바이비트 해킹, 코드보다 사람·화면 노렸다

본문

왕이석 원키 창업자가 바이비트 해킹을 사례로 들며 가상자산 보안의 공격 지점이 코드에서 웹 인터페이스와 사용자 서명 과정으로 옮겨가고 있다고 말했다. 가상자산 보안의 공격 지점이 코드 취약점에서 웹 인터페이스와 사용자 서명 과정으로 옮겨가고 있다는 분석이 나왔다. 지난해 발생한 바이비트 해킹은 개발자 계정과 공급망, 거래 화면, 서명 절차가 연결된 위험을 보여준 사례로 제시됐다. 바이비트에서는 2025년 2월 21일 약 15억달러(약 2.07조원) 규모 가상자산이 탈취됐다. 바이비트는 공격 과정에서 Safe 개발자의 인증정보가 탈취돼 Safe 인프라에 접근이 이뤄졌고, 서명자들이 악성 거래를 승인하도록 속았다고 밝혔다. 멀티시그는 여러 명의 서명이 있어야 거래가 실행되는 구조지만, 서명자가 확인한 화면과 실제 서명 대상이 다르면 정상적인 보안 절차 안에서도 악성 거래가 승인될 수 있다.

Ledger도 바이비트 공격 분석에서 Safe 웹 인터페이스가 변조됐고, 서명 과정에서 Safe 컨트랙트의 구현 주소가 공격자 컨트랙트로 바뀌는 거래가 승인됐다고 설명했다. Ledger Security Bulletin 023은 이더리움 앱 1.22.2와 Secure SDK 26.6.1에서 관련 문제가 완화됐다고 설명했다. Ledger Security Bulletin 025는 이더리움 앱 1.22.3에서 별도의 스왑 검증 취약점이 수정됐다고 밝혔다. 초안에 적힌 ‘1.2.1·1.2.3’ 표기는 공식 자료의 버전 체계와 달라 이더리움 앱 1.22.1·1.22.2·1.22.3 및 Secure SDK 버전을 구분해 써야 한다. 바이비트 사건과 구버전 앱 취약점 재현은 서로 다른 사안인 만큼, 바이비트 해킹 과정에서 Ledger 장치 자체가 침해됐다고 확대해석해서는 안 된다.

다만 이 발언은 왕이석의 개인적 견해로, 제품 성과나 시장 확대를 보장하는 전망으로 확인된 것은 아니다.