원키(OneKey) 창업자, 블랙록 620억 달러 비트코인 ETF에 북한 해커 표적 가능성 경고

원키 창업자 왕이시는 북한 해커들이 세계 최대 현물 비트코인 ETF인 블랙록의 아이셰어즈 비트코인 트러스트(iShares Bitcoin Trust, IBIT)를 표적으로 삼을 수 있다고 경고했다. 왕이시는 바이낸스에서 60억 달러 규모 해킹이 발생한 뒤 "IBIT는 이미 북한의 표적 목록에 올라 있을 것으로 본다"고 말했다. 미국 당국은 바이낸스 공격의 배후로 북한의 트레이더트레이터 작전을 지목했다. 블랙록의 펀드 데이터에 따르면 10월 30일 기준 IBIT의 순자산은 약 620억 달러였다. 10월 29일 펀드 보유 내역에는 약 81만5,000 BTC가 기록됐다. 이는 비트코인 최대 공급량의 거의 4%에 해당해, 비트코인 공급량 중 상당한 몫이 기관 수탁에 집중돼 있다.

코인베이스는 IBIT의 주요 비트코인 수탁기관이다. 4월 8일 크립토슬레이트가 집계한 자료에 따르면 코인베이스를 수탁기관으로 명시한 펀드가 미국 비트코인 ETF 자산의 80% 이상을 차지했다. 블랙록은 앵커리지 디지털도 수탁기관으로 지정했다. 그러나 펀드의 6월 30일 분기 보고서에는 현재 코인베이스에 맡긴 비트코인을 옮길 계획이 없다고 기재됐다.

코인베이스는 바이낸스 침해 사고 이후 예방 차원에서 오프라인 스토리지 인프라를 변경했다. 제프 룽글호퍼 최고보안책임자는 10월 29일 성명에서 코인베이스가 침해 사고의 영향을 받은 바이낸스 지갑으로의 이체를 차단하고 있다고 밝혔다. 룽글호퍼는 코인베이스가 예방 차원에서 콜드 스토리지 시스템도 변경했다고 말했다. 코인베이스는 거래소 인프라가 여전히 안전하다고 주장했다.

왕이시는 북한 해커들이 앞서 가상자산을 훔칠 때 사용한 수법, 특히 2025년 2월 약 15억 달러의 피해를 낸 바이비트 해킹을 근거로 경고했다. 공격자들은 정상적인 개발 도구인 것처럼 꾸민 악성코드로 Safe{Wallet} 개발자의 컴퓨터를 감염시켰다. 시그니아의 포렌식 조사에 따르면 공격자들은 바이비트의 거래 인터페이스를 조작해 승인 권한을 가진 서명자들이 악성 콜드월렛 이체를 승인하도록 속였다. 공격자들이 정상 거래의 승인 절차를 침해했기 때문에 개인 키를 빼낼 필요는 없었다.

TRM 랩스는 바이낸스 공격자들이 사전 서명된 인증을 이용한 이더리움 거래를 포함해 10개 블록체인에서 이체를 조율했다고 밝혔다. TRM 랩스는 핫월렛 서명 인프라가 침해됐을 가능성이 크다고 평가했다. 바이낸스는 처음에 공격자들이 침해한 직원 노트북이 침투 경로일 가능성을 파악했다. 이후 바이낸스는 다른 침해 지점도 공개했다. 바이낸스는 조사관들이 개인 키가 유출됐다는 증거를 발견하지 못했다고 밝혔다. 이번 사건들은 기관의 콜드 스토리지도 취약한 소프트웨어와 하드웨어, 거래 승인 시스템에 의존할 수 있다는 점에서 보안 우려를 불러일으켰다.

왕이시는 핵심 수탁 인프라가 침해되면 투자자를 위해 보관 중인 자산이 위험에 처할 수 있다며 수탁이 집중된 데 따른 노출이 크다고 주장했다. 그러나 IBIT나 코인베이스의 수탁 시스템이 침해됐다는 증거는 없다. 왕이시의 경고가 북한 해커들이 실제로 IBIT를 표적으로 삼고 있음을 입증하는 것은 아니다.

블랙록의 연례 보고서에 따르면 코인베이스의 상업 범죄 보험은 IBIT만을 위한 보장이 아니라 고객 전체에 공동으로 적용된다. 수탁 계약은 일반적으로 콜드 스토리지 주소별 코인베이스의 책임을 1억 달러로 제한하며, 계약상 예외와 기타 조항도 적용된다. 스테이블코인 발행사는 토큰 차원에서 자산을 동결할 수 있다. 그러나 비트코인에는 도난 자산을 제한할 이에 상응하는 중앙화된 수단이 없다. 따라서 IBIT 주주는 블록체인 추적, 보험금 청구 또는 수탁기관의 보상으로도 전액 회수하지 못하는 손실을 입을 수 있다.