장현국 넥써쓰 대표 인터뷰
지갑 주소·거래 대금 등 투명히 공개돼
관리자 부주의로 탈취 당하기 쉬워
공격자들, 주로 피싱 공격, 웹페이지 해킹
"가상자산 해킹 사례를 살펴보면 기술적인 문제라기보다는 부주의한 키 관리, 주소 입력 실수가 대부분이다. 또한 투명히 공개된 지갑 주소를 보고 피싱을 통해 PC를 해킹하는 방식이다."
장현국(사진) 넥써쓰 대표는 최근 본지와의 인터뷰에서 가상자산에 대한 해킹 공격은 블록체인의 기술적인 문제보다는 인재에 가깝다며 이같이 밝혔다.
장 대표는 게임업계 1세대 인물로 1996년 넥슨에 입사하며 업계에 발을 디뎠다. 위메이드 재직 시절인 2018년부터 블록체인의 유망함을 내다보고 게임 사업에 뛰어들었다. 지난해 말 넥써쓰에 합류한 장 대표는 블록체인 게임 플랫폼을 지향하며 사업을 키워나가고 있다.
넥써쓰는 가상자산 '크로쓰'를 발행하고 있으며 외부 블록체인 게임사와 연계한 블록체인 생태계를 조성하고 있다. 크로쓰는 지난달 퍼블릭·프라이빗 세일을 진행하며 준비했던 2억개의 물량 중 92%를 판매했다.
블록체인 게임 및 플랫폼 사업자들은 저마다 서비스와 연계된 가상자산을 보유하고 있으며 대부분 이를 가상자산 거래소에 상장해왔다. 가상자산들은 해커들의 공격 대상이다. 랜섬웨어를 비롯한 고도화된 사이버 공격을 하지 않더라도 손쉽게 자산을 탈취할 수 있어 공격자 입장에서 매우 효율적이기 때문이다.
해킹으로 인한 자산 탈취가 가상자산의 거래지원 종료 대표 사유 중 하나. 거래자가 누군지, 거래되는 금액은 얼마인지 등을 누구나 쉽게 확인할 수 있다는 가상자산의 차별점을 공격자들이 악용하는 것이다.
대표적으로 위메이드가 자체 발행한 위믹스는 지난 2월 해킹 공격으로 86억원 가량의 물량을 탈취당했으며 이로 인해 국내 가상자산 거래소의 거래지원이 종료됐다.
장 대표는 지속 발생하는 가상자산에 대한 공격은 기술적인 허점보다는 사람의 실수가 탈취의 원인이라고 진단했다.
장 대표는 "가상자산 공격 사례가 늘어날 수록 블록체인의 보안성에 대한 실망감이 커져가고 있지만 블록체인 시스템 자체가 뚫리는 것이 아니다"라며 "블록체인 간 연결되는 부분을 비롯해 블록체인이 아닌 곳에서 문제가 생기거나 키 관리, 주소 관리를 잘못해서 공격을 받기도 한다"고 설명했다.
이 장 대표는 "공격자는 거래 당사자의 정보를 파악해 PC나 자산 전송 과정의 웹페이지를 해킹하는 방식으로 공격하고 있다. 또한 지갑 주소가 매우 길다는 점을 악용한다"면서 "사실 지갑 주소의 앞뒤만 확인해도 충분히 예방 가능한 문제이며 한 번에 거래 가능한 금액을 제한한다면 문제될 일이 없다"고 덧붙였다.
넥써쓰는 전사 인원의 약 20%에 해당하는 인력을 인프라 보안에 투입했으며 블록체인 외적으로 문제가 될 수 있는 요인들을 제거하는 데 힘썼다.
장 대표는 "전용 공간을 따로 만들었고 하나의 작업을 처리하려면 의사결정자 5인이 시간을 맞춰야 하고, 개인적으로는 가상자산 거래 전용 PC를 들고 다닌다"며 "블록체인 업계가 보안이 체계적인 은행과 같은 체계가 잡혀가는 과정에 있다고 생각한다. 앞으로 해킹이 더욱 많이 일어날 가능성이 있으니 더욱 경계하고 블록체인 외적인 보안에 신경써야 한다"고 제언했다.
장 대표는 새 정권의 블록체인 진흥책에 대한 기대감도 나타냈다. 국내 가상자산 시장이 거래 기준으로 전 세계 3위 시장인 만큼 정치권도 관련 정책을 중요하게 보고 있다.
장 대표는 "현재 모든 공약이 거래 위주인데 거래만 발달하는 건 기형적인 구조"라며 "블록체인은 변조가 불가능하므로 전 세계의 국가의 정보 시스템은 결국 블록체인으로 전환될 것이라고 생각하며 여기서 오는 산업적인 기회가 분명하다"고 말했다. 이어 그는 "블록체인 인프라를 국가 차원에서 잘 만들어두면 동남아시아를 비롯한 저개발 국가에 인프라를 수출할 수 있다. 국가적인 블록체인 전략과 이를 뒷받침할 산업 전략이 있어야 한다"면서 최태원 SK 회장이 제안했던 메가 샌드박스의 필요성을 주장했다.
그는 "정부 주도 산업 정책은 끝났다고 본다. 지식정보화 시대에는 정부 주도의 산업 육성이 더 이상 유효하지 않다"며 "사업자들이 사업 아이디어를 자유롭게 할 수 있도록 허용하돼 예상 가능한 피해가 발생할 시 책임을 강하게 묻는 방식으로 해야 한다"고 말했다. 이어 "한국은 법이 있어도, 없어도 사업을 하지 못하는 경우가 많다. 사회적인 손실이 발생했을 때 책임을 질 수 있는지 등 자격 검증을 확실히하며 샌드박스를 운영하면 된다"고 부연했다. 김영욱기자 wook95@dt.co.kr
