검찰 “피싱당했다” 해명에도 전문가 “콜드월렛 잔액 조회는 로그인 없이 확인”…내부 소행 가능성 배제 못해
검찰은 수사관들이 비트코인 잔고를 확인하는 과정에서 가짜 사이트인 ‘스캠 사이트(Scam Site)’에 접속했고, 이 과정에서 해킹 피해를 입어 비트코인을 탈취당한 것으로 보고 있다. 실제 탈취 시점인 8월에서 5개월여가 지나서야 분실 사실을 인지한 것으로 드러났다. 검찰 관계자는 “피싱 피해를 당한 것으로 파악하고 있다”면서도 “구체적인 피해 규모 등은 수사 중인 사안이라 확인해 줄 수 없다”며 말을 아꼈다.
현재 사건의 진상 규명은 대검찰청 감찰부와 광주지검 형사부가 맡고 있다. 검찰은 당시 인수인계에 참여했던 수사관 5명 전원의 휴대전화를 압수해 디지털 포렌식을 의뢰했다. 단순 과실 여부뿐만 아니라 외부인과 공모 가능성까지 열어두고 수사 중인 것으로 전해졌다.
검찰의 ‘셀프 수사’를 두고 비판의 목소리가 높다. 한 부장검사 출신 변호사는 “사건이 발생한 곳도 광주지검이고, 이를 수사하는 곳도 광주지검이라 ‘제 식구 감싸기’ 우려가 나올 수밖에 없다”며 “사건 발생 후 약 5개월의 공백이 있었던 만큼 외부에 수사를 맡겨 의혹을 해소할 필요가 있다”고 지적했다.
암호화폐 및 보안업계 전문가들은 ‘스캠 사이트에 접속할 이유가 없다’며 내부 소행 가능성에 무게를 싣고 있다. 통상적으로 검찰은 가상자산을 압수하면 ‘콜드월렛(Cold Wallet)’에 보관해 왔다. 콜드월렛은 인터넷 연결을 차단한 하드웨어(USB 등 물리적 저장장치) 지갑으로, 컴퓨터에 물리적으로 연결하지 않는 이상 해킹이 불가능하다. 또 검찰의 ‘디지털 증거 압수 및 관리 매뉴얼’에 따르면 은행 계좌의 비밀번호나 보안카드 번호에 해당하는 마스터키 ‘니모닉 코드’는 종이에 적어 금고에 따로 보관해야 한다.
가상자산 플랫폼인 빗썸 근무 경력이 있는 한 인사는 “콜드월렛의 경우 로그인하지 않더라도 잔액을 확인할 수 있는 방법이 많다”며 “계좌번호 격인 ‘지갑 주소’만 있으면 바로 조회가 가능한데, 굳이 콜드월렛을 PC에 연결해 확인하는 것은 일반적이지 않다”고 말했다. 이어 “콜드월렛에 로그인할 때는 자산을 해당 지갑에서 다른 곳으로 빼낼 때뿐”이라며 “이를 수사기관이 모르고 있다는 것도 이해가 안 된다”고 덧붙였다.
한 암호화폐 보안 전문가는 “검찰에서 매년 압수하는 가상화폐가 수천억 원에 달하고, 이를 모두 각기 다른 콜드월렛에 보관하는 것으로 안다”며 “이걸 일일이 로그인해서 확인한다는 건 말도 안 되는 업무 방식”이라고 비판했다. 그러면서 “비트코인 창시자로 알려진 사토시 나카모토의 지갑에는 약 110만 개의 비트코인(약 110조 원 상당)이 들어 있는데, 전 세계 수많은 해커가 공격했지만 단 한 차례도 뚫리지 않았다”며 “업계에서 기술적으로 불가능하다고 보는 콜드월렛 해킹이 검찰청 안에서 발생했다는 건 내부자의 소행으로밖에 볼 수 없다”고 지적했다.
법조계와 보안업계에서는 이번 사건을 검찰 압수물 관리 시스템의 총체적 붕괴를 알리는 ‘디지털 참사’로 규정하고 있다. 700억 원이라는 막대한 국고가 증발했음에도 5개월 동안 까맣게 모르고 있었다는 사실은 그 어떤 말로도 해명하기 힘들다. 검찰의 ‘셀프 수사’가 과연 국민이 납득할 만한 결과를 내놓을 수 있을지 귀추가 주목된다.
김철준 기자 cj5121@ilyo.co.kr