[토큰포스트 칼럼] 위믹스 해킹에서 얻은 교훈

지난 2월 28일 해킹으로 인해 약 90억 원에 달하는 위믹스 850만 개 이상이 탈취되었다. 위믹스 재단은 즉시 해외 거래소에 계좌 동결을 요청하고, 서울경찰청 사이버수사과에 고소장을 제출하는 등 적절한 절차를 따른 것으로 보인다.

그러나 재단은 해킹 발생 후 4일이 지난 3월 4일에서야 이 사실을 공지했다. 같은 날, 디지털자산거래소 공동협의체(DAXA)는 위믹스를 거래 유의종목으로 지정했다. 이에 따라 국내 원화마켓 거래소에서 위믹스가 다시 상장 폐지될 것이라는 고객들의 우려가 커지고 있다.

위믹스는 이미 2022년에도 공시 물량 착오로 인해 상장 폐지를 겪은 바 있다. 다만, 당시 업비트를 제외한 나머지 거래소에선 얼마 후 위믹스를 재상장한 바 있다.

이번 사건에서 위믹스 재단은 키 관리 소홀과 공시 지연이라는 두 가지 과오를 범했다. 재단은 "즉각적인 공지가 투자자들에게 패닉 현상 등 부정적 영향을 초래하고 추가 위험 가능성이 있다고 판단해 공지가 지연됐다”고 해명했다.

그러나 언제 공지하더라도 패닉 현상은 피할 수 없다. 어차피 맞아야 할 매라면 일찍 맞는 것이 낫다. 오히려 재단은 즉시 해킹 사실을 공개하고 신속히 조치하여 추가 피해가 없음을 알림으로써 고객들이 안심할 수 있게 했어야 했다.

다행히 재단이 당일 모니터링을 통해 해킹 사실을 자체적으로 먼저 파악하고 즉시 조치를 취한 점은 긍정적이다. 만약 제3자가 먼저 해킹 사실을 공개했다면 재단은 훨씬 더 큰 타격을 입었을 것이다. 그렇지만 4일이라는 긴 시간 동안 제3자에게 해킹 사실을 발표할 여지를 준 것은 명백한 재단의 실책이다.

또한 해킹 사실을 즉시 공지해야 하는 이유는 많은 사람들의 협력이 있어야 장물의 확산을 효과적으로 차단할 수 있기 때문이다. 재단은 관련 지갑 주소 역시 공개해야 한다. 이것이 케르코프스(Kerckhoffs)의 원칙에도 부합한다.

1883년 네덜란드 암호학자이자 언어학자인 케르코프스는 정보는 투명하게 공개하는 것이 오히려 숨기는 것보다 더 안전하다는 원칙을 발표한 바 있다. 이 원칙은 암호화폐 영역에서도 유효하다.

DAXA가 불성실 공시를 근거로 위믹스를 거래 유의종목으로 지정한 것은 충분히 납득할 만하다. 유의종목 지정은 재단에 충분한 경고가 되었을 것이다. 그러나 이를 근거로 상장 폐지까지 고려하는 것은 재고할 필요가 있다.

과거 사례를 보자면, 2022년 로닌 브릿지에서 173,600 이더리움, 2025년 바이빗 거래소에서 401,000 이더리움이 탈취되었다. 금액으로 환산하면 로닌 브릿지 사건은 약 6억 달러, 바이빗 사건은 약 15억 달러의 피해가 발생했다. 그러나 해킹을 당한 이더리움을 상장 폐지한 거래소는 없었다.

2016년 DAO 사건의 경우엔 다소 특수했다. 당시 DAO는 전체 1,150만 이더리움 중 무려 360만 개가 탈취되어 고객 피해가 심각했다. 이로 인해 "코드는 법(Code Is Law)" 원칙을 주장하는 이더리움 클래식과 분리하며 고객 피해를 최소화하는 극단적인 조치를 취한 바 있다. 여기서 가장 중요하게 고려된 것은 고객 피해를 최소화하는 것이었다.

재단은 이번 사건과 관련해 고객 피해를 최소화하기 위해 200억 원 상당의 위믹스를 매입하겠다는 고육지책을 발표했다. 이번 해킹 피해 물량은 전적으로 재단 비축 물량으로, 재단의 손실이다. DAXA가 상장 폐지 결정을 4월로 연기했지만 만약 위믹스가 상장 폐지된다면 고객 피해는 걷잡을 수 없이 커질 수 있다. 고객들이 가장 우려하는 부분이 바로 이 지점이다.

이번 해킹 사건 처리 과정에서 얻을 수 있는 교훈은 명확하다. 첫째, 재단은 해킹이 발생하면 즉시 이를 공시하고 사전에 마련된 절차에 따라 신속하게 조치를 취해야 한다. 향후 거래소는 재단이 관련 프로세스를 제대로 마련했는지 철저히 확인해야 한다.

둘째, 해킹된 코인의 유통 및 보관 등을 장물 관련 범죄로 처벌하고 피해자에게 환부할 수 있도록 형법 개정이 필요하다. 실제로 2021년 한국 경찰청은 국내 거래소에서 탈취된 45억 원 상당의 코인을 중남미 거래소에서 환수했지만, 법률 미비로 많은 어려움을 겪은 사례가 있다. 이를 방지하기 위한 제도적 개선이 시급하다.