FTX 파산 보고서, 허술한 사이버 보안 관리 민낯 드러내

FTX 파산 보고서, 허술한 사이버 보안 관리 민낯 드러내: 최은희 / 기사승인 : 2023-05-12 12:14:01

지난해 갑작스러운 파산 소식으로 전 세계 투자자와 암호화폐 시장 전반에 충격을 안겨준 가상자산 거래소 FTX의 보안 관리 실태가 밝혀졌다.

미국 테크 전문 매체 기즈모도는 FTX의 마지막 파산 보고서를 인용, FTX 웹사이트의 사이버 보안 관행이 심각한 수준이었다고 보도했다.

FTX 웹사이트의 사이버 보안 수준이 허술하다는 사실은 지난 11월, 파산 선고 직후 발생한 해킹사태를 통해 한 차례 밝혀졌다. 당시에는 FTX 해킹 사태를 각종 악재가 겹친 상태에서 발생한 또 다른 악재로만 보였으나 10일(현지 시각), 새로 공개된 보고서를 통해 FTX 웹사이트의 사이버 보안 상태의 본질적인 문제가 더 자세히 공개되었다.

보고서에는 “FTX는 암호화폐 자산을 보호하기 위해 널리 통용되는 기본적인 보안 제어를 구현하는 데 실패했다. 각 실패는 고객 거래를 위탁받은 비즈니스의 맥락에서 심각한 문제였다”라는 내용이 명시되었다.

보고서는 FTX 내부에 사이버 보안 담당자가 없다는 사실을 지적했다. 수백억 달러 상당의 암호화폐 자산을 보호해야 하지만, FTX는 사이버 공격 발생 대비는커녕 보안 위험을 관리할 최고 보안 책임자를 고용할 생각도 하지 않았다. 최고 정보 보안 책임자와 같은 역할을 할 경험을 갖춘 직원도 없었다.

사내에서는 보안 관련 공식 교육도 하지 않았다. 게다가 사이버 위험 평가, 보안 제어 구현 또는 사이버 사고에 대한 실시간 대응 프로세스가 확립되어 있지 않은 것으로 확인됐다.

거래소 전체의 사이버 보안 문제와 관련, 실제 담당 업무가 보안 업무와 상반되는 소프트웨어 개발자 두 명에게만 의존했다. 전반적으로 FTX 경영진은 사이버 보안에 소홀한 태도를 보였다.

FTX는 대다수 가상자산 거래소가 준수하는 표준 보안 관행인 콜드 스토리지(cold storage)에 사용자의 암호화폐 자산을 보관하지 않은 어리석은 실수도 범한 것으로 드러났다.

일반적으로 암호화폐 자산은 인터넷에 연결된 소프트웨어 기반 계정인 '핫월렛(hot wallet)'과 오프라인 하드웨어 기반 저장소 형태인 '콜드 스토리지'에 보관한다. 보통 핫월렛은 웹에 연결되어 있기 때문에 해킹에 비교적 취약한 반면, 콜드 스토리지가 비교적 보안 수준이 더 우수한 것으로 널리 알려졌다.

하지만 보고서는 FTX가 고객 자산 대부분 핫월렛에만 보관했다는 보안 문제를 지적했다.

게다가 FTX는 고객의 민감 정보 중 하나이자 개인 암호화폐 지갑의 패스워드와 같은 존재인 암호화 키와 시드 문구를 직원 누구나 손쉽게 접근할 수 있는 일반 텍스트 문서에 저장하는 등 기본적인 보안 관리를 전혀 하지 않은 것으로 알려졌다.

보고서는 “FTX 웹사이트와 FTX 미국 사무실, FTX의 자매사인 알라메다 리서치(Alameda Research)에서 사용하는 개인 키와 시드 문구는 통일되거나 문서화된 절차가 없었다. 안전하지 않은 방법을 사용하여 무질서한 방식으로 FTX 그룹 컴퓨팅 환경의 여러 위치에 저장하였다”라고 설명했다.

이 외에도 보고서는 FTX가 웹사이트 보안의 기본인 2단계 인증 제도를 효과적으로 사용하지 못한 점에도 주목했다. 보고서는 “FTX 경영진은 식별/접근 관리(IAM)과 관련하여 가장 널리 채택되는 통제조차 적절한 방식으로 구현하지 못했다"라고 지적했다.

한편, 기즈모도는 이번 소식을 보도하며, 콜드 스토리지 미사용, 암호화 키 및 시드 문구 저장 방식, 2단계 인증 방식 미사용 등을 두고 “FTX는 보안 관리 측면에서 매우 어리석은 실수를 범했다”라고 꼬집었다. 또, 파산 직전 FTX가 보고한 자산 가치 320억 달러라는 점을 고려했을 때, 최고 보안 책임자를 포함한 사이버 보안 전문 인력 채용 및 보안 강화 투자 자금이 충분했을 것이라고 전했다.