업무사례
업무사례
코인지갑 해킹, 시드문구 유출인지 계정침입인지부터 확인해야 합니다
코인지갑에서 본인이 승인하지 않은 가상자산 전송이 발생했다면 모두 같은 방식의 해킹이라고 볼 수는 없습니다. 거래소 계정 침입, 개인지갑의 시드문구·개인키 탈취, 악성프로그램 감염, 피싱사이트에서의 거래서명 등 자산이 빠져나간 원인부터 구분해야 합니다.
개인지갑은 이용자가 직접 개인키를 관리하는 경우가 많기 때문에 거래소에 맡긴 가상자산과 책임구조가 다를 수 있습니다. 피해를 확인했다면 출금된 코인의 종류·수량과 지갑주소·트랜잭션 해시를 먼저 확보하고 시드문구를 어디에 입력했는지, 어떤 거래에 서명했는지를 시간순으로 확인하는 것이 중요합니다.
목차
1. 코인지갑 해킹은 원인부터 구분해야 합니다
2. 개인지갑과 거래소 지갑은 책임구조가 다릅니다
3. 피싱 서명과 시드문구 탈취도 확인해야 합니다
4. 지갑주소와 트랜잭션 기록을 즉시 보존해야 합니다
5. 많이 묻는 질문
코인이 사라졌다고 해서 모두 같은 형태의 지갑 해킹은 아닙니다
가상자산 지갑에서는 개인키를 가진 사람이 거래를 승인할 수 있기 때문에 공격자가 자산을 이동시킨 경로를 먼저 확인해야 합니다. 거래소 아이디와 비밀번호를 탈취해 출금한 사건과 개인지갑의 시드문구 자체를 확보해 거래를 발생시킨 사건은 기술적·법적 구조가 다릅니다.
또 공격자가 지갑에 직접 침입한 것이 아니라 이용자를 가짜 사이트로 유도하여 권한을 부여받거나 특정 거래에 서명하도록 한 경우도 있습니다. 피해자가 기억하는 ‘해킹’이라는 표현보다 블록체인에서 어떤 거래가 발생했고 그 거래에 필요한 권한이 공격자에게 어떻게 넘어갔는지를 확인해야 합니다.
1 거래소 계정에서 출금됐는지 개인지갑에서 직접 전송됐는지를 먼저 구분합니다.
2 시드문구·개인키를 입력하거나 저장했던 사이트·기기·클라우드가 있었는지 확인합니다.
3 피해 직전 새로운 사이트에 지갑을 연결하거나 토큰 승인·거래서명을 한 사실이 있는지 살펴봅니다.
개인지갑 해킹과 거래소가 보관하던 지갑의 해킹은 책임 주체가 다를 수 있습니다
가상자산거래소처럼 이용자의 가상자산을 위탁받아 보관하는 사업자는 이용자 자산과 자신의 자산을 분리하고, 이용자로부터 맡은 것과 동일한 종류와 수량의 가상자산을 실질적으로 보유해야 하는 등 법에서 정한 자산보호 의무를 부담합니다.
또 해킹이나 전산장애 등 사고에 따른 책임을 이행할 수 있도록 보험·공제 가입이나 준비금 적립 등 일정한 조치를 갖춰야 합니다. 따라서 거래소 측 보관지갑이나 거래소의 인증체계에서 사고가 발생한 경우에는 사업자의 보안·자산관리 과정도 검토대상이 될 수 있습니다.
반대로 본인이 직접 시드문구와 개인키를 관리하는 비수탁형 개인지갑이라면 가상자산사업자에게 맡긴 자산과 동일한 보호구조가 적용된다고 단정하기 어렵습니다. 어떤 서비스가 실제 개인키를 관리했는지부터 확인해야 합니다.
시드문구가 노출됐다면 지갑 비밀번호만 바꾸는 것으로 해결되지 않을 수 있습니다
개인지갑의 시드문구나 개인키는 블록체인 거래를 승인할 수 있는 핵심정보입니다. 공격자가 이러한 정보를 확보했다면 이용자가 휴대전화 앱의 비밀번호를 변경하더라도 동일한 개인키를 다른 프로그램에서 불러와 자산을 전송할 가능성이 있습니다.
따라서 피해가 발생한 지갑을 계속 안전하다고 전제해서는 안 됩니다. 남아 있는 자산의 보호가 필요한 경우에는 사용하는 지갑서비스의 보안절차를 확인하면서 추가 유출을 막고, 동시에 기존 피해거래의 증거를 보존해야 합니다.
