WCA-2019-02-13
[글 = 후안 빌라베르데: Weiss Ratings 에디터]

1월 28일 캐나다 최대 암호화폐 거래소 쿼드리가CX가 갑자기 어둠에 휩싸였다. 최소 1억3600만달러의 고객 자산이 매우 의심스러운 상황에서 증발해버렸다.
어떻게 이런 일이 가능할 수 있다는 말인가? 언론 보도를 바탕으로 시나리오를 구성하면 이렇게 된다.
*설립자 겸 CEO 제럴드 코튼이 돌연 결혼을 하고 유언장 내용을 변경한다.  쿼드리가 오프라인 암호화폐 지갑(콜드 스토리지)의 유일한 프라이빗 키 소지자인 코튼은 이어 인도로 날아간다.
*코튼이 크론병으로 갑자기 사망했다는 그의 사망 증명서가 등장한다.
*그러나 크론병은 대개 치명적 질병은 아니다. 그리고 인도에서는 사망 증명서를 포함해 문서 위조 수준이 높은 암시장이 성행하고 있다.
알려진 사실들이 모두 진실이든 아니든, 실제로 이번 사건은 일반적 해킹이 아니다. 전형적으로 해커들의 공격은 외부로부터 가해진다. 그러나 쿼드리가CX 경우는 궁극적으로 내부 소행으로 보여진다.
코튼이 비밀리에 고객들의 암호화폐를 그의 개인 지갑으로 옮긴 것일까? 아니면 빼돌린 암호화폐들을 공범자들에게 보낸 것일까? 확실한 해답은 결코 얻지 못할 수도 있다.
그럼에도 이번 사건은 암호화폐 거래소와 비즈니스를 하면서 발생할 수 있는 두 가지 위험을 강조해준다. 하나는 암호화폐 업계에서 잘 알려진 것이다. 그러나 두 번째 위험에 대해서는 거의 누구도 이야기하지 않는다.
위험 #1. 해커들을 100% 막을 수 있는 거래소는 없다
암호화폐 거래소들이 고객의 인출을 수용하기 위해 거래소 지갑의 프라이빗 키를 사용할 때마다 해킹의 위험이 따른다. 그 위험이 크지는 않다. 거의 미미한 수준이다. 하지만 위험이 제로는 아니다. 따라서 수 백만 건의 트랜잭션이 이뤄져 그 위험이 부풀려지면 어느 순간 갑자기 그 위험은 그렇게 아주 미미한 수준이 아닐 수 있다.
강력한 보안 정책과 절차들은 위험을 크게 줄일 수 있다. 그렇지만 결코 위험을 완전 소멸시킬 수는 없다.
이유: 거래소의 암호화폐 인출 과정은 자동화된 온라인 프로세스를 통한 프라이빗 키 사용을 요구한다. 이는 내재하는 위험이다. 기술은 항상 진화한다. 하지만 똑똑한 해커들은 새로운 득점 방법을 찾기 위해 끊임 없이 살핀다.
보안 전문가들은 그들이 무슨 조치를 취하건 거래소들은 궁극적으로 앞에서 언급한 ‘위험 #1’에 취약할 수 있다는 사실을 안다. 따라서 거래소들은 백업 대책 차원에서 대개는 전체 펀드의 일부만 고객들과의 트랜잭션에 사용하는 온라인 지갑에 보관한다.
이는 동네 식료품점이 평균적인 하루 하루의 비즈니스 처리를 위해 계산대 현금 출납기에 잔돈만 충분히 넣어두는 것과 마찬가지다. 식료품점들이 갖고 있는 현금의 대부분은 외부에 옮겨 보관한다. 암호화폐 세계에서는 이 같은 메커니즘을 ‘콜드 스토리지’라고 부른다.
콜드 스토리지 지갑들은 온라인 지갑보다 안전할까? 물론이다. 콜드 스토리지 지갑의 입출금 트랜잭션 빈도는 훨씬 낮다. 따라서 프라이빗 키가 해킹 당할 가능성도 훨씬 적다. 그리고 말할 필요도 없지만 콜드 스토리지가 인터넷에 연결 되어 있지 않다면 무엇보다 해커들이 접근하는 게 훨씬 더 어려워진다.
