🥹 우리 무승부로 하지 않을래?

🥹 우리 무승부로 하지 않을래?

구독자님 안녕하세요, 지난 7월 GMX라고 암호화폐 거래소가 해킹을 당했다고 해요.

GMX는 탈중앙화 거래 플랫폼으로 PI가 없고 혁신적인 GLP 모델로 인기를 끌고 있는 코인거래소입니다. GMX의 V1 GLP 풀은 사용자가 비트코인, 이더리움 같은 자산을 예치하면, 거래 수수료와 스왑 수수료를 받아 수익을 얻을 수 있는 탈중앙화 금융(DeFi) 투자 상품이에요. 이 V1 GLP풀에서 4,200만 달러가 탈취되어 GMX 측에서 500만 달러로 해커와 협상을 시도했습니다. 단순한 헤프닝으로 넘어가기에는 궁금한 점이 마구 떠오르시지 않나요?!🧐

이번 뉴스레터에서는 GMX 코인 거래소 해킹 사건에 대한 타임라인과 왜 거래소 측은 해커와 협상을 진행했는지, 수사기관의 대응은 어땠는지, 이 협상이 랜섬웨어 그룹 협상과는 다른 점은 무엇인지 함께 살펴보도록 하겠습니다!

❓어떤 일이 있었을까요?

[출처: X, GMX 공식 계정]

지난 7월 9일, GMX의 X에 ‘URGENT’라며 V1 GLP 풀이 해킹되었다는 긴급 공지가 올라왔는데요. GMX측은 약 4,000만 달러의 토큰이 모르는 사람의 전자지갑으로 전송되었다고 밝혔습니다. 하지만 놀라운 것은 그 뒤에 올라오는 게시글이었는데요.💬

[출처: X, GMX 공식 계정]

GMX 측에서 해커와의 협상을 시도하는 게시글이 올라옵니다. 내용을 요약하자면, “해킹은 성공적이었으나 협상을 원한다! 우리에게 화이트햇 버그바운티로 운영할 수 있는 자금 500만 달러를 줄 테니 이 돈을 받고 빼갔던 돈들을 돌려주지 않을래? 이 돈은 추적당할 위험도 없는 깨끗한 돈이야. 현명한 결정 바래! 😭 (무승부로 하지 않을래…?)”라는 내용의 게시글이었습니다.

이후 7월 11일, 해커와 연락이 닿아 기존에 약속했던 화이트햇 버그바운티 기금 500만 달러로 모든 토큰을 되돌려놓기로 다행히(?) 합의되었습니다. 또한, GMX 측에서는 해당 해킹에 사용된 exploit에 대한 보고서를 공개하고 GLP V1에 대한 전면적인 개편을 약속하며 보안 취약점에 대한 군더더기 없는 대응을 보여주었습니다. 👍

🕵️ 왜 해커와 협상했는가

[출처: CoinMarketCap, GMX 차트(25.07.07 ~ 25.07.13)]

그렇다면 도대체 왜 GMX는 해커와 협상을 시도했을까요? 🤔

가장 큰 이유는 기업의 신뢰도 회복입니다. 해킹 직후 GMX 시세는 약 26% 정도 하락하였는데요. 해킹 소식으로 인해 사용자들이 더 이상 GMX가 안전한 거래 대상이 아니라고 판단했기 때문이죠.

GMX 측에서는 해커를 어르고 달래며 편의(추적이 되지 않는 깨끗한 돈 지급)를 봐주면서까지 협상을 진행한 이유도 “자금 세탁을 마친 잡힐지 안 잡힐지도 모르는 범인을 찾느니 회사 자금을 사용하더라도 토큰을 복구해 기업 신뢰도를 회복하는 것이 우선이다!”라고 판단했다고 추측할 수 있는데요!

협상 완료에 대한 게시글의 댓글을 보면 ‘You saved my investment. Thank you‘ 와 같이 성공적인 협상에 대한 응원과 감사의 반응이 많이 보입니다. 또한 협상 완료 게시글을 공개한 7월 11일 오후, GMX는 -26%에서 해킹 직전 시세의 -9% 까지 회복하였습니다. 📈

결론적으로 기업으로서는 성공적인 협상은 기업의 신뢰도도 지키고 고객들의 자산도 빠르게 복구할 수 있는 최선의 수단이기에 이런 선택을 한 것이죠.

