검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'가상자산월렛'통합검색 결과 입니다. (3건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

디센트 월렛 해킹 보름째…피해자 배상안은 '아직'

디센트 앱 월렛(지갑)에서 해킹 사고가 발생한 지 보름 가까이 지났지만 운영사 아이오트러스트가 피해자 배상 방안 마련에 미온적 태도를 보이고 있다. 일부 피해자들은 회사 측에 직접 피해사실을 입증하고 배상을 요구하고 있지만 회사 측은 명확한 답변을 내놓지 않는 상태다. 29일 아이오트러스트 관계자는 지디넷코리아와의 통화에서 피해자 배상과 관련해 “아직 논의할 단계가 아니다”라며 “자문 변호사에게 문의해 놓은 상태”라고 밝혔다. 앞서 아이오트러스트는 지난 16일 디센트 앱 월렛 이용자로부터 비정상적인 자산 이동 신고를 접수한 뒤 해킹 사실을 인지하고 긴급 조사에 착수했다. 회사 측은 구체적인 피해 규모를 공개하지 않고 있지만 글로벌 온체인 업계에서는 리플 1000만개 이상이 탈취된 것으로 추정하고 있다. 이밖에 비트코인, USDT, 트론 등도 유출된 것으로 파악됐다. 그럼에도 회사 측은 현재까지 피해 이용자들에게 구체적인 배상 계획을 안내하지 않고 있다. 이용자가 직접 지갑을 통제할 수 있는 개인키를 가진 비수탁형 월렛 서비스인 만큼, 이용자 회원가입이나 고객확인 절차를 거치지 않아 해킹된 지갑의 실제 소유주를 식별하기 어렵다는 이유에서다. 아이오트러스트 관계자는 “서비스가 회원가입 형태도 아니고 고객 자산을 위탁받는 것도 아닌 만큼 실제 피해자인지 확인할 방법이 없다”며 “비수탁형 월렛 특성상 지갑 소유주를 식별하기 어렵다”고 주장했다. 전문가들은 비수탁형 월렛 특성상 사업자가 회원정보를 보유하지 않아 피해자를 즉각 식별하기 어렵다는 점에는 동의하면서도, 피해자 확인과 배상은 별개 문제라고 지적한다. 황석진 동국대 교수는 “블록체인 특성상 거래내역이 온체인에 남기 때문에 피해 지갑에 대한 기술적 분석이 가능하다”며 “피해자 신고를 접수하고 온체인 분석을 통해 해당 지갑 주소와 이번 해킹 연관성을 선제적으로 검증해야 한다”고 말했다. 이어 “회원정보가 없어 피해자를 파악할 수 없다고 단정하기보다 피해 이용자가 스스로 해당 지갑에 대한 통제권과 피해 사실을 입증할 수 있도록 하고, 이를 토대로 배상안을 마련할 필요가 있다”고 덧붙였다. 해외에서는 월렛 해킹 사고가 발생한 뒤 피해자들에게 배상 방안을 공개하고 피해 접수를 진행한 사례가 있다. 글로벌 가상자산 거래소 비트겟의 월렛은 지난 2022년 12월 해킹으로 약 800만 달러 상당 가상자산이 탈취됐다. 사고 이후 회사는 피해 이용자에 대한 배상 계획을 마련했으며 이후 피해 월렛에 대한 배상을 완료했다. 비트겟은 최근 발생한 대규모 해킹에서도 피해자 배상 방침을 밝혔다. 지난 24일 해킹으로 3억 5160만 달러 규모 가상자산이 유출되자 피해액 전액을 자체적으로 조성한 이용자보호기금을 통해 충당하겠다는 입장을 내놨다. 비수탁형 월렛 세컨드파이(SecondFi)에서도 지난 6월 374개 월렛에서 가상자산 에이다(ADA) 약 1610만개가 탈취되는 사고가 발생했다. 자체 조사 결과 월렛 소프트웨어가 거래 서명을 생성하는 과정에서 암호학적 결함이 근본 원인으로 확인됐다. 세컨드파이는 피해 이용자가 월렛 소유권을 증명하고 피해 자산을 청구할 수 있는 회수 절차를 마련했다. 한편 디센트 해킹으로 피해를 본 일부 국내 이용자는 경찰에 피해 사실을 신고한 상태다. 디센트 측에도 고객센터 이메일을 통해 피해 내용을 전달했지만 현재까지 답변을 받지 못한 상태다.