• 시드문구를 가짜 지갑 복구페이지나 이벤트 페이지에 입력한 경우
• 시드문구·개인키를 이메일·메신저·클라우드 등에 저장해 두었다가 계정이 탈취된 경우
• 출처가 확인되지 않은 지갑프로그램이나 브라우저 확장기능을 설치한 뒤 출금이 발생한 경우
• 피해복구를 해주겠다는 사람에게 다시 시드문구나 원격접속 권한을 제공하는 경우
• 피해 직후 기기와 앱을 모두 초기화하여 침입경위를 확인할 자료까지 없애는 경우
지갑을 직접 연결하고 거래에 서명한 사건은 단순 계정침입과 다르게 볼 수 있습니다
가상자산 피싱에서는 공격자가 이용자의 개인키를 직접 훔치지 않고 유명 프로젝트나 에어드롭 페이지를 사칭하여 지갑 연결이나 거래승인을 유도하는 방식도 문제될 수 있습니다. 이용자는 정상적인 거래라고 생각했지만 실제로는 공격자에게 예상하지 못한 권한을 부여했을 수 있습니다.
이러한 사건에서는 해커가 비밀번호를 뚫고 지갑에 침입한 사건과 사실관계가 다릅니다. 어떤 화면에서 무엇을 승인했는지, 서명 이전에 표시된 거래내용과 실제 블록체인에 기록된 명령이 무엇이었는지를 확인해야 합니다.
피해자가 직접 서명했다는 사실만으로 모든 형사책임이 사라지는 것도 아니고, 반대로 자산을 잃었다는 결과만으로 정보통신망 침입죄가 자동 성립하는 것도 아닙니다. 공격자가 사용한 기망·침입·정보처리 방법에 따라 적용 죄명을 구분해야 합니다.
무단 계정침입이나 자동적인 자산이전에는 형사책임이 문제될 수 있습니다
정당한 접근권한 없이 거래소·지갑서비스 등의 정보통신망에 침입하는 행위는 정보통신망법상 형사처벌 대상이 될 수 있습니다. 단순히 비밀번호를 직접 해독했는지만이 아니라 다른 사람의 식별정보 등을 부정하게 이용하여 허용되지 않은 범위에 접속했는지도 구체적으로 살펴봅니다.
또 컴퓨터 등 정보처리장치에 부정한 명령을 입력하거나 권한 없이 정보를 입력·변경하여 자동적인 정보처리 결과로 재산상 이익을 취득했다면 범행방식에 따라 컴퓨터등사용사기죄가 문제될 수 있습니다.
코인지갑 해킹이라는 이름만으로 하나의 죄명이 적용되는 것은 아닙니다. 침입·악성프로그램·피싱·무단 정보처리 가운데 실제 어떤 방법으로 지갑 권한과 자산을 취득했는지를 수사자료로 확인해야 합니다.
블록체인 거래는 취소가 어렵지만 자금흐름 확인자료로 활용할 수 있습니다
가상자산 전송이 블록체인에서 확정된 뒤에는 일반적인 은행송금처럼 피해자가 임의로 거래를 취소하기 어려운 경우가 많습니다. 그렇다고 피해거래 이후의 자금흐름을 전혀 확인할 수 없는 것은 아닙니다.
공개형 블록체인에서는 출발지와 도착지 지갑주소, 수량, 시각과 이후의 이동경로를 확인할 수 있는 경우가 있습니다. 탈취된 자산이 중앙화 거래소의 지갑으로 들어간 정황이 있다면 해당 거래소 관련 자료가 수사과정에서 의미를 가질 수 있습니다.
가상자산을 추적할 수 있다는 것과 실제 피해금액을 회수할 수 있다는 것은 별개의 문제입니다. 지갑의 실제 사용자를 특정할 수 있는지와 자산이 현재 남아 있는지, 국내외 사업자와 어떤 절차로 연결되는지를 추가로 확인해야 합니다.
피해 직후에는 지갑주소뿐 아니라 접속·서명 과정을 함께 보존해야 합니다
블록체인 탐색기에서 확인되는 거래기록은 중요하지만 그것만으로 공격방법을 모두 알 수 있는 것은 아닙니다. 피해자가 어떤 사이트에 접속했고 어떤 지갑프로그램을 사용했으며 어떤 승인창을 눌렀는지에 관한 자료도 필요합니다.
□ 피해 지갑주소와 자산이 이동한 상대 지갑주소
□ 피해 거래의 트랜잭션 해시·블록·발생시각과 가상자산 종류·수량
□ 피해 직전 연결했던 웹사이트 주소와 지갑연결·거래서명 화면
□ 설치했던 지갑앱·브라우저 확장프로그램과 업데이트·다운로드 기록
□ 이메일·메신저·SNS로 전달받은 피싱 링크와 공격자와의 전체 대화
□ 거래소로 자산이 이동했다면 해당 거래소 신고내역과 고객센터 답변
피해 기기에 악성프로그램이 의심된다는 이유로 곧바로 공장초기화를 하면 침입경위를 확인할 자료가 사라질 수 있습니다. 추가 유출을 막기 위한 안전조치를 취하면서도 기존 알림·접속기록·메신저·거래화면 등 피해 발생과정을 확인할 자료를 가능한 범위에서 보존하는 것이 중요합니다.