하지만 ‘위험 #1’에 대처하는 솔루션은 ‘위험 #2’를 유발할 수 있다:
위험 #2: 감사를 받지 않는 거래소들이 너무 많다
세계에서 많은 거래소들이 있다. 그 가운데 일부만 감사를 받지 않는다고 해도 그 숫자는 엄청나다. 감사 받지 않는 거래소가 많아질수록 상황은 더 악화된다.
결과: 거래소들이 암호화폐를 얼마나 보유하고 있는지, 그리고 거래소들이 암호화폐를 얼마나 보유하게 되어 있는지 조차 알 수 있는 방도는 없다. 물론 우리는 거래소에 속한 일부 지갑들에 대해서는 알지만 전체적인 그림은 공개되지 않는 경우가 많다.
이슈를 간결하게 정리하면 이렇다.
암호화폐들을 지지하는 분산원장은 투명하고 전면적 감사가 가능하다. 하지만 일단 자산이 거래소로 보내지면 거래소 직원들만 그들이 암호화폐를 실제로 얼마나 보유하고 있는지 알 수 있다.
이 글을 읽는 독자들은 고객들이 더 많은 거래소 상황 공개를 요구하리라 생각할 것이다.  그러나 대부분의 고객들은 자신들의 트랜잭션이 효율적으로 실행되고, 그들이 요구할 때 암호화폐를 받을 수 있다면 만족해 할 것이다.
한편 거래소들의 불투명한 측면은 많은 죄를 가릴 수 있다. 쿼드리가CX는 분실한 것으로 가정되는 비트코인을 실제는 결코 보유한 적이 없으며 기존 고객들의 인출 요구에 대처하기 위해 신규 고객들로부터 들어온 암호화폐에 의존했을 것이라는 게 내 주장이다.
버니 매도프의 폰지 사기로부터 얻는 소중한 교훈
월 스트리트 저널이 최근 인터뷰한 수사관들도 비슷한 결론에 도달했다. 수사관들은 쿼드리가CX가 사기꾼 버니 매도프가 수십년간 꾸며온 폰지 사기의 암호화폐 버전임을 시사한다.
쿼드리가CX 사건은 버니 매도프 사기와 비교할 경우 거래소와 고객들이 절대 무시해서는 안 될 소중한 교훈을 내포한다.
매도프는 정직한 펀드 매니저로 출발했다. 그러나 그는 곧 다른 방식으로 훨씬 더 많은 돈을 벌 수 있음을 발견했다.
고객들은 사업 실적이 좋다고 생각되고, 그들이 요구할 때 자신들의 돈을 되돌려 받을 수 있는 한 문제를 제기하지 않았다. 고객들은 매도프의 “확실해” 보이는 투자 전략의 복잡함 때문에 고민하지 않았다. 고객들은 매도프가 피라미드 사기 행각을 벌이고 있임을 결코 깨닫지 못했다.
지금 버니는 전에는 시간이 없어서 하지 못했던 것을 하고 있다. 그는 좋은 책을 읽고 있다. 철창 안에서.
평판이 좋은 암호화폐 거래소들은 그런 일을 벌이지 않는다. 평판 좋은 거래소들은 그런 행위(사기 행각)는 생각 조차 하지 않는다. 하지만 정기적 감사가 이뤄지지 않는다면 그렇게 하려는 상황에 처할 수도 있다.
그런 상황은 고객들에게만 나쁜 게 아니다. 거래소들도 마찬가지다. 사업을 깨끗하게 하려면 음성적 운영 뿐 아니라 음성적 운영의 출현 자체를 피해야 한다.
마운트 곡스 참사는 정말 해킹였나? 아니면 그 사건 또한 내부 소행였을까?
마운트 곡스(Mt. Gox) 거래소는 한때 전체 비트코인 트레이딩의 약 70%를 처리했다. 그러다 2014년 초 문제들이 나타나기 시작했다. 고객들은 비트코인 인출을 위해 몇 달을 기다려야 한다고 항의했다. 마운트 곡스는 결국 파산보호신청을 냈고 약 74만 비트코인의 손실을 입었다고 주장했다.
무슨 일이 벌어졌는지 확실하게 알 방법은 없다. 하지만 세가지 가능성을 생각할 수 있다.