2026.09.29 11:26홍하나 기자

[단독] 디센트 월렛 자산유출 110건으로 늘어…전문가 "개인키 난수생성 문제"

아이오트러스트 모바일 월렛(지갑)에서 비정상적인 자산 유출이 늘고 있다. 회사는 공격자가 이용자 월렛의 개인키를 유추했을 가능성을 유력하게 들여다보고 있다. 18일 아이오트러스트에 따르면 현재까지 디센트 앱 월렛에서 비정상적인 자산 이동 관련 이용자 신고는 약 110건 접수됐다. 지난 16일 디센트 앱 월렛에서 비정상적으로 자산이 이동했다는 이용자 신고가 접수됐던 시기 알려진 국내외 피해 규모보다 5배 늘어났다. 당시만 하더라도 피해 규모는 국내외 이용자 약 20명, 1억 5000만원 상당 리플(XRP)이 이동했다고 확인됐으나, 신고가 이어지면서 피해 규모도 확대되고 있다. 아이오트러스트는 정확한 유출 규모를 파악 중이다. 유출 자산은 리플이 대부분을 차지하는 가운데 비트코인·테더·트론(TRX) 등도 포함됐다. 해당 자산은 현재 해커 소유로 추정되는 지갑 11개에 분산돼 있으며, 회사는 경찰청 사이버수사대와 국내외 가상자산 거래소 등에 해당 주소 자산 동결을 요청한 상태다. 다만 지난 16일 이후로 접수된 모든 비정상적 자산 이동이 해킹 공격과 연관된 것인지 회사 측이 조사 중에 있다. 해킹 원인, 단순한 방식의 '난수 생성' 유력 회사는 현재 가장 유력한 해킹 원인으로 과거 버전 모바일 앱 월렛의 난수 생성 문제를 들여다보고 있다. 그 중 지난해 11월 5일 이전 버전 앱 지갑에서 문제가 있는 것으로 파악했다. 앱 월렛을 만들면 복구키인 니모닉 코드가 생성되는데, 월렛 앱을 삭제하더라도 이 코드만 있다면 다른 기기에서 같은 월렛을 복구할 수 있다. 니모닉 코드는 복잡한 숫자로 이뤄진 난수를 기반으로 한다. 이때 충분히 예측하기 어려운 난수가 생성돼야 공격자가 개인키를 역산하거나 추측하기 어렵다. 이를 위해선 난수 생성에 사용되는 변수가 충분해야 하는데, 실제 생성 가능한 값의 범위가 좁아지면 공격자가 개인키를 유추할 가능성이 커진다. 즉, 아이오트러스트의 앱 월렛은 난수 생성 변수가 상대적으로 단순했을 가능성이 제기된다. 실제로 최근 인공지능(AI) 활용도가 높아지면서 해커의 난수 예측 가능성도 높아졌다는 것이 회사 측 설명이다. 전문가들도 난수 생성 방식에 문제가 있었을 가능성에 동의했다. 오현옥 한양대 공대 교수는 “가장 의심되는 것은 과거 앱에서 니모닉 코드를 만들거나 거래에 서명할 때 사용한 난수가 충분하지 않았을 가능성이 있다”며 “가상자산 지갑은 처음에 매우 예측하기 어려운 난수를 만들어 복구 문구와 개인키를 생성해야 하는데, 이 난수의 실제 복잡도가 낮았다면 공격자가 가능한 후보를 계산해 개인키를 찾아낼 수 있다”고 분석했다. 황석진 동국대 교수도 “피해 지갑이 특정 구버전에 집중됐다면 난수 생성이나 시드 생성 과정 취약 가능성을 면밀히 검증할 필요가 있다”며 ”다만 아직 원인이 확정되지 않은 만큼 피싱이나 개인키 유출 가능성도 함께 조사해야 한다”고 설명했다. 스미싱으로 인한 니모닉 코드 유출 가능성도 또 다른 해킹 원인 가능성으로 스미싱을 통한 니모닉 코드 유출이 거론된다. 앞서 지난 12일 하드웨어 월렛 펌웨어 업데이트를 사칭한 스미싱에 주의하라는 경고가 텔레그램 등 소셜네트워크서비스(SNS)를 통해 확산됐다. 