인도 가상자산거래소 코인DCX가 사용을 중단한 지갑에서 약 1600만달러의 가상자산이 유출됐다고 밝혔다. 지난해 보안 사고로 폐기한 지갑에 이용자 입금이 계속됐지만 이를 새 지갑으로 옮기는 자동화 시스템이 작동하지 않으면서 피해가 커졌단 분석이다.
26일 코인DCX 공지에 따르면 옛 운영 지갑의 보안 취약점과 자동 이체 서비스 장애로 1,599만USDT의 손실이 발생했다. USDT는 달러 가치에 연동되는 스테이블코인으로, 피해 규모는 약 1,599만달러다.
문제가 된 지갑은 지난해 7월 해킹 당시 노출돼 사용을 중단한 기존 인프라로 알려졌다. 거래소가 새 입금 주소를 안내한 뒤에도 일부 이용자가 옛 주소로 자산을 보낸 게 원인이 됐다. 코인DCX는 이 경우 이용자 계정에 입금액을 먼저 반영하고, 별도 시스템을 통해 실제 자산을 안전한 지갑으로 옮겨왔다.
다만 자동 이체 서비스가 일정 기간 멈추면서 옛 주소에 자산이 쌓였다. 코인DCX는 지난 21일 시스템에서 이상 징후를 발견했고, 이튿날 블록체인 거래 내역과 이용자 제보를 통해 비정상적인 자금 이동을 확인했다고 설명했다.
초기 대응도 도마에 올랐다. 수미트 굽타 코인DCX 최고경영자(CEO)는 유출 의혹이 제기되자 기존에 해킹된 주소가 재사용된 것이라며 ‘오경보’일 가능성을 언급했다. 이후 블록체인 분석가들이 반박하자 추가 조사에 나섰고 손실을 인정했다.
코인DCX는 현재 운영 중인 지갑과 거래 시스템에는 영향이 없었으며 거래와 입출금도 중단되지 않았다고 밝혔다. 고객 자산은 별도로 분리된 콜드월렛에 안전하게 보관하고 있다는 설명이다. 회사는 옛 시스템의 감시와 통제를 강화하고 이용자에게 매번 최신 입금 주소를 확인하도록 안내할 방침이다.
전문가들은 잔존 시스템 관리의 중요성을 보여주는 사례라고 진단했다. 국내에서는 이용자 가상자산 가치의 80% 이상을 콜드월렛에 보관하고 해킹 등에 대비한 보험·공제 가입이나 준비금 적립 의무를 적용하고 있다.
업계 관계자는 "옛 주소의 입금 감시와 자동 이체 장애 탐지, 사고 발생 시 신속한 정보 공개도 점검할 과제"라고 설명했다.