‘자동으로 코인이…’ 비트소닉 먹튀 논란

난무하는 추측 커져가는 의심

[일요시사 취재1팀] 김정수 기자 = 비트소닉은 최근 해킹 의혹과 관련해 도마에 올랐다. 피해를 호소하는 이들은 OTP 인증의 비활성화로 보유 암호화폐가 유출됐다고 주장한다. 반면 사측은 조사 결과에 따라 외부 해킹도, 내부 문제도 아니라고 매듭지었다. 일각에선 먹튀 가능성을 꺼내들기도 하는 형국이다.
 

▲ ⓒ비트소닉 홈페이지

국내 암호화폐 거래소 비트소닉은 지난해 4월 설립됐다. 비트소닉은 설립 초기 ‘수익 공유형 거래소’로 이름을 알렸다. 자체 발행 코인 비트소닉코인(BSC) 보유량에 따라 거래소 수입을 나눠주는 것이다. 비트소닉은 올해 초 거래량 기준 국내 3위의 반열에 올랐다. 거래소 자체 발행 코인은 단기간에 거래량을 늘리는 배경이 됐다.

신생 거래소

지난달 암호화폐 커뮤니티 등에서는 비트소닉과 관련한 피해 사례가 언급됐다. 이들의 사례를 종합해 보자면 자신들의 의지와 달리 OTP 인증이 비활성화됐고, 보유 코인이 자동으로 출금됐다는 것이다.

피해자라고 주장하는 이들 중 한 명은 “멀쩡하게 OTP를 사용하고 있었는데, 새벽에 OTP 인증 비활성화 메일이 왔다”며 “아침에 재활성화를 시킨 뒤 비밀번호를 변경하려했지만 PC로만 가능하다고 해 회사로 와서 비밀번호를 바꾸려 했다”며 상황을 전했다.

이어 “비밀번호를 바꾸려는 순간 다시 OTP가 비활성화됐고, 암호화폐 출금 완료라는 메일이 왔다”고 밝혔다.


또 다른 피해자는 “새벽 4시경 알지 못하는 로그인 기록과 OTP 해제 메일이 남아있었다”며 “남아있는 코인을 모두 출금해갔다”고 호소했다. 이들은 실제로 사이버수사대에 신고를 접수하기도 했다.

OTP 자동 비활성화 
보유한 코인 유출 

OTP는 거래소 내에서 사용되는 일회용 비밀번호다.

업계 관계자는 “은행 등 금융기관서 쓰이는 OTP와 비슷하다고 보면 된다”며 “OTP를 비활성화 할 수 있는 건 이용자 본인과 거래소 뿐”이라고 설명했다. 이어 “피해 사례의 핵심은 OTP 비활성화”라며 “스미싱이나 악성코드 열람 등 개인의 부주의로 OTP가 비활성화됐다면 그들의 책임으로 볼 수 있지만, 특별한 일 없이 OTP가 비활성화됐다면 책임은 사측으로 전가될 가능성이 높다”고 말했다.

<코인데스크코리아>에 따르면 신진욱 비트소닉 대표는 “전수조사 결과 OTP를 초기화한 분들이 그리 많지 않고 시스템상 문제는 없었다”고 말했다. 그는 “OTP는 거래소가 아니라 이용자가 관리하기 때문에 거래소가 어떤 일이 일어났는지를 알 수는 없다”고 덧붙였다.

피해를 입었다는 이들은 개인 해킹 가능성을 일축하고 있다.

이들 중 한 명은 “비트소닉 계정이 드림위즈 메일인데 드림위즈는 올해 7월 서비스가 종료됐다”고 설명했다. 결국 거래소 차원의 개입과 OTP 비활성화의 관계를 따로 볼 수 없다는 것이다.


일각에선 “거래소가 망하기 전에 내부자가 먹튀를 한 것이 아니냐”며 우려를 표하기도 했다.

피해자들 중 일부는 매도된 화폐가 ‘유니오 코인’으로 매수된 점에 주목한다. 유니오 코인은 비트소닉에만 상장돼있다. 즉, 해킹으로 암호화폐를 손에 넣었다 하더라도 현금화를 위해서는 비트소닉을 거쳐야 하는 구조다. 피해금액이 크지 않다는 것도 눈길이 간다.
 

거래소 관련 해킹은 크게 3가지로 분류된다. 거래소가 직접 공격을 당한 경우, 거래소 내부의 착오 또는 고의적인 행위의 경우, 그리고 고객의 부주의로 인한 경우다.

거래소가 직접 공격을 당한 대표적인 사례는 코인레일이다. 코인레일은 국내 암호화폐 거래소 중 하나로 지난해 6월, 해킹 공격을 당한 바 있다. 당시 코인레일은 거래를 전면 중단하고 시스템 점검에 들어갔다.