회사 내부 조사 결과에 따르면, 공격자는 이용자들에게 디센트, 렛저 등 하드웨어 월렛 제조사를 사칭한 문자메시지를 보내 피싱 사이트 접속을 유도한 뒤 니모닉 입력이나 지갑 연결, 트랜잭션 서명 등을 요구해 자산을 탈취했을 가능성이 나온다. 회사가 이용자 제보를 토대로 해당 사이트 접속을 시도했을 당시에는 이미 사이트가 폐쇄된 상태였다. 아이오트러스트 관계자는 “이용자가 스미싱 문자를 통해 관련 정보를 입력했을 가능성도 배제하기 어렵다”며 “다만 현재 스캠을 이번 해킹 1차적인 원인으로 보고 있지는 않다”고 말했다. 회사 “하드웨어 월렛은 영향 없어” 아이오트러스트는 이번 해킹이 디센트 하드웨어 월렛과 무관하다는 점을 강조했다. 앱 월렛과 하드웨어 월렛은 개인키와 난수를 생성·관리하는 보안 구조가 다르기 때문이다. 모바일 앱 등 인터넷에 연결된 핫월렛은 소프트웨어가 제공하는 암호학적 난수 생성 기능 등을 이용해 난수를 만든다. 이때 주 재료로 활용하는 것이 난수 생성 시간이다. 반면 하드웨어 월렛은 전용 보안칩의 하드웨어 난수 생성기 등을 이용해, 소프트웨어 대비 칩 온도나 이물질 유무 등 훨씬 많은 변수를 활용하는 것이 특징이다. 또 개인키를 외부로 노출하지 않은 채 거래 서명을 처리하도록 설계됐다. 프랑스 하드웨어 월렛 기업 렛저의 '렛저 나노 X', '렛저 스택스' 등도 이러한 하드웨어 월렛에 해당한다. 오현옥 교수는 “디센트 하드웨어 월렛은 EAL6+ 인증 보안칩 내부에서 난수 생성과 개인키 보관, 서명 등을 처리하는 구조이기 때문에 앱 월렛과 보안 구조가 다르다”며 “현재까지 공개된 내용만으로는 하드웨어 월렛의 보안칩 자체가 공격당했다고 보기는 어렵다”고 설명했다. 오 교수는 “하드웨어 월렛에서 생성한 복구 문구를 앱 월렛에 직접 입력했다면 그 순간부터 앱 쪽 보안 문제 영향을 받을 가능성이 있다”고 또 다른 가능성을 제시했다. 전문가 “구버전 앱 난수·개인키 처리 과정 살펴봐야” 복구 문구를 생성할 때 사용된 난수뿐만 아니라 거래 서명 과정에서 사용되는 난수와 개인키 처리 과정 전반을 조사해야 한다는 제언도 나온다. 오현옥 교수는 “아이오트러스트가 구버전 월렛 앱에서 실제 송금이나 서명을 한 지갑까지 위험 대상으로 보고 있는 점을 고려하면 복구 문구 생성에 사용된 난수뿐 아니라 거래 서명에 사용된 난수나 서명 과정에서 개인키를 처리하는 방식에 문제가 있었는지도 함께 확인할 필요가 있다”고 말했다. 스미싱 역시 실제 공격 시도일 가능성이 있지만 이번 자산 유출의 직접적인 원인이라고 단정하기는 어렵다고 봤다. 오 교수는 “피해자들의 공통점이 과거 버전 앱 월렛을 사용했다는 점이라면 앱 자체 취약점 가능성을 우선적으로 조사할 필요가 있다”고 강조했다. “자산, 안전한 하드웨어 월렛으로 옮겨야” 아이오트러스트는 디센트 앱 월렛 이용자들에게 보유 자산을 안전한 하드웨어 월렛으로 이전할 것을 권고하고 있다. 아이오트러스트 관계자는 “가장 중요한 것은 이용자들에게 안전조치를 안내하는 것”이라며 “디센트 월렛 앱에 자산을 보유한 이용자들에게 자산을 하드웨어 월렛으로 옮겨달라고 당부하고 있다”고 말했다. 황석진 동국대 교수도 “비수탁형 지갑은 탈취 후 회수가 매우 어렵기 때문에 위험 버전을 신속히 특정하고 이용자에게 새 지갑으로 자산을 이전하도록 안내하는 것이 우선”이라고 강조했다.

