Prabang 거래소, 약 1억 원 해킹 피해로 서비스 전면 중단

핫월렛 침해 뒤 Prabang, 서비스 전면 중단

한국의 디지털 자산 거래소 Prabang이 외부 침입으로 비정상 출금이 발생하면서 서비스를 전면 중단했다. 공식 공지에 따르면 침해는 10월 24일(토요일) 무렵 발생했으며, 이때까지 확인된 피해는 약 1억 원 규모다. 공지가 밝힌 경위는 이렇다. 미승인 당사자가 회사 시스템에 접근했고, 직원들이 고객 출금 처리를 위해 거래소가 상시 자금을 충전해 두는 인터넷 연결형 크립토 지갑, 즉 핫월렛에서 나가는 이상 출금을 감지해 즉시 비상 대응 체계를 가동했다. 이후 전사 시스템 점검이 이뤄졌고, 점검 과정에서 보안 취약점이 확인되자 경영진은 조사가 진행되는 동안 거래를 계속 유지하기보다 서비스를 닫는 쪽을 택했다. 이 사건은 관할 당국에도 신고됐으며, 거래소 측은 정확한 원인과 최종 피해 규모가 아직 조사 중이라고 밝혔다.

접속은 현재 불가능한 상태다. 10월 29일(목요일) 오전 기준 Prabang 홈페이지와 개인정보처리방침 페이지 모두 503 서비스 이용 불가 응답을 반환해 회원은 로그인, 거래, 출금 어느 것도 할 수 없다. 기술적 사후 분석 보고서는 아직 나오지 않았다. 공격자가 어떤 시스템을 건드렸는지, 어떤 자산이 유출됐는지, 자금이 한 번에 빠져나갔는지 여러 건으로 나뉘었는지도 거래소는 밝히지 않았다. 그래서 1억 원은 최종 수치가 아니라 하한선에 가깝다. Prabang은 피해 자산이 완전히 특정된 뒤에야 정확한 피해액이 확정된다고 설명했다. 이상 출금이 10월 24일에 감지된 만큼 침입 시작부터 봉쇄까지의 시간은 짧았을 것으로 보이지만, 회사는 최초 침입 시점은 확인해 주지 않았다.

전액 보상 약속, 업계 보안 우려 확산

Prabang은 회원 피해를 자기 자본으로 메우겠다고 약속했다. 현재 확인된 피해는 약 1억 원이며, 회사는 피해 자산이 정확히 특정되면 그 전액을 법인 자산으로 전액 보상하겠다고 밝혔다. 사용자들에게 사과하고 재발 방지를 위해 보안을 강화하고 시스템을 고도화하겠다고 덧붙였으며, 새로 확인되는 사실은 회원에게 직접 안내하겠다고 했다. 다만 시점 제시는 없었다. 서비스 재개 일정도, 취약점 자체에 대한 설명도, 최초 무단 접근이 어떻게 이뤄졌는지에 대한 해명도 없다.

이번 침해는 한국 시장의 민감한 시기에 발생했다. 최근 Bithumb과 GOPAX 운영사 Streami에서 보안 사고가 잇달아 확인됐고, 업계 전반의 보안 관리에 대한 우려가 커지고 있다. 관련 공시에 따르면 GOPAX와 Prabang은 각각 고객정보 유출 사건에 대해 사과한 바 있어 운영 문제 위에 개인정보 보호 문제까지 겹쳐졌다. Prabang이 설명한 대응 순서는 표면적으로는 질서정연하다. 핫월렛 이상 출금 감지, 비상 프로토콜 가동, 전 시스템 점검, 취약점 확인, 서비스 중단, 당국 신고. 사실 이 흐름은 사고가 끝난 뒤에 작동한 대응 매뉴얼이고, 미해결 질문은 그보다 상류에 있다. 유출된 자산이 어디로 갔는지, 즉 크립토 믹서를 거쳤는지, 크로스체인 브리지를 넘었는지는 밝혀지지 않았다. 어느 쪽이든 추적과 회수는 더 어려워진다. 법인 자산으로 내주는 보상이 여기서는 가능한 이유는 피해가 작기 때문이며, 같은 약속이 억 단위 규모의 침해에는 확장되지 않는다.

COINOTAG의 판단은 이렇다. 이 사건은 규모보다 구조가 더 중요하다. 피해가 1억 원 규모에 머문 것은 이상 출금이 조기에 잡히고 플랫폼이 봉쇄됐기 때문으로, 외곽 방어는 뚫렸지만 출금 모니터링은 제 역할을 한 셈이다. 법인 자산으로 보상한다는 약속은 금액이 작기에 신뢰할 수 있다. 몇 주 사이에 한국 내 세 거래소에서 보안 사고가 확인된 것은 우연의 나열이 아니라 자산 보관과 접근 통제의 공통된 취약성을 가리킨다. 앞으로 지켜볼 것은 세 가지다. Prabang의 취약점 기술 공개, 유출 자금 경로 확인, 그리고 확정적인 재개 일정. 그동안 플랫폼을 고민하는 이용자에게는 최고의 암호화폐 거래소 개요에서 보안과 자산 보관 이력을 중심에 두고 비교하는 접근이 도움이 된다.