협상 이후에는 성공적으로 GMX측에 자산이 복구되었습니다. 놀라운 점은 해커가 빼낸 토큰들을 모두 이더리움으로 자금 세탁을 진행 중이었는데 이 토큰들을 그대로 반환해 GMX 측에서는 빼앗긴 자산의 10% 이득을 보게 되었습니다. 불행 중 다행인 셈이죠! 😂

🚔 수사 기관은 어떻게 행동할까?

하지만 이렇게 해킹을 이용한 자산 탈취는 명백한 범죄행위입니다. 그렇다면 피해 기업과 해커가 합의했다 고 하더라도 수사기관들은 가만히 있었을까요? 우리나라와 미국 두 국가 모두 전자 통신망을 이용한 사기 행위, 가상 자산 절취는 형사 사건으로 다루고 있는데요.

그렇다면 해킹을 통한 금전적 이득은 비친고죄에 해당하니 기업에서 아무리 추적 당할 위험이 없는 깨끗한 돈을 주고 협상을 하더라도 해커는 수배를 피할 수 없는게 아닐까요? 놀랍게도 이전 사례들을 참고해보면 수사기관의 반응은 회사와 해커의 협상 성공 여부에 따라 달라지는데요. 😲

[출처: PolyNetwork X 계정]

이전 GMX 해킹 사건과 비슷하게 양측의 협상이 성공적이었던 사건으로는 PolyNetwork 해킹 사건이 있습니다. 해당 사건은 21년에 해커들이 Poly Network 암호화폐 업체에서 6억달러 가량의 암호화폐 탈취에 성공한 사건입니다.

GMX 사건과는 다르게 해커들이 먼저 화이트 해커임을 주장하고 “대가 없이 자산들을 모두 반환해주겠다!” 라고 협상을 시도하였습니다. Poly Network측에서는 이를 화이트 햇 바운티로 50만 달러를 지급하고 해커들도 기소 당하지 않고 사건은 마무리되었습니다.

[출처: MangoMarket X 계정]

이와 반대로 합의되지 않아 기소된 경우도 존재하는데요. 바로 22년에 발생한 Mango Market 암호화폐 거래소 해킹 사건입니다. 범인은 거래 프로토콜을 해킹 후 1억 달러를 빼돌렸는데요. 이후 해커는 익명으로 거래소에 “6,700만 달러는 반환할 테니 나머지는 나한테 줘!”라고 협상을 시도합니다. 하지만 Mango Market 측은 이를 거절하고 연방검찰이 조사를 통해 범인을 기소해 재판까지 진행하게 됩니다. 🧑‍⚖️

그렇다면 왜 수사기관은 명백한 범죄임에도 불구하고 합의 여부에 따라 달리 움직이는 것일까요? 2가지 정도의 이유를 생각해 볼 수 있는데요.

첫 번째 이유는 피해 확산을 방지하기 위함입니다.

수사기관은 범법자를 처벌하는 것뿐 아니라, 장기적으로 공공의 피해를 줄이는 방향을 지향합니다. 이미 피해자가 해커와 협상을 통해 자산을 전액 반환받은 상황에서, 피해자가 원치 않음에도 불구하고 기소를 강행한다면 오히려 부작용이 생길 수 있습니다. 향후 해커들이 “어차피 협상해도 처벌받는다 😤”고 판단해 자산 반환 협상에 나서지 않을 가능성이 커지는 것이죠! 그렇게 되면 공공 전체의 피해 규모가 더 커질 수 있습니다.

두 번째 이유는 공공자원의 효율적 사용 문제입니다.

암호화폐 해킹 사건은 대부분 국경을 넘는 사이버 범죄로, 수사에는 막대한 자원이 소요됩니다. 범죄자 인도, 해외 거래소와의 협조, 블록체인 자금 추적 등으로 인해 단 한 건의 수사만 보더라도 많은 기술, 현장 인력과 시간이 소비되어야 하는데요. 따라서 피해자가 합의를 통해 자산을 돌려받은 경우, 수사기관 입장에서는 피해가 복구되지 못한 사건들도 많이 존재하기 때문에 이런 사건들에 비해 자원 대비 공익 효과가 크지 않다고 보고 소극적인 태도를 보일 수 있습니다.