2026.09.18 12:20홍하나 기자

은행·이커머스와 컨소시엄 만드는 토스…"스테이블코인, 유통 방점"

토스(비바리퍼블리카)가 원화 스테이블코인 사업에 출사표를 던졌다. 단순 발행 경쟁 대신 '유통 동맹' 전략을 꺼내 들었다. 최대한 많은 사업자를 컨소시엄에 끌어들여 스테이블코인 사용처와 유통망을 선점하겠다는 구상이다. 서창훈 토스 신사업 담당 상무는 지난 7일 서울 강남구 토스 사무실에서 기자와 만나 원화 스테이블코인 컨소시엄 구상과 사업 전략을 설명했다. 토스가 유통 전략에 무게를 둔 배경에는 미국과 다른 국내 시장 구조가 있다. 국내는 미국처럼 단기 국채 기반 이자수익을 크게 기대하기 어려운 만큼, 발행 자체보다 스테이블코인이 얼마나 넓게 쓰이느냐가 더 중요하다고 본 것이다. 결국 승부는 '발행량'이 아니라 '유통력'에 달렸다는 판단이다. 이를 위해 토스는 가능한 많은 사업자가 참여하는 발행 컨소시엄 구성을 추진하고 있다. 특히 자금 흐름과 맞닿아 있는 은행, 캐피탈사 등 금융권, 실제 소비가 일어나는 이커머스 업계와 협업을 핵심으로 보고 있다. 서 상무는 “현재 국내 은행 대부분을 만나고 있다”며 “캐피탈, 이커머스 등과 컨소시엄 구성을 위해 접촉 중”이라고 말했다. 토스는 이들 업체와 기술 검증을 거쳐 원화 스테이블코인 컨소시엄 동맹을 구축할 계획이다. 다만 컨소시엄 최대주주가 되기보다 최소 지분만 확보해 더 많은 사업자 참여를 유도하겠다는 전략이다. 한 회사가 높은 지분율을 보유하면 다른 파트너사 진입이 어려워질 수 있다는 판단에서다. 참여 기업이 많아질수록 컨소시엄이 발행한 스테이블코인 유통 경로도 자연스럽게 확대될 수 있다는 계산이다. 아울러 토스는 스테이블코인 유통 활성화 전략 일환으로 토스뱅크, 토스증권, 토스페이먼츠 등 11개 관계사, 계열사 생태계도 적극 활용할 계획이다. 다만, 계열사와 컨소시엄에 공동으로 참여할지, 토스가 대표로 단독 참여할지 여부는 검토 중이다. 서 상무는 “향후 컨소시엄 사업자 공고가 나오면 본격적으로 고민해야 할 일”이라며 “토스는 계열사와 한 팀으로 원화 스테이블코인 사업을 함께 한다는 철학을 갖고 있다”고 밝혔다. 지갑 서비스 위해 VASP 취득 검토 토스는 가상자산사업자(VASP) 자격 취득 가능성도 내비쳤다. 다만 가상자산 거래소보다는 지갑(월렛) 서비스에 초점을 맞출 계획이다. 서 상무는 “토스는 송금, 지급결제 서비스로 시작한 사실상 웹2 지갑 회사”라며 “블록체인 지갑 서비스를 하려면 VASP가 필요한데 직접 할지, 관련 업체 인수를 통해 취득할지 고민해봐야 할 것 같다”고 말했다. 