바이낸스 해킹 사태로 주목받는 코인거래소 건전성 지표는

손실 보전 재원 등 건전성 핵심 지표
"준비금 증명했다고 인출할 수 있지 않아"
가상자산 업체 내부 운용 통제기준도 마련해야

해킹 피해를 본 세계 최대 가상자산 거래소 바이낸스가 도난당한 자산을 메우기 위해 비상 기금 외 다른 재원을 활용한 가운데 거래소가 해킹에 대비해 건전성을 갖춰야 한다는 지적이 나온다.

5일 가상자산 트레저리(DAT) 회사 비트플래닛 리서치랩은 최근 '가상자산 거래소 건전성 진단 : 대규모 해킹 대응과 기관의 운용 리스크' 보고서에서 거래소의 건전성을 평가하는 핵심 지표로 손실 보전 재원·실질 출금 처리 역량·유동성 대응 능력 등 세 가지를 제시했다.

우선 비트플래닛은 바이낸스가 손실 복구에 힘쓰고 있지만 고객이 즉각적으로 인출할 수 있는 정상화 단계까지는 이르지 않았다고 분석했다. 바이낸스는 지난 2일 비트코인·이더리움 등 주요 10개 자산에 대해 100% 이상의 준비율을 기록한 준비금 증명(PoR)을 공개했다. 하지만 3일 기준 해당 10개 주요 자산의 전체 네트워크 조합 72개 중 실제 출금이 가능한 조합은 23개에 불과했다. 이에 대해 비트플래닛은 실제 외부 전송을 담당하는 핫월렛으로 자금을 안전하게 이전하고 보안검증을 마치는 데 물리적인 시간이 걸리기 때문에 즉각적으로 인출 정상화로 이어지지 못한다고 설명했다. 또 준비금 증명 자체는 특정 시점의 자산 보유와 고객 잔액 대비 뒷받침 수준을 확인하는 절차일 뿐 거래소 전체의 잠재 부채나 재무 건전성을 인증하는 수단이 아니라고 덧붙였다.

이에 바이낸스 해킹 사태가 진정됐다고 판단할 수 있는 조건으로 다섯 가지를 제시했다. 전체 자산 보전이 완료됐는지, 주요 네트워크 출금이 정상화됐는지, 대규모 순출금에 대응할 수 있는지, 이용자자산보호기금(SAFU)이 잘 마련됐는지, 사고 원인 및 승인 체계가 개선됐는지를 살펴봐야 한다는 것이다. 우선 해킹 피해 규모인 약 63억달러(8조4527억원)에 맞게 바이낸스는 63억4000만달러의 회사 자금을 배정하고 SAFU의 절반(7499비트코인)과 선물 보험기금 여유분, 자체 법인 자금을 결합해 도난액의 95%를 확보했다. 나머지 저유동성 토큰 5%에 대해서는 장외 매입을 진행 중이다. 비트플래닛은 "해당 미보전 토큰을 예치한 고객들의 인출 지연이 장기화하면 불신이 심화할 수 있다"고 설명했다.

또 출금 가능한 자산이 27개인 상황에서 예치 자산을 안전한 외부 보관처로 이전하지 못하는 병목 현상이 굳어질 우려가 있다고 밝혔다. 현재까지 바이낸스에서 출금된 금액 규모는 약 6조3200억원인데, 출금 허용 범위가 확대될 때 금액 자체가 확대돼 핫월렛 유동성 부담이 커질 가능성도 있다고 분석했다. SAFU 역시 목표 충전액 대비 절반가량이 부족한 만큼 차기 돌발 보안 사고에 대비하기 어려워질 수 있다고 경고했다. 마지막으로 해킹 경로 등 사고 재발을 막는 개선책이 나와야 한다고 강조했다.

비트플래닛은 이번 사태를 계기로 가상자산을 보유한 기업과 기관은 승인 권한 분리 및 비상 인출 경로 확보 등 내부 운용 통제 기준을 정비해야 한다고도 주장했다. 이번 사태가 블록체인 프로토콜이나 개인키 자체의 탈취가 아니라 거래소 내부 운영 환경과 서명 승인 시스템 침해에서 비롯됐다는 점에 주목했다. 운영 시스템 침입자가 최종 출금 승인 권한까지 우회 획득할 수 있는 구조라면 지갑과 체인을 물리적으로 분산하더라도 승인 경로를 공유하는 시스템 전체로 피해가 확산할 수 있음을 보여준 사례라는 것이다.

이에 거래소나 수탁사가 점검해야 할 여섯 가지 기준을 제시했다. 우선 승인 권한을 분리해야 한다고 주장했다. 운영 시스템 접근 권한과 실제 자산 이체 승인 권한을 완전히 분리하고 승인자 간 상호 독립성을 확보해야 한다는 것이다. 대규모 자산 출금이나 지갑 권한을 변경할 때는 복수 승인 절차를 적용해야 한다고도 했다. 시간이나 건수를 누적 합산해 출금 한도를 제한하고 이상 거래를 탐지할 경우 자동 출금 일시 정지 기능을 작동시켜야 한다고 제언했다. 자산을 물리적으로 분산하고 콜드월렛 보관 비중을 관리해야 하며 대체 인출 경로와 예비 유동성을 확보해야 한다고 말했다. 실질 지급 보증 능력·내부 운영 통제·사고 후 서비스 연속성도 검증해야 한다고 주장했다.

오규민 기자 moh011@asiae.co.kr