을 얻는 것은 아니며, 권한 하나를 얻었다고 해서 핵심 작업을 독립적으로 완료할 수 있는 것은 아니고, 신원 인증을 통과했다고 해서 이후 행위가 더 이상 리스크 판단을 받지 않는 것도 아니며, 온라인 환경에 문제가 생겼다고 해서 모든 핵심 자산이 동시에 노출되는 것도 아닙니다.

한 번의 공격이 최종적으로 어디까지 갈 수 있는지를 실제로 결정하는 것은 바로 이러한 '아니다'입니다. 이는 어떤 공격이든 완전히 피할 수 있다는 뜻은 아니지만, 어느 한 방어선에 문제가 생기더라도 뒤에서 여전히 이상을 식별하고 권한을 제한하거나 리스크를 격리할 기회가 있다는 뜻입니다.

보안의 격차는 많은 경우 첫 번째 문이 뚫린 뒤에 숨어 있습니다.

리스크를 발견했을 때, 누가 진짜로 '정지 버튼'을 누릴 권한이 있는가?

하지만 기술적 방어선이 몇 겹 더 있다고 해서 전부는 아닙니다. Cosmos EVM 사건에서 주목할 만한 세부 사항은 해당 취약점이 이전에 버그 바운티 프로그램을 통해 이미 보고되었지만, 당시 파악된 정보에 따르면 처음에는 알려진 프로덕션 네트워크 구성에서 자금 손실을 초래하지 않을 것으로 판단되었다는 점입니다.

이는 또 하나의 자주 간과되는 문제를 드러냅니다. 리스크를 발견했다고 해서 리스크가 이미 정확히 평가되고 충분히 처리된 것은 아닙니다.

취약점이 제출된 후 누가 그것이 얼마나 심각한지 판단하는가? 보안 팀이 리스크를 수용할 수 없다고 판단하면, 그들은 제품 출시를 계속 막을 권한이 있는가? 비즈니스 진행과 보안 판단이 충돌할 때 누가 최종 결정권을 갖는가?

《BIT 신뢰 백서》 V2.0에 따르면, 제품 방안, 요구사항, 아키텍처 또는 출시 변경에 중대한 보안 리스크가 있거나 보안 기준선 및 컴플라이언스 요구사항에 부합하지 않을 때 보안 팀은 '거부권'을 가지며, 관련 활동을 일시 중지하고 시정 및 재심사를 요구한 후에야 계속 진행할 수 있습니다.

이 메커니즘에서 진짜 주목할 만한 점은 승인 절차가 하나 더 늘었다는 것이 아니라, 매우 실제적인 질문에 답한다는 것입니다. 리스크가 실제로 나타났을 때 '아니오'라고 말할 권한을 가진 사람이 있는가? 보안 체계에 있어 문제를 발견하는 능력도 중요하지만, 보안 판단이 실제로 비즈니스 의사결정에 영향을 미칠 수 있게 하는 것 역시 하나의 방어선이 제도에만 적혀 있는지, 아니면 실제로 작동할 수 있는지를 결정합니다.

비즈니스가 복잡해질수록 '보안'은 지갑 속 자산만이 아니다

디지털 금융 플랫폼이 디지털 자산, 미국 주식, RWA 등 서로 다른 유형의 자산과 금융 인프라를 동시에 연결하기 시작하면, 보안 문제는 더 이상 지갑과 계정 차원에서만 발생하지 않습니다. 자산을 누가 처리하는지, 어떤 기관을 거치는지, 어디서 청산되고 보관되는지도 사용자가 리스크를 판단하는 중요한 부분이 됩니다.

이는 《BIT 신뢰 백서》 V2.0이 보안과 신뢰 체계를 더욱 확장해 설명하는 부분이기도 합니다. 리스크 관리와 보안 조치 외에도 백서는 서로 다른 비즈니스 주체에 대응하는 규제, 감사 및 독립 검증 방안을 공개해 외부가 더 나아가 판단할 수 있게 합니다. 누가 무엇을 책임지는지, 어떤 메커니즘이 검증 가능한지, 그리고 이러한 메커니즘이 어디까지 커버하는지를 말입니다.

BIT 미국 주식 비즈니스를 예로 들면, 그 증권 비즈니스는 Matrix Gelephu Pte. Ltd.가 운영하고 GFSO의 규제를 받으며, 관련 비즈니스는 동시에 미국 면허 금융기관 및 이에 상응하는 청산, 보관 인프라와 연결됩니다.

일반 사용자에게 이러한 복잡해 보이는 금융 arrangement는 결국 몇 가지 매우 간단한 질문으로 귀결될 수 있습니다. 내 자산은 누가 처리하는가? 어떤环节을 거치는가? 서로 다른 기관은 각각 무엇을 책임지는가? 이러한 기관의 신원과 규제 상태를 조회할 수 있는가?

이것이 '검증 가능성'이 진정으로 의미 있는 지점입니다. 보안은 플랫폼이 스스로 말한 것에만 의존할 수 없으며, 사용자와 외부가 무엇을 검증할 수 있는지를 봐야 합니다.

돌이켜 보면 Liquid Network, Cosmos EVM, Triple-A의 세 사건은 진입점이 완전히 달랐지만, 모두 시장에 다음과 같이 상기시킵니다. 어떤 방어선도 결코 무력화되지 않을 것이라고 가정해서는 안 됩니다. 보안 격차를 실제로 벌리는 것은 단일 보안 기술 자체가 아니라, 신원, 권한, 작업, 자산 및 조직 의사결정 사이에 충분한 격리와 견제를 구축해 국부적 침해가 전면적 붕괴로 이어지기 어렵게 만드는 사람일 수 있습니다.

이러한 관점에서 《BIT 신뢰 백서》 V2.0에서 주목할 만한 것은 얼마나 많은 보안 조치를 나열했는지가 아니라, 이러한 조치들이 하나의 완전한 방어선으로 연결될 수 있는지입니다. 한环节에 문제가 생기면 다음 층이 있고, 다음 층에 문제가 생기면 계속해서 리스크를 식별하고 차단하고 격리할 기회가 있습니다.

디지털 자산 플랫폼에게 '한 번도 공격을 당한 적 없음'은 영구적인 약속이 되기 어려울 수 있습니다. 그러나 다른一件事은 지속적으로 구축할 수 있습니다. 진정한 보안은 어느 한 방어선이 무력화되더라도 한 번의 침해가 쉽게 전면적 붕괴로 이어지지 않게 하는 것입니다. 그리고 이러한 방어선이 존재할 뿐만 아니라 외부에서 지속적으로 검증될 수 있을 때, '신뢰'는 비로소 플랫폼이 스스로 내뱉은 말에 그치지 않게 됩니다.