[CBC뉴스] 최근 클레이스왑 서비스가 중단되는 초유의 사태가 빚어졌다. 6백만 코인시대의 블록체인에 이런 일들이 발생했다는 것은 가벼운 사안은 아니라고 할 수 있다.

이번 사태는 해커집단이 치밀한 준비를 거쳐 자체 악성코드를 이용자들이 다운받게 하여 해킹한 것으로 보인다. 

클레이스왑을 운영하고 있는 오지스 측은 본지 측에 "정체를 알 수 없는 해커집단이 대략 7개월에 걸쳐 치밀한 준비를 하여 'BGP Hijacking'이라는 방법으로 해외 인터넷 서비스 제공사업자(ISP)의 Routing table을 조작하여, 카카오서버로 가는 요청을 자신들이 자체 구축한 위장서버로 가도록 하여 악성코드를 다운로드하여 실행하도록 해킹한 것으로 판단된다"고 밝혔다.

아울러 "BGP Hijacking이 이루어지고 있던 약 1시간 30분 동안 KT 등 일부 ISP사업자들의 인터넷망을 통한 해당 카카오서버로의 접속이 차단되어 카카오의 여러 서비스에 동시다발적으로 장애가 발생하였다"고 전했다.

그렇다면, 유저들은 어떤 방법으로 암호화폐가 탈취당한 것일까?

오지스 측은 "클레이스왑은 마케팅 목적으로 카카오SDK라는 파일을 동적로딩하고 있는데, BGP Hijacking이 발생한 약 1시간 반 동안 클레이스왑에 접속한 유저들은 악성코드를 통해 해커집단이 기 구축한 스마트컨트랙트(smart contract)를 사용승인(approve)하도록 유도되었고, 해당 스마트컨트랙트에 승인한 유저들의 지갑에서 암호자산을 해커집단이 통제하는 특정 지갑 주소로 보내도록 하여 자산을 탈취했다"고 밝혔다.

오지스 측에 따르면 "이와 같은 방식을 통해 해커집단이 탈취한 암호화폐 자산은 471개의 주소, 원화 기준으로 22억 규모에 달한다"는 것이다.

오지스에서는 클레이스왑의 카카오SDK를 동적로딩하는 소스코드를 삭제하여 같은 문제가 발생되지 않도록 조치하였지만, 해당 해커집단은 언제든 같은 방식으로 해당 카카오서버로의 요청을 가로채 악성코드를 활용하는 다른 피해를 양산할 수 있다는 리스크가 여전히 상존하기 때문에 카카오 및 ISP 업체의 보안 강화 필요성이 대두된다고 피력했다.

오지스 측이 설명한 BGP Hijacking이란 무엇일까?

먼저 BGP(Border Gateway Protocal)이란, Routing Protocol의 하나로 'AS(Autonomous System)'라 불리는 Number로 구분하는 Network Group 간 Routing을 하는 프로토콜로, 애초에 상호 간의 신뢰를 기반으로 고안되었기 때문에 이웃에 있는 BGP peer가 announce하는 routing 정보에 대해서는 무조건적으로 신뢰한다는 보안의 취약성을 갖고 있고, 이는 인터넷 기반시설의 구조적인 약점이라고 한다.

BGP hijacking 이란, 이 BGP 프로토콜의 취약점을 활용하여, BGP peer가 가진 routing table 값을 조작(manipulation)하여, 해커가 지정한 주소로 보내는 방법으로 즉, 목적지 IP를 변경시켜 사용자는 정확한 IP 주소를 사용하였으나, 최종 접속한 곳은 해커가 지정한 사이트 주소가 되도록 하는 해킹 방식을 의미한다는 것이다.

오지스 측에 따르면 이미 7개월 전부터 클레이스왑을 해킹하기 위해 다양한 시도와 실험을 한 흔적이 블록체인에 남아있고, 1개월 전인 1월 4일 경에 해킹에 사용된 지갑주소를 생성한 것으로 보여 장기간에 걸쳐 준비한 것으로 분석된다는 것이다. 

특히 해킹을 하기위해 다양한 IP주소들을 동원하였는데, 해당 IP들은 국내 호스팅업체의 것으로 판단되어, 해커집단은 이번 해킹 시도를 위해 사전에 여러 호스팅업체의 서버를 공격하여 접속권한을 획득하였던 것으로 보인다고 한다.

오지스는 커뮤니티와 CS를 통해 해당 이슈를 인지하는데 소요된 시간은 40분 가량이었다고 설명했다. 실제로 특정 지갑주소로 암호자산이 전송되는 이슈는 사건이 접수되기 전에 전자적 방법이나 인적 모니터링으로의 사전 인지는 구조적으로 불가능하다고 한다.

해당 문제 발생 인지 후 클레이스왑의 서비스 중단 및 조치를 취하는데 소요된 시간은 약 30분으로 최대한 신속하게 대응하였다고 판단되며, 그 결과 1조원 가량의 예치자산 규모를 고려하면 피해규모를 22억 가량으로 최소화 시켰다고 평가된다며 오지스 측은 전했다.

오지스의 입장문에 따르면 사전에 카카오SDK 동적로딩이 취약점이 될 수 있다는 점을 인식하지 못한 것에 대한 책임을 통감하나, 카카오SDK를 사용하는 국내의 수많은 업체들이 모두 동일한 방식으로 운용되고 있어 불가피했다는 부분이 감안되어야 할 것이라고 한다.

▶비디오 글로 만드는 '비글톡'
▶핫이슈를 빠르게 'CBC뉴스 텔레그램'

CBC뉴스ㅣCBCNEWS 권오성 기자 press@cbci.co.kr