롱후이 구 서틱 대표/ 사진제공=서틱

삼성·위메이드·라인 등 국내 주요 블록체인 기업들의 보안감사를 맡고 있는 서틱이 올해 한국 시장으로의 진출에 속도를 붙인다. 올 들어 연달아 대규모 가상자산 해킹 사고가 터지면서 블록체인 보안감사의 중요성이 더욱 대두되는 시점이다. 지난 23일 디센터와 만난 롱후이 구 서틱 대표는 “한국은 가상자산 채택률이 높고 혁신적인 블록체인 생태계를 갖추고 있는 국가"라며 한국 시장에 특히 주목하는 이유를 밝혔다.

━콜롬비아 대학 재직 중인 보안 전문가…"서틱 경쟁력은 맞춤형 보안감사" 구 대표는 미국 콜롬비아 대학 컴퓨터공학과 부교수로 재직 중인 소프트웨어 보안 전문가다. 블록체인의 개념이 막 등장한 시장 초기부터 보안의 필요성을 느낀 그는 미국 뉴욕에서 글로벌 블록체인 보안감사 업체 서틱을 공동 설립했다. 그는 “블록체인 기술에서 새로운 산업군이 탄생할 정도의 잠재력이 있다고 봤지만, 기술적인 상품들이 개발되기 이전에 무엇보다 보안이 먼저 갖춰져야 한다고 생각했다”고 설명했다.

서틱의 블록체인 보안감사 팀은 현재 웹3 업계 최대 규모로 성장했다. 서틱은 풍부한 인력을 바탕으로 블록체인 프로젝트들에 다층적인 보안감사 서비스를 제공하고 있다. 코드에서 보안 취약점을 발견하는 정적 분석과 다양한 환경에서 코드를 실행해보는 동적 분석, 수학적 모델을 사용해 코드를 검증하는 정형 검증 등의 방식으로 종합적인 보안감사가 진행된다. 구 대표는 “각각의 프로젝트의 특징에 따라 맞춤형 보안감사를 제공한다”며 “보안을 점검한 후엔 자세한 감사 보고서를 작성해 향후 개발 방향에 대한 제안도 하고 있다”고 말했다.

━삼성 키스토어 보안 공로 인정받아 수상…한국 고객사·파트너사 다수 보유 바이낸스 등 주요 웹3 업체들과 글로벌 블록체인 프로젝트의 보안감사를 담당하며 활약 중인 서틱은 최근 한국 시장에서도 활발한 움직임을 보이고 있다. 최근 삼성 블록체인 키스토어의 7개의 보안 취약점을 발견해 삼성 모바일 보안 명예의 전당에 선정되기도 했다. 삼성 블록체인 키스토어는 삼성 기기 이용자의 프라이빗키를 보관하기 위한 플랫폼으로 매우 철저한 보안이 요구되는데 서틱의 스카이폴 팀은 이 플랫폼에서 프라이빗키가 완전히 유실될 수 있는 결정적인 보안 취약점 4가지를 발견했다. 서틱의 보안감사를 통해 결정적인 보안 취약점들이 발견된 덕에 삼성은 보안 패치 업데이트를 진행할 수 있었다.

서틱은 삼성 외에도 위메이드와 라인, NHN 등 블록체인 사업을 전개하고 있는 국내 주요 기업들의 보안감사를 담당하고 있다. 서울시와 부산시 등 지방정부와도 업무협약(MOU)을 맺고 블록체인 기술을 지원하고 있다. 구 대표는 한국에서 블록체인 기술, 특히 웹3 게임 분야의 발전이 매우 활발하다고 짚었다. 그는 “시장에 새롭게 등장하는 한국 블록체인 프로젝트가 적어졌다고 하지만 실상은 아니다"라며 “서틱은 여전히 많은 한국 고객사·파트너사와 협업 중이고 서울시·부산시 등 정부 차원에서 블록체인 기술도 지원하고 있다"고 밝혔다. 이어 그는 “한국의 발전된 디지털 인프라와 진화하는 규제 프레임워크를 기회로 보고있다”고 덧붙였다.

━웹3 해킹 타깃 넓어져…최근 해킹 트렌드는 프라이빗키 탈취

출처=Hack3d 2023 Annual Report

최근 더욱 빈번해진 블록체인 해킹 사고와 관련, 구 대표는 발생 빈도에 비해 해킹 규모는 작아졌다는 점에 주목했다. 그에 따르면 지난 2022년 601건 해킹 사고가 발생해 37억 달러 규모의 피해를 본 데 반해 지난해에는 751개의 해킹 사고가 발생했지만 피해규모는 18억 달러로 51% 적었다. 최근의 해킹 패턴이 여러 건의 소규모 해킹이 일어나는 형태로 달라졌다는 뜻이다. 구 대표는 해커들의 타깃이 더욱 광범위해지면서 이 같은 변화가 일어났다고 분석했다. 그는 “보안이 취약할 가능성이 높은 작은 프로젝트에도 해킹 공격이 발생하고 있는 것”이라고 설명했다.

그 중에서도 최근 가장 흔한 해킹 방식은 프라이빗키 탈취다. 지난해 이 같은 방식으로 47건의 해킹 공격이 발생해 8억 8000만 달러의 피해를 입혔다. 그는 “이는 보안이 취약한 키 운영 시스템을 공격하거나 이용자가 실수한 틈을 타 프라이빗키를 탈취하는 방식의 해킹”이라며 “라자루스의 경우엔 정교한 기술력으로 프라이빗키 접근 권한을 획득하기도 한다”고 설명했다.

날이 갈수록 진화하는 해킹 수법에 서틱은 올해 웹3 보안이라는 본연의 사업 목표에 충실할 계획이다.그는 “새롭게 등장하는 기술과 플랫폼에 맞춰 보안감사 서비스를 더욱 확장해 웹3 보안 시장 점유율 1위의 자리를 유지할 것”이라고 밝혔다.

디센터에서 읽기