🆚 랜섬웨어 그룹과의 협상과 뭐가 다를까요?

그런데 해킹과 협상이라…어디서 많이 들어본 단어죠? 🤔 맞습니다! 요즘 떠들썩한 랜섬웨어 사건에서 많이 들어 봤는데요. 똑같이 돈을 지불하고 해킹 피해를 복구하는 것인데 왜 사회적 인식은 랜섬웨어는 부정적이고 코인 거래소 해킹 협상은 긍정적일까요?

핵심적인 차이는 협상의 목적과 범죄 생태계에 미치는 영향에 있습니다.

랜섬웨어 그룹과 협상은 고객들의 피해에 대한 복구나 방지 목적보다는 주로 기업의 서비스 복구 및 업무 정상화에 목적이 맞춰져 있습니다. 랜섬웨어로 고객이 피해를 보는 경우는 주로 개인정보 유출인데요. 고객의 입장에서는 내 정보를 절대 유출 시키지 않는다는 것을 확인할 길이 없으니 유출 여부와 관계없이 피해를 입었다고 생각할 수밖에 없죠.

또한, 협상을 통해 지불된 랜섬머니는 랜섬웨어를 부추기는 ‘마중물’이 될 수 있습니다. 미국 정부 기관인 재무부(OFAC)까지 나서서 허가받지 않은 랜섬머니 지불 행위에 대해 강력하게 제재를 가하는 이유도 바로 여기에 있는데요. 돈을 지불하는 행위 자체가 '범죄와 타협한다'는 나쁜 선례를 남기고, 랜섬웨어 시장이 커지고 더 많은 피해를 초래할 수 있는 위험이 있기 때문입니다.

반면, 암호화폐 거래소가 해커와 협상하는 것은 고객들의 피해 복구와 기업의 존망이 주된 목적입니다. 또한, 랜섬웨어와 다르게 고객이 피해를 보는 것은 ‘돈’입니다. 이는 수치로 확인할 수 있기 때문에 고객이 수치상으로 피해가 복구되었는지 확인이 가능합니다. 이러한 요인은 '범죄자에게 새로운 수익을 주는 것'이 아니라 '어떻게 해서든 고객 피해를 줄이고 이미 도난당한 자산을 되찾는' 행위로 인식되는 것이죠!

결국, 랜섬웨어 협상은 범죄의 악순환을 만드는 '이기적이고 위험한 타협'으로, 암호화폐 거래소의 협상은 고객 자산을 지키려는 '선한 필사적인 노력'으로 인식될 수 있는 여지를 주는 것입니다.

그렇지만 🛑

결국, GMX나 PolyNetwork 사건이 보여주는 건 단순한 해피엔딩이 아니라, "딴 돈의 반만 가져가고 좀 더 안전해지자!”는 해커들의 계산과, "그래도 우리 고객 자산은 우리가 지켜야지!" 하는 기업들의 책임감이 맞물린 아주 복잡한 현실입니다.

이 모든 이야기를 통해 저희가 착각하면 안 될 딱 한 가지가 있습니다. 성공적인 협상 사례들이 존재한다 해서 “빠져 나갈 수 있는 구멍이 있구나!”라고 생각하면 안됩니다! 이런 무단적인 해킹은 여전히 범죄라는 사실이에요.

화이트햇이든 블랙햇이든, 남의 자산을 몰래 빼내거나 침입하는 행위는 결국 법의 심판대 위에 설 수밖에 없습니다! 가장 좋은 방법은 이런 복잡한 협상에 휘말리지 않는 거죠. 기업들은 보안에 더 투자하고, 실력 있는 해커들은 버그 바운티(Bug Bounty) 같은 정당한 방법으로 취약점을 제보해 돈도 벌고 능력도 인정받는 것! 이게 바로 모두가 Win-Win할 수 있는 진정한 해피엔딩이 아닐까 싶네요! 😉

구독자님, 오늘 뉴스레터는 어떠셨나요?
해킹/보안 관련 콘텐츠를 계속 받아보고 싶으시다면 구독 부탁드려요! 🙌