스테이블코인·STO 제도화에 사이버위협 고조…자산 탈취 우려도 작성일 08-12 31 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="8wamd4sATC"> <figure class="figure_frm origin_fig" contents-hash="914111c0b415f3809146ba1f627cdf28fcdd3d0bff0490c409abda055e321b8c" dmcf-pid="6MVez1d8hI" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/12/552796-pzfp7fF/20260812113420345lwdc.jpg" data-org-width="640" dmcf-mid="fHz8FW6byl" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/12/552796-pzfp7fF/20260812113420345lwdc.jpg" width="658"></p> </figure> <p contents-hash="de33ba398bbd671bc86f4e80f252af45a8d5cd105403571b83a914325bf56489" dmcf-pid="PRfdqtJ6CO" dmcf-ptype="general">[디지털데일리 김보민기자] 최근 금융산업에서 스테이블코인, 토큰증권(STO) 등 디지털 자산을 활용하고 제도를 정비하려는 움직임이 본격화됐다. 국내 주요 금융지주는 관련 인프라를 구축하겠다며 신년 과제에 시동을 걸었다.</p> <p contents-hash="954bba57abdc0d08ddf7d45827e393a27c294c1ad8ac7bda68fe909b71d28235" dmcf-pid="Qe4JBFiPCs" dmcf-ptype="general">이에 서로 다른 블록체인을 연결하는 '크로스 체인 연계(Cross-Chain Interoperability)' 기술이 주목을 받기 시작했지만, 이를 겨냥한 사이버 보안 위협도 커지고 있다. 전문가들은 크로스 체인 보안 사고가 대규모 자산 탈취로 직결될 수 있어 디지털 자산을 확장하기에 앞서 보안 대책을 마련해야 한다고 입을 모은다.</p> <p contents-hash="2abb4f7113cbef403ac78100dfa367befce790678b28bf2e328a49d31fb61080" dmcf-pid="xd8ib3nQvm" dmcf-ptype="general">◆ <strong>크로스 체인 생태계 약점 노리는 대규모 해킹 공격</strong></p> <p contents-hash="2cefb07c78079ee0e70aca34895b1255778a4d6f3ef106ee319775f1d8b3b07e" dmcf-pid="yHlZra5Thr" dmcf-ptype="general">크로스 체인은 단일 블록체인을 넘어 여러 블록체인이 통신하고 디지털 자산을 교환하도록 돕는 연계 기술이다. 해외 송금, 무역 결제, 법정화폐간 스테이블코인 전환, 기관 수탁 서비스, 실물자산 토큰화(RWA) 결제망 등 디지털 자산 업무를 확장하려면 이 기술을 사용해야 한다.</p> <p contents-hash="6cd6096cc47c502c6266bd0cbdcd691c7a3371446c48892687bcbf61cd08a0db" dmcf-pid="WXS5mN1ySw" dmcf-ptype="general">기존 금융권 거래는 법적 책임을 지는 중앙예탁기관 등 중앙 기관이 거래를 보증하고 오류가 발생하면 사후 정정하거나 동결할 수 있다. 반면 크로스 체인은 검증자 노드, 서명 키, 외부 데이터 등 분산된 기술 구성 요소가 협력하는 구조다. 또한 블록체인 특성상 거래를 한 번 체결하면 되돌릴 수 없어 단 한 번이라도 서명이나 거래를 위·변조하면 대규모 자산이 복구 불가능하게 유출될 수 있다.</p> <p contents-hash="34119a8d561879b6b0ae36f08c4e9c279b061a12c9b4f5feeecf8acbebeb8625" dmcf-pid="YZv1sjtWTD" dmcf-ptype="general">실제 크로스 체인 연계를 노린 사이버 위협은 자산 피해를 낳고 있다. 금융보안원이 6월 발간한 '딥체인 크로스체인 브레이킹 포인트' 보고서에 따르면 역대 크로스 체인 관련 누적 피해액은 약 2조6322억원(2022년 3월~2026년 4월 기준)에 달한다. 이 중 북한 해킹 조직 라자루스 소행으로 확정되거나 추정되는 비중은 전체 63%인 약 1조6683억원을 차지한다.