크립토닷컴 2FA 우회 해킹, 483개 계정서 약 3,400만 달러 유출

2022년 1월 17일께 일부 크립토닷컴 이용자들이 본인이 하지 않은 출금이 계정에서 발생했다고 SNS에 호소하기 시작했다. 회사는 의심스러운 활동이 보고되자 출금을 일시 중단하고 조사에 들어갔다. 블록체인 분석가들은 이더리움이 한 지갑으로 모여 믹싱 서비스로 이동하는 흐름을 추적해 약 1,500만 달러 상당 이더가 연루된 것으로 보도했다. 초기에 회사는 고객 자금 손실이 없다고 밝혔고 출금은 이후 재개됐다. 하지만 이용자들의 반발과 해킹 의혹은 가라앉지 않았다.

2022년 1월 20일 크립토닷컴은 무단 출금이 있었음을 공식 인정했다. 회사 발표에 따르면 피해는 483개 계정에 이르렀고 이더리움 4,836.26개(약 1,400만 달러), 비트코인 약 1,730만 달러어치, 기타 코인 약 6만6천 달러가 인출됐다. 총액은 약 3,400만 달러로 집계되어 처음에 알려진 1,500만 달러보다 훨씬 컸다. 회사는 앞서 '자금 손실 없음'이라고 한 입장과 달리 사흘 가까이 지나 사실을 밝혀 투명성 논란을 샀다. 이 사건은 대형 거래소도 계정 보안 체계가 뚫릴 수 있음을 보여 준 사례로 꼽힌다.

크립토닷컴은 공격자가 2FA 인증 절차를 우회해 이용자의 승인 없이 거래를 승인시킬 수 있었다고 설명했다. 보도에 따르면 이 방식으로 483명의 이용자 계정에서 무단 출금이 이뤄졌고 사고 직후 회사는 문제 계정을 차단했다. 회사는 침해 경로에 대한 상세 기술 정보는 공개하지 않았고 외부 보안 업체와 함께 조사 중이라고 밝혔다. 보안 매체들은 이 사례가 SMS 및 앱 기반 2FA가 만능이 아니며 승인 로직 자체의 취약점이 치명적일 수 있음을 보여 준다고 평가했다.

크립토닷컴은 사고 이후 기존 2FA 인프라에서 전혀 새로운 2FA 인프라로 이전하고 전 세계 모든 이용자의 2FA 토큰을 무효화했다고 밝혔다. 또한 새로 등록한 출금 화이트리스트 주소로는 등록 후 24시간이 지나야 첫 출금이 가능하도록 하는 지연 장치를 추가했다. 이 조치로 이용자들은 인증 앱을 다시 설정해야 했고 일부는 일시적으로 로그인이 어려웠다. 보안 전문가들은 24시간 지연이 도난 시 대응 시간을 벌어 준다는 점에서 업계 표준으로 자리 잡을 만하다고 평가했다.

크립토닷컴은 대다수 사례에서 무단 출금을 막았고 나머지 피해 고객에게는 전액 보상했다며 어떤 고객도 자금 손실을 겪지 않았다고 밝혔다. 회사는 이와 함께 무단 인출 피해 시 적격 이용자에게 최대 25만 달러를 보상하는 전 세계 계정 보호 프로그램(Account Protection Program)을 도입했다. 이는 거래소가 고객 보호를 명시적 상품으로 내건 선례가 되었다. 다만 첫 발표에서 피해 규모를 축소했던 점은 신뢰 훼손 요인으로 남았다.