[디지털데일리 최민지기자] 가상화폐 광풍이 불고 있다. 비트코인 가격은 2000만원을 넘어섰고, 미국에서는 한 때 1만9000달러를 기록했다. 올해에만 20배 이상 오른 비트코인 가격에 가상화폐를 향한 투자자들의 눈길이 쏠리고 있다.

하지만 가상화폐는 법적규제 등 안전장치가 없어 피해자가 발생해도 이용자를 보호하기 어렵다. 해커가 가상화폐 지갑을 털어 비트코인을 모두 빼내간다 해도 최소한의 법적 보상한도도 없다는 말이다.

실제로 사이버범죄자들은 가상화폐를 새로운 공격대상으로 주목하고 있다. 시만텍, 이글루시큐리티, 포스포인트 등 보안기업들도 내년 보안위협 전망에서 ‘가상화폐 공격’을 한 목소리로 꼽았다.

시만텍에 따르면 블록체인은 이제 전자화폐 이외의 은행 간의 결제나 사물인터넷(IoT)을 활용한 용도로도 사용되기 시작했다. 아직까지는 초기 단계로, 대다수 사이버 범죄자들의 공격 대상은 아니다.

사이버 범죄자들은 블록체인 자체를 공격하기보다는 상대적으로 공격이 쉽고 수익성이 높은 비트코인 거래나 사용자의 비트코인 지갑을 가로채는 것에 주력할 것이다. 사이버 범죄자들은 피해자들을 속여 피해자들의 컴퓨터나 모바일 기기에 코인채굴기 등을 설치하도록 유도하고, CPU 등 컴퓨터 리소스에 대한 접근을 확보한다는 예측이다.

이글루시큐리티는 가상화폐를 노리는 랜섬웨어가 지능형지속위협(APT) 공격과 결합할 것으로 내다봤다. 특유의 익명성으로 가상화폐의 가치가 급격히 상승함에 따라, 랜섬웨어 복호화 대가를 지급하는 지불결제 수단으로 쓰이는 가상화폐를 노리는 랜섬웨어 위협은 변함없이 지속된다.

포스포인트도 가상화폐 거래 사용자를 대상으로 한 멀웨어가 급증하고, 사이버범죄자들은 블록체인 기반 기술을 적용한 시스템의 취약성에 주목할 것이라고 내다봤다. 해커들이 가상화폐를 통해 수익을 만들려고 하면서도 범죄에 악용하기 시작했다는 것이다.

실제로 가상화폐 관련 보안위협은 올해에도 수차례 나타났다. 최근에는 입사 지원, 중고 물품 구매, 택배 배송 등의 내용으로 가상화폐를 채굴하는 악성코드가 유포된 바 있다.

기업의 인사담당자에게 이력서로 위장한 메일을 보내거나 중고 물품을 파는 판매자에게 구매 의사가 있다는 내용으로 수신인 맞춤형으로 메일을 발송했다. 악성코드를 실행할 경우, 자신을 숨기기 위해 윈도 정상프로세스를 실행하고 악성코드를 인젝션한 후 모네로 코인을 채굴한다.

가상화폐 채굴회사의 전자지갑도 해킹당했다. 나이스해시는 지난 7일 비트코인 전자지갑을 도난당했다고 밝혔는데, 업계에서는 피해규모를 약 6000만달러(한화 약 655억)로 추정하고 있다.

지난달 21일에는 가상화폐 테더(tether)가 해킹 공격으로 3000만달러(한화 약 338억원) 상당의 디지털 토큰을 도난당했다. 비트코인 거래소 야피존은 거래소에 보관 중인 코인지갑 4개를 탈취당했는데, 피해규모는 3831비트코인으로 당시 약 55억원에 해당한다.

지난해에는 홍콩 비트코인 거래소인 비트피넥스가 해킹공격을 받아 6500만달러(약 725억원) 피해를 입었고, 2015년에도 가상화폐 비트코인 거래소 비트스탬프가 해킹으로 1만9000비트코인을 도난당했다.

국내 가상화폐 거래소 코인이즈는 지난 9월 가상화폐 해킹으로 거래소 운영을 중단했는데, 11월 서비스를 재개하면서 피해 회원들에게 현금과 쿠폰을 통해 가상화폐 손실을 모두 보상하기도 했다.

사이버범죄자들은 거래소를 대상으로 한 공격과 가상화폐를 보유한 개인을 대상으로 한 공격을 모두 펼치고 있다. 이력서, 비트코인 송수인 관련 규제 내용 등 읽어볼 만한 내용으로 거래소에 악성코드를 담은 메일을 보내고 있다.

개인에게는 피싱사이트처럼 만들어 이메일을 보내거나 도메인을 유사하게 만들어 ID·패스워드를 입력하게 만든 후 정보를 빼낸다. 또, 여러 사이트에서 얻은 개인정보를 취합해 보이스피싱을 하거나 OTP(일회용 비밀번호 생성기)를 탈취하는 등의 공격 시도가 있다.

최상명 하우리 CERT 실장은 “거래소 자체에 대한 공격이 아니라, 개인의 가상계좌를 노린다면 도의적 책임에서 거래소가 행하는 최소한의 보상도 받지 못한다고 봐야 한다”며 “올해부터 가상화폐 공격에 대한 조짐이 보이기 시작했으니, 내년부터 이런 위협은 더욱 많아지고 일반화될 것이라 전망하고 있다”고 말했다.

이어 “개인은 ID와 패스워드를 다른 웹사이트와 다르게 설정하고, OTP 보안 등을 모두 활용하는 한편, 스마트폰 보안관리까지 철저히 해야 한다”며 “스타트업·벤처들이 많은 가상화폐 거래소는 아직 보안이 취약한 만큼, 일본처럼 등록제로 바꾸는 방안도 고민해야 한다”고 덧붙였다.

<최민지 기자>cmj@ddaily.co.kr