</p> <p contents-hash="ac51240af26b3965e66f812a19ab7de0b6e967a5ce615142d25b151395bbc814" dmcf-pid="G5TtOAFYWE" dmcf-ptype="general">2022년 발생한 블록체인 게임 기반 '로닌 브릿지' 사고는 검증 노드 서명 권한을 탈취당해 약 9488억원 피해를 입었다. 같은 해 '하모니 호라이즌 브릿지' 사고 역시 5개 중 2개라는 낮은 서명 임계치를 악용당해 키 2개만으로 약 1518억원을 탈취당했다. 2026년 발생한 '켈프DAO(KelpDAO)' 사고는 기존처럼 서명키 자체를 탈취하는 방식을 넘어 내부 원격호출(RPC) 노드 바이너리를 변조하고 외부 RPC에 서비스 거부 공격을 가했다.</p> <p contents-hash="a719e51251c66d7c9a8cd3565d26c82bd7173f61892e144470f9b7c5017d26c2" dmcf-pid="H1yFIc3GTk" dmcf-ptype="general">보고서는 이 같은 사이버 공격 흐름을 분석해 보면, 스마트 컨트랙트 코드 자체 취약점을 노리기보다 사람과 시스템 권한을 뚫는 데 집중한 위협이 고도화될 것으로 예측했다. 공격자는 인프라 담당자나 엔지니어 등 특정 직원을 표적으로 삼고 링크드인 등에서 '채용 위장' 같은 사회공학 기법으로 접근한다. 이후 가짜 화상회의 앱이나 악성 PDF, 메모리 로드 기법 등을 사용해 대상 단말기를 장악한다.</p> <p contents-hash="25b087b8d17709442d81b5d7dd6515cdd5fff5807be18f51f7374e7e68d4c8e8" dmcf-pid="XCElgMSrTc" dmcf-ptype="general">내부망 거점을 확보한 공격자는 내부 정찰, 자격증명 탈취, 측면 이동을 반복한다. 최종적으로 멀티시그 검증자 개인키나 검증용 서버 권한을 장악하고 유효한 서명을 위조해 자산을 탈취한다. 이렇게 탈취한 자산은 프라이버시 믹서 서비스로 수수료와 출처를 세탁 절차를 거친다. 이어 탈중앙화금융서비스(DeFi)를 이용해 자산을 소액으로 분할하고 2만여개 지갑에 분산시켜 장기간 은닉한다. 수사기관 추적이 느슨해지면 장외거래(OTC) 네트워크나 거래소를 거쳐 법정화폐로 현금화하는 방식이다.</p> <p contents-hash="46fb54ff22e87c8b570b951c2b8045b21542cab1ff65b90d38a44c20c24a044f" dmcf-pid="ZhDSaRvmSA" dmcf-ptype="general"><strong>◆ "단일 실패 지점 제거하고 인적 보안 강화 등 선제 대응해야"</strong></p> <p contents-hash="27ae19693f1965c5cee3f0d1b8870148c1f74bca346625dd9d8641950ccddd75" dmcf-pid="5lwvNeTsWj" dmcf-ptype="general">보고서는 금융권이 안전하게 크로스 체인 환경을 조성하려면 스마트 컨트랙트, 키 관리, 검증자 집합, 오라클, 거버넌스 및 관리 체계 등 전 영역을 아우르는 방어망을 구축해야 한다고 제언했다. 크로스 체인 전체 보안 수준은 이 구성 요소 중 가장 취약한 지점이 결정하기 때문이다.</p> <p contents-hash="b5b150514a5c4a172d816b7d91034cf277e9623a18356db84264ef43df790179" dmcf-pid="1SrTjdyOvN" dmcf-ptype="general">이어 핵심 보안 통제 수단인 서명 키와 검증 노드가 뚫리면 곧바로 피해가 발생하는 만큼 단일 실패 지점을 제거하는 작업을 최우선으로 삼아야 한다고 강조했다. 동일 조직이나 인프라에 검증 권한을 집중하지 말고, 독립된 조직과 서로 다른 물리적 장소에 하드웨어보안모듈(HSM) 및 다자간연산(MPC) 기술을 활용해 키를 분산 보관해야 한다는 취지다.</p> <p contents-hash="4b75f06455c7cd19590a089eddd17d5d4fcb2d236fa63a297a2b53984f5f484b" dmcf-pid="tvmyAJWIva" dmcf-ptype="general">또한 복수의 교차 검증을 적용하고 권한 위임이 끝나면 회수 절차를 의무화해야 한다고 당부하면서, 모든 사고 초기 진입점이 담당자를 노린 '사람' 중심 사회공학 공격이었다는 사실을 잊지 않아야 한다고 밝혔다. 