90억 해킹사고에 '2차 상폐' 위기 맞은 위믹스
"내부 직원 실수 추정, 라자루스 가능성 낮아"
해킹 코인 865만 4860개..88억 규모
"100억원에 이어 187억원 규모 바이백 단행"

[이데일리 김가은 기자] “탈취 당한 위믹스로 인한 영향을 최소화 하기 위해 100억원 규모 시장 내 매수(바이백)을 발표한 바 있습니다. 또 2차로 2000만개(17일 오후 2시 10분 935원 기준 187억원) 바이백도 1년에 걸쳐 추진하겠습니다”

김석환 위믹스 재단 대표가 17일 경기도 성남시 판교 한컴타워에서 열린 위믹스 자산 탈취 긴급 간담회에서 사과하고 있다(사진=김가은 기자)

김석환 위믹스 재단 대표는 17일 경기도 성남시 판교 한컴타워에서 열린 간담회에서 지난달 발생한 해킹 사고에 대한 해결 방안으로 287억원 규모에 달하는 바이백을 진행하겠다고 밝혔다. 또 아직 조사가 진행되고 있지만 현재는 퇴사한 내부 직원이 공용 저장소에 올린 자료가 해킹의 시작점이 됐을 가능성에 무게를 두고 있다고 설명하기도 했다.

지난 4일 위믹스 팀은 2월28일 가상자산 교환 서비스 ‘플레이 브릿지’에 악의적인 외부 공격이 발생해 위믹스 코인 865만4860개가 비정상적으로 출금됐다고 밝혔다. 해킹 사실을 인지한 당일 시세가 1020원인 점을 감안하면 약 88억원에 달하는 규모다.

위믹스 팀은 사태를 인지한 즉시 비상 태스크포스(TF)를 구성해 대응했으나 탈취된 자산 대부분이 쿠코인, 바이비트 등 해외 거래소로 입금됨과 동시에 매도된 것으로 파악됐다. 위믹스 팀이 거래소에 협조 요청을 했지만 빠르게 진행되지 않은 탓이다.

김 대표는 탈취 당한 위믹스로 시장에 부정적 영향을 미치는 일을 막기 위해 287억원 규모 바이백을 진행하겠다고 밝혔다. 김 대표는 “1차로 지난 13일 100억원 규모의 시장 매수(바이백) 계획을 발표했고, 그 다음날 위믹스 2000만개 규모의 시장 매수 계획을 발표했다”며 “탈취 물량의 총액에 해당하는 87억5000만원에 재단 예산 12억5000만원을 더해 100억원을 만들었고, 2차로 위믹스 2000만개를 1년에 걸쳐 매수할 예정”이라고 강조했다. 이어 “이 계획은 시장 매수를 통해 생태계 안정화와 위믹스 가치 제고를 이룰 수 있도록 하기 위한 조치”라고 덧붙였다.

위믹스 팀은 외부 보안 전문기업인 티오리, 경찰 국가수사본부 등과 상세 원인을 파악하기 위해 공동조사를 진행하고 있다. 현재까지 진행한 조사에 따르면 최근 글로벌 가상자산 거래소 바이비트를 공격해 2조원에 달하는 이더리움을 빼돌린 북한 해킹그룹 라자루스의 소행일 가능성은 낮은 상황이다.

다만 내부 직원이 공용 저장소에 올린 자료가 시작점이 됐을 가능성이 높다. 해당 직원은 위메이드 퇴사한 상태다. 정확한 퇴사 이유는 알려지지 않았다.

김 대표는 “현재 시점에서 완전히 특정되지는 않았지만 가장 유력한 원인은 서비스를 빠르게 개발하고 출시하기 위해 작업자가 2023년 7월 중순경 공유 저장소에 자료를 업로드한 사실이 파악됐다”며 “이 자료가 유출되며 인증 과정에서 해킹이 발생했다는 시나리오가 가장 가능성이 높은 최초 경로로 추정된다”고 언급했다.

안용운 위메이드 최고기술책임자(CTO) 또한 시나리오를 검토하며 외부와 내부자를 모두 고려했고, 포렌식 과정을 거치며 공용 저장소에 자료를 업로드한 내부자 PC나 전산 인프라도 검사했다“며 ”현재 가능성이 높지 않다고 나오기는 했으나 내부자의 소행일 가능성이 0.00001%도 없다고 가정할 수는 없어 내부 인프라도 재정비하고 있다“고 설명했다.

대응의 경우 비상 TF를 통해 빠르게 이뤄졌지만 정작 피해 사실을 최초 인지 시점인 2월28일에서 5일이나 지난 3월4일에 공지했다는 비판에 대해서는 시장 혼란을 막기 위한 조치였다고 설명했다. 김 대표는 ”추가 공격 가능성에 대한 우려와 탈취 자산으로 인한 시장의 패닉 가능성을 우려해 공지가 늦었다“며 ”해킹을 은폐하려는 생각이나 시도는 추호도 없었다“고 강조했다.

투자자 보호와 재발 방지책도 발표했다. 김 대표는 “의심되는 침투 시나리오를 모두 점검하고 서버와 인증키, 인프라 이전 등 새로운 환경으로 모두 바꿔 오는 21일 서비스 완전 재개를 목표로 작업하고 있다”며 “공격자는 끝까지 추적하겠다”며 “투자자 소통을 포함한 위기대응 프로토콜도 재점검하고 개선하겠다”고 덧붙였다.

한편, 국내 가상자산 거래소 간 협의체인 디지털자산서래소 공동협의체(DAXA)는 위믹스 재단이 해킹 피해를 공지한 당일 위믹스 코인을 거래유의 종목으로 지정하고 입금을 중지시켰다. 빗썸과 코인원, 코빗, 고팍스 모두 관련 공지를 냈다. 업비트의 경우 위믹스가 상장돼 있지 않다.

김 대표는 “소명 과정에 대해 구체적으로 이야기하기는 어렵지만 최선을 다해 닥사에 소명하겠다“며 ”지금은 서비스 정상화가 최우선이지만 혹시라도 거래지원 종료 결정이 내려진다면 그에 대해서는 차후에 말씀드리겠다“고 말했다.

김가은 (7rsilver@edaily.co.kr)

Copyright © 이데일리. 무단전재 및 재배포 금지.