당시 9종의 보유 암호화폐 36억개가량이 40분에 걸쳐 인출됐다. 해당 암호화폐 시세는 개당 수십원이었고, 모두 400억원 규모의 피해를 낳았다. 사건 이후 암호화폐 시장이 일시에 하락하는 등 파장은 만만치 않았다.

조사 결과 문제없어
개인정보 관리 강조

거래소 내부 문제로는 빗썸의 사례가 있다. 빗썸은 국내 암호화폐 3대 거래소 중 하나다. 빗썸 운영사 BTC코리아는 지난 3월 비정상적 출금 행위를 인지, 한 시간 뒤 암호화폐 입출금 서비스를 중단했다. 탈취된 암호화폐는 이오스 300만개로 약 140억원의 규모인 것으로 드러났다.

빗썸은 이튿날 사과문을 통해 “유출된 암호화폐는 모두 회사 소유분”이라며 “회원 자산은 모두 콜드월렛서 보호하고 있다”고 밝혔다. 이어 “내부 횡령 사고가 발생한 것으로 추정된다”며 “KISA(한국인터넷진흥원) 및 사이버경찰청 등에 보안, 전산 인력을 대상으로 강도 높은 조사를 요청했다”고 전했다.

당시 업계 안팎에선 사내 전사적 비용 절감과 희망퇴직 등에서 불만을 품은 직원이 해킹을 저지른 것으로 알려졌다.

암호화폐는 지난달 30일 국정감사서도 소개됐다. 이날 국회 과학기술정보방송통신위원회 간사인 바른미래당 신용현 의원에 따르면 최근 3년 간 암호화폐 취급업소에서 발생한 해킹사건은 총 8건이었다. 이 중 암호화폐 유출 피해가 7건, 개인정보 유출 피해가 1건이었다.
 

신 의원은 “ISMS(정보보호관리체계)를 받고도 해킹으로 인한 암호화폐 유출 피해가 발생할 수 있다”며 “과기정통부 등 정부당국에선 암호화폐 취급업소에 대한 보안강화를 위한 대책을 강구해야 할 것”이라고 지적했다.

이번 사건의 피해 규모는 지난날 대규모 피해 사례와 비교했을 때 크지 않은 것으로 전해진다. 비트소닉은 공식 입장을 통해 “관련 OTP 초기화 기록을 중심으로 긴급 점검 및 조사를 실시했다”며 “외부 해킹 시도 징후는 전혀 발견되지 않았고, 내부에 의한 사고도 아니었다”고 밝혔다.


주의 강조

비트소닉은 “불특정 다수를 대상으로 거래소 밖에 존재하는 개인 정보를 취득한 것으로 보인다”고 봤다. 고객들의 개인정보를 누군가가 악의적으로 탈취했다는 것이다. 비트소닉은 “개인정보 관리는 필수”라며 “주기적인 비밀번호 변경을 부탁드린다”고 덧붙였다.


<kjs0814@ilyosisa.co.kr>

<기사 속 기사> ‘거래소 책임’ 국내 첫 판결은?

서울남부지방법원은 지난달 25일 해킹으로 보유 암호화폐와 현금을 잃어버린 A씨가 B거래소를 상대로 제기한 소송서 일부 승소 판결을 내렸다.
해외 서버로 접속한 해커는 A씨의 계정으로 거래소에 접속해 보유 암호화폐를 모두 매도하고 비트코인을 사들여 이를 다른 곳으로 송금했다.

B거래소는 1일 출금한도액을 2000만으로 제한한다고 공지했지만 적용되지 않았다.

재판부는 출금한도를 지키지 못한 점을 거래소의 잘못이라고 인정하면서도 출금한도 제한이 있더라도 일부 자산은 출금 가능했다는 점, 해킹에 의해 계정이 탈취당한 것은 거래소와는 무관한 점 등을 들어 거래소에 온전한 책임이 있다고 보지는 않았다.


재판부는 제기된 5886만원 상당 중 2500만원만 보상하라고 판결했다. <수>

 



배너






설문조사

진행중인 설문 항목이 없습니다.



