유노코인, 20만 달러 암호화폐 손실 인정… 고객 정보 유출 가능성 경고

유노코인의 20만 달러 손실 발표, 기존 보안 보증 내용과 상반

유노코인이 11월 14일에 공개한 내용은 11월 6일 보안 사고 직후 회사가 내놓았던 초기 평가와 크게 엇갈린다. 11월 9일, 벵갈루루에 본사를 둔 이 거래소는 수탁 업체에 대한 개입을 통해 암호화폐 손실을 막았다고 주장했다.

그러나 이후 진행된 포렌식 조사 결과, 고객 출금 등 업무에 사용되던 3개의 운영용 핫 월렛에서 무단 거래가 발생한 사실이 밝혀졌습니다. 유니코인에 따르면, 추정 손실액 20만 달러는 고객을 대신해 보관 중인 암호화폐 자산의 1%에도 훨씬 못 미치는 수준입니다.

이 거래소는 계좌 보유자들에게 손실을 전가하기보다는 재정적 손실을 자체적으로 부담하겠다고 약속했다. 회사는 “유노코인은 확인된 손실 전액을 자체 자금을 통해 충당할 것”이라고 밝히며, 영향을 받은 암호화폐 잔액은 감소하지 않을 것이라고 덧붙였다.

또한 유니코인은 업계 파트너들과의 협력을 통해 피해 자금의 일부를 동결하는 데 성공했다고 보고했으나, 회수되거나 동결된 금액에 대해서는 공개하지 않았다.

8년 전 생성된 백업 키가 치명적인 취약점으로 드러나

이번 조사에서 가장 중대한 발견은 약 8년 전에 생성되어 종이에 인쇄된 후 안전한 물리적 저장소에 보관되었던 암호화된 백업 서명 키와 관련된 것이다. 조사관들은 유노코인이 관리하던 이 키들이 유출되었으며, 이후 무단 암호화폐 이체를 승인하는 데 사용된 것으로 판단했다.

거래소는 침해된 인프라 내에서 복호화 암호를 확인했음에도 불구하고, 조사관들이 키에 어떻게 접근했는지를 아직 정확히 규명하지 못했다는 점을 인정했다. 또한 이번 조사 결과는 비트고(Bitgo)가 11월 13일 자사 보관 시스템이 침해된 적이 없다고 설명한 내용을 뒷받침한다.

유노코인의 ‘3개 중 2개’ 다중 서명 방식에 따라, 이 거래소는 두 개의 서명 키를 관리하고 있었으며, 이를 통해 비트고의 참여 없이도 거래를 승인할 수 있었다. 수탁사는 이전에 의심스러운 거래들이 유노코인의 사용자 키와 백업 키를 사용하여 서명된 후, 블록체인 네트워크에 독립적으로 전송되었다고 설명한 바 있다.

고객 데이터 유출로 인한 추가 의문 제기

암호화폐 도난 사건 외에도, 유니코인은 자사 인프라의 일부를 통해 등록된 이메일 주소, 거주지 주소, 암호화된 비밀번호, 계좌 잔액 및 고객 신원 확인(KYC) 정보가 유출되었을 가능성이 있음을 인정했다.

그러나 회사는 수사 당국이 실제 신원 확인 문서에 대한 무단 접근 증거를 확인하지 못했다고 강조했다. 고객들에게는 유출되었을 가능성이 있는 개인 정보를 악용한 표적 피싱 시도에 대해 경고가 전달되었다. 한편, 유니코인은 서비스 재개에 앞서 인프라 재구축, 보안 감사 수행, 유출된 서명 키와 관련된 상황 조사를 계속하고 있다.

이 거래소의 최근 인정으로 암호화폐가 도난당했는지 여부에 대한 당면한 의문은 해소되었으나, 데이터 유출, 키 보안, 운영 복구와 관련된 중요한 불확실성은 여전히 남아 있습니다. 고객들에게 보상하겠다는 약속은 재정적 손실을 해결해 주지만, 유출 경로가 밝혀지지 않은 점은 신뢰 회복에 있어 더 복잡한 과제를 안겨주고 있습니다.