토스는 지난 3월 관련 조직을 꾸려 지갑 서비스 기술 검증을 진행 중이다. 향후 VASP 자격을 세분화한 디지털자산기본법 윤곽이 드러나면 구체적인 사업 청사진을 마련할 방침이다. 글로벌 블록체인 사업자와 협업 추진 토스는 글로벌 블록체인 사업자와 협업도 논의 중이다. 향후 스테이블코인이 국경 간 무역대금 정산 등에 활용될 경우 다양한 블록체인 네트워크 지원이 필수적이라는 판단에서다. 협업 대상으로는 자체 레이어를 보유한 이더리움, 솔라나, 아발란체, 수이 등이 거론된다. 다만 자체 레이어(L) 구축 여부에 대해서는 컨소시엄 차원에서 논의할 사안이라며 선을 그었다. 서 상무는 “자체 레이어를 만든다면 컨소시엄에서 하는 것이 가장 좋을 것 같다”며 “L1을 만들기보다 특화 L2, L3를 만드는 것을 고려해볼 수 있다”고 말했다. 스테이블코인 기반 신사업 구상 토스는 스테이블코인 사업을 계기로 블록체인 기반 신사업 확장이 가능할 것으로 기대하고 있다. 그 중에서도 블록체인 기술과 원화 스테이블코인이 결합되면 인공지능(AI) 에이전트 결제 서비스 구현이 가능하다. 예를 들어 이용자가 토스에 “올 8월 1박에 15만원 선에서 호캉스를 즐길 수 있는 호텔을 2박 3일 일정으로 예약해줘”라고 명령하면 AI가 조건에 맞는 숙박시설을 찾고 결제·예약까지 처리하는 방식이다. 또 토스에서 “특정 업무를 위한 보고서를 작성해줘”라고 요청하면 AI가 자료를 찾는 과정에서 유료 기사나 리포트를 단건 결제해 정보를 활용해 보고서를 작성할 수 있다. 토스는 궁극적으로 탈중앙화 애플리케이션(디앱, dApp) 생태계 구축도 지향하고 있다. 그 중심에는 토스에 미니 앱을 올릴 수 있는 오픈 플랫폼 '앱인토스(App in Toss)'가 있다. 개발자는 토스에서 게임·쇼핑·교육 등 다양한 미니앱을 선보이고, 이용자는 스테이블코인 결제를 통해 앱 내 구매 등을 이용하는 구조다. 수익화 가능성도 기대하고 있다. 송금·지급결제 등 웹2 기반 지갑 서비스를 제공 중인 토스는 지난 2021년 8월 무료 송금 서비스를 시작한 이후 매월 30억~40억원 규모 수수료 비용을 부담하고 있다. 이 인프라를 기반으로 증권 등 부가 서비스에서 수익을 내고 있는 것처럼, 향후 지갑 서비스를 기반으로 한 신사업 수익화가 가능할 것으로 보고 있다. 서 상무는 “토스는 지급결제 인프라를 만든 뒤 이용자 대신 송금 수수료를 내며 다른 사업으로 돈을 벌고 있다”며 “마찬가지로 블록체인이 토스의 차세대 인프라가 될 것”이라고 전망했다.

2026.05.26 17:55홍하나 기자