"최근 블록체인 기술을 활용한 '탈중앙화 금융(DecentralizedFinance‧DeFi)' 서비스 해킹 사건이 발생하면서 보안 대책 마련이 시급하다는 목소리가 나온다.
지난달 초 국내에서는 처음 발생한 디파이 해킹에'BGP하이재킹(Hijacking)'이라는 다소 생소한 기법이 사용된 것으로 알려지면서 조사 결과에 관심이 쏠린다.
해킹 [사진=픽사베이]
4일 보안업계에 따르면 한국인터넷진흥원(KISA) 등은 국내외 수사기관과 해외 인터넷 서비스 제공사(ISP)와의 공조를 통해 '클레이스왑(KLAYswap)' 해킹 사건을 조사하고 있다.
KISA관계자는 "당시BGP하이재킹이라는 기법이 사용된 것으로 추정됐지만 명확하게 어떤 방식이 이용됐는지는 아직 조사하고 있다"며 "해외 기관과도 공조 중"이라고 말했다.
앞서 지난달 국내 탈중앙화 거래소 클레이스왑에서22억원 상당의 가상자산이 해커에게 탈취당하는 사건이 발생했다. 클레이스왑에서 공개한 사고 리포트(IncidentReport)에 따르면 2월 3일 오전11시31분(한국시간 기준) 클레이스왑UI를 통해 토큰(암호화폐) 관련 기능을 실행했을 때 토큰이 특정 지갑으로 전송됐다.
사고 원인으로는 외부 네트워크망 공격으로 파악됐다. 사용자가 파일 요청 시 정상적인 서버가 아닌 공격자가 구축한 제3의 서버로 연결돼 악성 파일이 다운로드된 것으로 나타났다. 해커는 사용자 요청에 대해 토큰을 직접 보내거나 사용 승인하도록 변경하는 악성 파일을 제작한 것으로 분석됐다.
이번 해킹으로 총325개 지갑에서407개의 비정상적 트랜잭션(Transaction)이 발생했고,20억원이 넘는 가상자산이 탈취된 것으로 파악됐다.
공격자는BGP하이재킹 기법을 사용한 것으로 추정됐다.ISP를 해킹해 정상적인 서버로 가는 요청을 해커가 만든 서버로 우회시키는 방식이다.
문종현 이스트시큐리티ESRC센터장은 "BGP하이재킹이 확실하다면 파급력이 있는 공격 기법이기 때문에 국가적 차원에서 이번 사건을 면밀히 들여다봐야 한다"며 "이번 해킹 이슈과 비슷한 사건은 국내에서는 거의 보고된 적 없고 해외에서 간헐적으로 발생했던 사례"라고 말했다.
문 센터장은 또한 "악성 파일 공유가 잘 이뤄지지 않고 있다는 점에서 민간 보안업체 입장에서는 크로스체크가 어려운 상황"이라며 "해당 기법이 사용됐다면ISP측에 보안 지침을 내리는 등의 조치부터 취해야 한다"고 강조했다.
신동휘 스틸리온 부사장은 "가상자산 탈취 액수 등 피해 규모를 떠나 이번 사건은 국내에서 처음 발생한 디파이 해킹이라는 점에서 의의가 있다고 본다"며 "해외ISP공조와 업체 측에서 발표한 보고서에BGP하이재킹이라는 용어가 포함됐다는 점 등을 미뤄봤을 때 해당 기법이 사용된 것이 맞을 것"이라고 말했다.
한편 클레이스왑은 해당 사건에 대한 보상 절차를 밟고 있다. 클레이스왑은 텔레그램 채널을 통해 "지난달 해킹 사건에 대한 1차 보상이 완료됐으며 진행된 보상 프로세스는 2월21일까지 신청된160건의 신청서에 따라 이뤄졌다"고 전했다.
