350억원 도난당한 빗썸, 해킹 시점 '늑장 공지' 의혹

-지난 15일 거래 정지 후 16일 새벽 서버점검 '사후조치 '분석

-빗썸 지갑서 대규모 자금 이동도 포착...비밀키까지 해킹된듯

[사진=빗썸 CI]

국내 최대 가상화폐(암호화폐) 거래소 빗썸이 해킹으로 350억원 규모의 가상화폐를 도난당한 가운데 해킹 사실을 미리 알고도 늑장 공지한 게 아니냐는 의혹에 휩싸였다.

빗썸은 20일 오전 긴급공지를 통해 "약 350억 상당의 일부 암호화폐 탈취 사실이 확인됐다"면서 "당분간 암호화폐의 입·출금 및 거래 서비스를 중단한다"고 밝혔다.

해킹 전조증상은 이미 지난주 금요일부터 보여왔다. 빗썸은 이날 오후 6시30분부터 가상화폐인 스팀(STEEM)과 스트라티스(STRAT), 에토드(ETHOS)의 출금 서비스를 시작한다고 공지했다. 하지만 빗썸 측은 오후 8시30분경 "신규 암호화폐 3종의 출금 서비스 오픈 이후 갑작스러운 사용자 증가로 출금 서비스에 대해 임시점검을 진행하게 됐다"며 전체 암호화폐 거래를 정지했다.

여기서부터 의혹이 나온다. 한 IT업계 관계자는 "새로 출금 서비스를 시작한 코인에서 비이상적으로 거래가 증가했다면 해당 코인들의 거래만 정지해야 하는 게 맞다"면서 "전체 코인을 대상으로 거래를 중지한 것은 이해가 안된다. 이미 해커의 공격으로 서버가 뚫린 것으로 볼 수밖에 없다"고 말했다. 즉 해커들이 자금을 인출하지 못하도록 막아놓고 빗썸측이 사후조치에 들어간 게 아니냐는 것이다.

 

빗썸이 보유중인 가상화폐 자산을 옮긴 모습. 해킹발표 전 149만 스팀이 해외 가상화폐 거래소인 바이낸스로 이동한 모습(위), 토요일 서버점검을 발표한 뒤 10만 이더리움이 다른 지갑으로 옮긴 정황. [각사 홈페이지]

토요일 새벽에 서버점검에 들어간 것도 사후조치 성격이 강해보인다. 빗썸은 새벽 5시6분에 공지를 띄워 5시20분부터 오전 9시까지 서버점검에 나선다고 밝혔다. 하지만 점검이 완료된 시간은 예상보다 5시간이 늦은 오후 2시였다. 통상 일반적인 서버점검의 경우 정해진 시간에 마무리되는 게 맞다. 점검 시간이 길어지는 경우는 내부에서 큰 문제가 발생했을 경우다.

토요일 서버점검 시간에 대규모 자금이 빗썸이 보유 중인 지갑에서 다른 지갑으로 이동한 사실도 의혹을 부추긴다. 이더리움의 이동경로를 파악할 수 있는 이더스캔(Etherscan)을 보면 빗썸이 보유 중인 지갑에서 4일 전인 지난 16일 10만 이더리움이 다른 지갑으로 이동한 것을 확인할 수 있다. 당시 이더리움당 550만원선에서 거래된 만큼 이동한 자금 규모는 5500억원이 넘는다.

빗썸은 20일 오전 1시에 "보안위협 시도 증가로 암호화폐 입금 지갑 시스템을 교체한다"고 공지를 올렸다. 그리고 바로 2만9709이더리움을 다른 지갑으로 옮겼고, 스팀도 149만8882코인이 글로벌 가상화폐 거래소 중 하나인 바이낸스로 이동했다.

이 관계자는 빗썸측이 지갑을 바꾼 데 대해 조심스러운 분석을 내놨다. 빗썸 지갑의 비밀 키(KEY)까지 해킹으로 유출된 게 아니냐는 것이다.

그는 "신용카드를 분실하면 고객센터에 정지 신청을 한 뒤 재발급을 받는다"면서 "빗썸은 금요일 이후 출금을 막아놓은 상태였다. 그런 상황에서 자금이 사라졌다면 정지된 카드에서 결제가 이뤄지는 것과 같은 논리"라고 설명했다. 이어 이 관계자는 "해킹이 발생했으면 어떤 코인이 얼마를 해킹 당했는지 또 해당 트랜잭션(해커가 빼간 기록)도 공개해야 마땅하다"면서 "빗썸측의 태도는 해킹 당한 시점을 숨기려는 의도로 밖에 보이지 않는다"고 일갈했다.

이에 대해 빗썸측은 "해킹공격은 늘 있는 일이다. 그동안의 공격은 다 막아왔다"면서 "해킹을 당한 다음에야 거래중지에 나섰고 이를 공지하면서 늦어진 것처럼 보인 것"이라고 해명했다.