<단독> 한의대 졸업준비위 ‘강제 가입’ 논란

[단독] 한의대 졸업준비위 ‘강제 가입’ 논란

[일요시사 취재1팀] 안예리 기자 = 전국 한의과대학교에는 ‘졸업준비위원회’가 존재한다. 말 그대로 졸업 준비를 위해 학생들이 자발적으로 만든 조직이다. 하지만 내부에서는 “명목상 자발적인 가입을 독려하는 듯하지만 실질적으로는 강제로 가입할 수밖에 없는 구조”라는 지적이 잇따르고 있다. 졸업준비위원회(이하 졸준위)는 졸업앨범 촬영, 실습 준비, 학번 일정 조율, 학사 일정과 실습 공지, 단체 일정뿐 아니라 국가시험(이하 국시) 대비를 위한 각종 자료 배포를 하고 있다. 매 대학 한의대마다 졸준위는 거의 필수적인 조직이 됐다. 졸준위는 ‘전국한의과대학졸업준비협의체(이하 전졸협)’라는 상위 조직이 존재한다. 자료 독점 전졸협은 각 한의대 졸업준비위원장(이하 졸장)의 연합체로 구성돼있으며, 매년 국시 대비 자료집을 제작해 졸준위에 제공한다. 대표적으로 ‘의텐’ ‘의지’ ‘의맥’ ‘의련’ 등으로 불리는 자료집들이다. 실제 한의대 학생들에게는 ‘국시 준비의 필수 자료’로 통한다. 국시 100일 전에는 ‘의텐’만 보는 사람도 있을 정도다. 학생들 사이에서는 “졸준위가 없으면 국시 준비 자체가 어려워진다”는 말이 정설이다. 한의계 국시는 직전 1개년의 시험 문제만 공개되기 때문에 시험 대비가 어렵기 때문이다. 국시 문제는 오직 졸준위를 통해서만 5개년분 열람이 가능할뿐더러, 이 자료집은 공개자료가 아니라서 학생이 직접 구할 수 있는 방법이 없다. 사실상 전졸협이 자료들을 독점하고 있는 셈이다. 이 자료집을 얻을 수 있는 경로는 단 하나, 졸준위를 결성하는 것이다. 졸준위가 학생들의 투표로 결성되면 전졸협이 졸준위에 문제집을 제공한다. 이 체계는 오랫동안 유지돼왔고, 학생들도 졸준위를 통해 시험 자료를 제공 받는 것이 ‘관행’처럼 받아들여왔다. 이 때문에 졸준위는 반드시 결성돼야만 한다는 기조가 강하다. 학생들의 반대로 졸준위가 결성되지 않을 시 전졸협은 해당 학교에 문제를 제공하지 않기 때문이다. 졸준위 결성은 모든 학생들의 가입 동의를 얻어야 가능하다. 졸준위 가입 여부는 실질적으로 선택이 아니다. 자료집은 전졸협을 통해서만 제공되기 때문에, 졸준위에 가입하지 않으면 불이익을 받는다는 인식이 학생들 사이에서 강하게 자리 잡았다. 학생들은 “문제를 얻기 위한 목적이 가장 크다”고 말한다. 졸준위가 결성되지 않을 경우 현실적으로 문제집을 받아볼 수 있는 마땅한 대안이 없기 때문이다. 이 때문에 졸준위는 학생들의 해당 학년 학생들을 모두 가입시키는 것이 목적이다. 실제 한 대학교에서는 졸준위 결성을 위한 투표를 진행했는데 익명도 아닌 실명 투표로 진행됐다. 처음에는 익명으로 진행했지만 반대자가 나오자 실명 투표로 전환한 것이다. 이 과정에서는 반대 의견이 나오기 어렵다. 실명으로 투표가 진행되는 데다, 반대표를 던질 경우 이후 자료 배포·학년 일정에 불이익이 있을 수 있다는 두려움 때문이다. 졸준위 결성, 실명 투표로 진행 가입시 200만원 이상 납부 필수 문제는 이 졸준위 가입이 무료가 아니라는 점이다. 졸준위에 가입하면 졸업 준비 비용(이하 졸비) 명목으로 학생들에게 돈을 걷는데, 그 비용이 상당하다. <일요시사> 취재 결과 한 대학교의 졸비는 3차에 걸쳐 납부하도록 했는데 1차에 75만원, 2차에 80만원, 3차에 77만원 등 총 232만원 수준이었다. 이는 한 학기 등록금에 맞먹는 금액이다. 금액 산정 방식은 졸준위 가입 학생 수에 따라 결정되는데, 한 명이라도 빠지게 되면 나머지 인원의 비용 부담이 커지게 된다. 심지어 2명 이상 탈퇴하게 된다면 졸준위가 무산될 수도 있다. 이 모든 사안은 ‘졸장’의 주도 하에 움직인다. 졸장은 학년 전체를 대변하며 전졸협과 직접 소통하는 역할을 맡는다. 실제 졸장을 선발하는 과정에서 “한 명이라도 탈퇴하면 안 된다”는 취지의 발언이 오갔을 정도다. 