1. 부실 경영. 내부 혼란 또는 잘못된 데이터 때문에 마운트 곡스는 그들의 고객들에 지급해야 할 비트코인이 얼마나 되는지 모르는 상태였다. 그리고 고객들의 요구에 부응할 만큼 충분한 비트코인을 수중에 확보하고 있지 않았다.
2. 내부 절도. 내부의 누군가가 고객들의 펀드를 훔쳐 거래소에 예치된 비트코인을 자신들 계좌로 옮겼는데도 아무도 발견하지 못했다.
3. 해킹. 외부의 누군가가 거래소 보안 장벽을 뚫고 들어와 비트코인을 훔쳐갔다. 경영진은 이 사실을 몰랐다. 아니면 은폐할 수 있을 것으로 생각했다.

세 가지 가능성들은 서로 다른 것인가? 물론 다르다. 그러나 모두 동일한 문제로 귀결된다: 마운트 곡스는 고객들의 인출 요구를 충족시킬 충분한 펀드를 보유하지 못했다.
달리 말하자면 마운트 곡스는 보유 자산 보다 차용증서(IOU)의 규모가 더 큰 상태를 가리키는 이른바 “부분 준비 시스템”을 사실상 이용했다. 고객들이 동시에 그들의 자산 상환을 요청하지 않는 한 부분 준비 시스템은 영구적으로 지속 가능한 게임이다.
1930년대 회계감사 및 투명성 부족과 맞물린 부분 준비 시스템은 미국 금융기관들을 뱅크 런(예금 인출 사태)에 취약하게 만든 요인이 됐다. 부분 준비 시스템은 또 2007년 비우량 모기지 전문 회사들을 파산으로 몰고가 글로벌 채무 위기를 촉발한 배경을 설명하는 데도 도움이 된다.
비트코인이 이런 모든 상황에 대비하기 위해 만들어졌다는 것은 아이러니다. 그래서 거래소들은 암호화폐들에 의해 대체될 것으로 기대되는 (과거에 목격됐던 것과) 동일한 취약한 시스템을 지금 재생산하고 있는 것일까?
지금 더욱 큰 이슈는 쿼드리가의 CEO나 마운트 곡스와 관련된 것이 아니다. 보다 중요한 이슈는 거래소 전반에 관한 것이다.
거래소를 이용할 때 투자자들은 암호화폐를 실제로 트레이드 하거나 보유하는 것이 아니다. 투자자들이 트레이드 하거나 보유하는 것은 모두 나중에 수탁기관을 통해 암호화폐나 명목화폐로 상환될 IOU다.
이는 은행과 마찬가지다.
그러나 은행들은 규제를 받는다. 은행들은 주권 국가 정부와 국제 기구에 해명 책임을 진다. 은행들은 엄격한 규율을 준수해야 한다. 은행들은 정기적으로 회계감사를 받는다. 은행 CEO들이 예금주들의 돈을 갖고 인도로 날라갔으며 이후 사망했다는 주장이 나오는 경우는 흔치 않다.
수십억 세계인들이 사용하는 전통적 은행 시스템을 비교적 안정적으로 만들어주는 것과 같은 보장책이 수반 되지 않는다는 점에서 암호화폐 세계에서 사람들이 상대하는 거래소들은 본질적으로 동일한 위험을 지닌다.
그렇다면 지금 상황은 희망이 없다는 말인가?
절대 그런 것은 아니다.
우리는 거래소에 반대하지 않는다. 절대 아니다. 우리는 암호화폐 자산을 다른 자산으로 교환하는 과정에서 더 많은 투명성과 더 많은 책임성을 보기 원한다. 앞으로 다룰 글에서 일부 가이드라인을 제시할 것이다. 그 동안은 다음 사항을 유념하기 바란다.

1. 당신들이 보유한 암호화폐의 대부분은 프라이빗 오프라인 지갑으로 반드시 옮겨야 한다.
2. 키 코드는 안전한 장소에 백업을 받아둬야 한다.
3. 개인적으로 아는 사이면서 전적으로 신뢰할 수 있는, 당신이 지명한 사람 이외에는 그 누구와도 키 코드를 공유하지 말아야 한다.

번역/정리 = 장도선 뉴욕특파원