서명키 등 중요 인프라 운영 권한을 가진 핵심 인력을 모니터링하고 주기적으로 보안 교육을 실시해야 한다고 제언했다.</p> <p contents-hash="77e931d96da032cc1a1275127b6a7faa3e6aa09a67aa1876926471dbbb3fa40a" dmcf-pid="FTsWciYCyg" dmcf-ptype="general">보고서는 업무용 기기에서 출처가 불분명한 외부 파일을 실행하지 못하도록 통제하고, 엔드포인트탐지및대응(EDR)을 도입해 비정상 행위와 메모리 조작 등을 상시 감시하는 환경을 마련해야 한다고 말했다. 크로스 체인 내 이상 거래를 감지하면 즉각 대응할 수 있도록 긴급 정지 권한 절차를 사전에 마련해야 한다고 제시했다.</p> <div contents-hash="4cf074f56bac75fd2d830545a6e1b51afb46140489338f918208bcef39d93060" dmcf-pid="3yOYknGhvo" dmcf-ptype="general"> 보고서는 "공격 기술 발전에 따른 신규 위협을 모니터링하고 대비해야 한다"며 인공지능(AI)과 양자내성암호(PQC)에 대한 준비도 필요하다고 강조했다. 이어 "AI 기반 취약점 탐색에 대비한 배포 전 스마트 컨트랙트에 대한 사전 검증과 취약점 점검, 양자컴퓨팅 발전에 대비한 PQC 전환 로드맵 검토가 필요하다"고 말했다. </div> <figure class="figure_frm origin_fig" contents-hash="516ae273b4fc2c5102ea265d7ae64654e50dd616e2f2c4b1426803078894d0fd" dmcf-pid="0WIGELHlyL" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/12/552796-pzfp7fF/20260812113421622mgcr.jpg" data-org-width="640" dmcf-mid="4IikQKEolh" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/12/552796-pzfp7fF/20260812113421622mgcr.jpg" width="658"></p> </figure> <p contents-hash="b4027b4e9c947ed9541233923423c1e72f6f1ff0db4dccc1b5d671fe11873e6e" dmcf-pid="pYCHDoXSWn" dmcf-ptype="general">한편 <디지털데일리>는 오는 8월20일 서울 중구 은행회관 2층 국제회의실에서 ‘2026 금융권 AX 리스크 & 컴플라이언스’ 콘퍼런스를 개최한다. ‘에이전틱 금융 시대: AI 기반 리스크 고도화·컴플라이언스 대응 전략’을 주제로 최신 금융 리스크 솔루션과 규제 대응 방안을 살펴본다.</p> <p contents-hash="e5f9733a13143b11cb640f30334dfefb632a952704506e3b24c182756d84aae0" dmcf-pid="UGhXwgZvTi" dmcf-ptype="general">오전에는 김홍선 김·장 법률사무소 고문이 에이전틱 금융 시대의 핵심 리스크를 제시한다. 조민기 SAS코리아 상무는 AI 거버넌스와 크로스체인 통합 방어 전략을, 조재원 섬섭 이사는 KYC를 넘어 신뢰 인프라를 구축하는 방안을 소개한다. 성연우 렉시스넥시스 리스크 솔루션 한국지사장은 딥페이크와 합성신원, 사기 결제 탐지 전략을 발표한다.</p> <p contents-hash="6e9f806545099d06475b6bfb9143dac77ba137442e8aa13a9c493bf2a0464158" dmcf-pid="u9UV5vfzTJ" dmcf-ptype="general">오후에는 람다256의 AI 기반 AML 혁신, 크레파스솔루션의 개인사업자·소상공인 AI 대안평가, 코헤시티코리아의 데이터 보호·소버린 AI 전략이 소개된다. 금융소비자보호 규제와 금융 IT 개발 리스크, AI 에이전트의 권한·책임 및 고성능 AI 금융범죄 대응도 다뤄진다. 사전 온라인 등록은 <디지털데일리> 홈페이지에서 가능하다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 ‘AI로 쓴 과제 잡는 날 오나’…클로드, 글마다 ‘보이지 않는 워터마크’ 08-12 다음 "150번 교섭 헛수고"…네이버 노조 통합교섭 주장 08-12 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