문제는 이뿐만이 아니다. 졸준위가 결성되면 가입한 모든 학생들은 졸준위의 통제를 받는다.<일요시사>가 입수한 한 학교의 규칙문에 따르면 졸준위는 다음과 같은 규정을 두고 있었다. ▲출석 시간(8시49분59초까지 착석 등) ▲교수·레지던트에게 개인 연락 금지 ▲지각·결석 시 벌금 ▲회의·행사 참여 의무 ▲병결·생리 결 확인 절차 ▲전자기기 사용 제한 ▲비대면 수업 접속 규칙 ▲시험 기간 행동 규칙 ▲기출·족보 자료 관리 규정 등이다. 학생들이 이 규정을 어길 시 졸준위는 ‘벌금’을 부과해 통제하고 있었다. 금액도 적지 않았다. 규정 위반 시 벌금 2만원에서 50만원까지 부과할 수 있도록 정해져 있었다. 가장 논란이 되는 부분은 병결이다. 졸준위는 병결을 인정하기 위해 학생에게 진단서 제출을 요구하고, 그 내용(질병명·진료 소견·감염 여부 등)을 직접 열람해 판단했다. 제출 병원에 따라 병결을 인정하지 않는다는 공지도 있었다. 한 병원의 진단서가 획일적이라는 이유에서였다. 단체가 학생의 개인 의료 정보를 열람해 병결 여부를 자체적으로 결정하는 방식은 학생들 사이에서 부담과 압박으로 작용했다. 질병이 있어도 벌금이 부과될 수 있고, 병결을 얻기 위한 절차가 학습보다 더 어렵다는 말도 나왔다. 규정에 대해 문제 제기를 하면 졸준위는 대면 면담을 하는 방식으로 대응했다. 이 과정에서 3:1로 면담을 진행하는 등 학생이 위축될 수 있는 방식을 행하기도 했다. 전자기기 사용 불가 규칙 어기면 벌금도 이 같은 문제로 탈퇴자가 발생하기도 했다. 실제 A 대학 졸준위 전체 학번 회의에서 밝혀진 내용에 따르면 한 학생은 규정에 문제를 느껴 졸준위 측에 탈퇴를 의사를 밝혀왔다. 이 회의에서는 그간 탈퇴 의사를 밝힌 학생과의 카톡 대화 전문이 학생들에게 공개됐다. 공개된 카톡 내용에는 탈퇴 과정이 담겨있었는데 순탄하지 않았다. 졸준위 측은 탈퇴 의사를 즉각적으로 승인하지 않았고, 재고를 요청하거나 면담하는 방식으로 요청을 지연했다. 해당 학생이 다시 한번 탈퇴 의사를 명확히 밝힌 뒤에도, 졸장은 “만나서 얘기하자”며 받아주지 않았다. 심지어는 이 대화를 공개한 뒤 학우들에게 ‘졸준위에서 이탈하지 않는다’는 취지의 서약서를 받아내기도 했다. 졸준위 운영이 조직 이탈 자체를 문제로 판단하고, 이를 최소화하기 위해 압박을 가한 정황이 확인되는 대목이다. 해당 학우는 탈퇴 확인 및 권리 포기 동의서에 서명한 뒤에야 졸준위를 탈퇴할 수 있었다. 탈퇴 이후에도 갈등은 지속됐다. 목격자에 따르면 시험 기간 중, 강의실 앞을 지나던 탈퇴 학생은 졸준위 임원 두 명에게 “제보가 들어왔다”며 불려 세워졌다. 임원들은 이 학생이 학습 플랫폼 ‘퀴즐렛’을 사용한 점을 언급하며, 그 자료 안에 졸준위에서 배포한 기출문제가 포함돼있는지를 확인해야 한다고 말했다. 이후, 졸준위에서는 퀴즐렛에 학교 시험 내용이 있다며 탈퇴자가 보지 못하도록 사용자를 색출하기도 했다. 한편, 전졸협은 10년 전 자체 제작한 문제집으로 논란된 적이 있다. 당시 한의사 국가고시 시험문제가 학생들 사이에서 사용되는 예상 문제집과 지나치게 유사하다는 의혹이 제기되면서 경찰이 수사에 착수했다. 시험이 끝난 직후 시험장 앞에서 수험생 60여명을 상대로 참고서와 문제집을 압수했고, 국가시험원까지 압수수색해 기출문제와 대조 작업에 들어갔다. 기형적 구조 문제가 된 교재는 ‘의맥’ ‘의련’ 등 졸준위 연합체인 전졸협이 제작·배포해 온 자료들이다. 학생들은 교재에 일련번호를 붙이고 신분증을 확인한 후 배포하는 등 통제된 방식으로 유통해 온 것으로 알려졌다. 제보자는 “학생들이 전졸협을 통해서만 기출문제를 구할 수 있는 구조는 기형적”이라며 “국가고시를 위해 몇백만원씩 돈을 받고 문제를 제공하는 건 문제를 사고파는 것”이라고 말했다. <imsharp@ilyosisa.co.kr>