거래소에서 빠져나간 코인이라면 사업자의 사고대응도 별도로 확인합니다
거래소 계정에서 본인이 요청하지 않은 출금이 발생했다면 개인지갑 피해와 달리 로그인·출금요청·인증 과정의 기록을 확인할 필요가 있습니다. 이용자가 직접 확인할 수 없는 내부 접속기록이나 보안조치가 중요한 쟁점이 될 수도 있습니다.
가상자산사업자는 법에서 정한 거래기록을 장기간 보존하도록 되어 있으므로 피해사실을 알게 됐다면 거래소에 즉시 사고를 신고하고 관련 계정과 거래기록이 보존될 수 있도록 조치하는 것이 필요합니다.
거래소가 보험이나 준비금을 갖췄다는 사실만으로 이용자 피해가 전액 자동 배상되는 것은 아닙니다. 사고가 사업자의 관리영역에서 발생했는지와 이용자의 인증정보가 어떤 경위로 탈취됐는지, 실제 손해범위를 따로 검토해야 합니다.
코인지갑 해킹 대응은 추가 피해 차단과 증거보존을 함께 진행해야 합니다
지갑 해킹을 발견하면 탈취된 자산을 찾는 데만 집중하기 쉽지만 공격자가 이메일이나 휴대전화·다른 거래소 계정까지 장악하고 있는지도 확인해야 합니다. 하나의 인증정보를 여러 서비스에서 사용했다면 추가 피해가 이어질 수 있습니다.
1 탈취 거래의 지갑주소·트랜잭션 해시와 피해시각을 확보하여 자산 이동경로를 확인합니다.
2 시드문구·개인키 유출, 피싱 서명, 거래소 계정 침입 등 피해원인을 구분하면서 관련 기기와 메시지 자료를 보존합니다.
3 자산이 거래소를 거쳤거나 계정 침입이 확인된다면 거래소와 수사기관에 피해내용을 알리고 사업자의 보관·보안 책임과 자금흐름을 별도로 검토합니다.
많이 묻는 질문
Q. 개인지갑에서 코인이 빠져나가면 거래소에 보상받을 수 있나요?
단정하기 어렵습니다. 본인이 직접 시드문구와 개인키를 관리하던 개인지갑에서 발생한 사고라면 거래소가 위탁받아 보관하던 자산의 해킹과 책임구조가 다릅니다. 어떤 사업자가 개인키나 인증과정에 관여했는지와 자산이 어디에서 탈취됐는지를 먼저 확인해야 합니다.
Q. 해커 지갑주소와 트랜잭션 해시만 있으면 코인을 돌려받을 수 있나요?
그렇게 단정하기 어렵습니다. 지갑주소와 트랜잭션 해시는 가상자산의 이동경로를 확인하는 중요한 자료이지만 지갑의 실제 사용자를 특정하고 자산을 확보할 수 있는지는 별개의 문제입니다. 거래소 유입 여부와 추가 이동경로 등도 함께 확인해야 합니다.
Q. 피싱사이트에서 제가 직접 서명했다면 해킹 피해로 신고할 수 없나요?
아닙니다. 직접 서명이 있었다는 사실만으로 상대방의 범죄 가능성이 사라지는 것은 아닙니다. 정상적인 거래로 속여 서명을 유도했는지, 어떤 권한과 거래내용을 표시했는지와 공격자가 이후 자산을 어떤 방식으로 취득했는지를 확인하여 사기·정보통신망 침입 등 실제 범행방법에 맞는 형사책임을 검토해야 합니다.
코인지갑 해킹 피해에서는 코인이 사라졌다는 결과만으로 원인이나 책임 주체를 정할 수 없습니다. 거래소 계정 침입인지 개인지갑의 시드문구·개인키 유출인지, 피싱사이트의 거래서명이나 악성프로그램이 개입됐는지부터 확인하고 지갑주소·트랜잭션 해시·접속기록·피싱 메시지·서명내역을 보존하면서 추가 자산 유출을 차단하고, 자산이 거래소를 거쳤다면 해당 거래소와 수사기관을 통해 자금흐름 및 사업자의 보관·보안 책임을 별도로 검토하는 것이 중요합니다.
▼코인지갑 해킹 관련해서 더 많은 내용을 보고 싶다면?
