금융보안원, 스마트 컨트랙트 보안 검증 나선다
금융보안원이 토큰증권(STO) 제도화와 가상자산 2단계 입법 추진에 대응해 스마트 컨트랙트 보안 검증 체계 구축에 나선다. 스마트 컨트랙트 취약점으로 인한 대규모 자산 탈취 사고가 이어지는 가운데, 금융권 디지털자산 서비스 전반의 보안 역량 강화에 나선 것이다.
금융보안원은 11일 스마트 컨트랙트 관련 3대 추진 과제로 ▲보안 검증 도구 개발 ▲디지털자산 전문 인력 양성 ▲스마트 컨트랙트 검증 체계 수립을 선정했다고 밝혔다.
스마트 컨트랙트는 블록체인 위에서 계약 조건을 코드로 작성해, 정해진 조건이 충족되면 거래·정산·담보 관리 등이 자동으로 실행되도록 한 프로그램이다. 금융권에서는 토큰증권 발행, 스테이블코인 담보 관리, 디지털자산 예치·대출, 블록체인 간 자산 이동 등에 활용될 수 있다.
우선 금융보안원은 토큰증권과 스테이블코인 등 디지털자산 서비스에서 활용되는 스마트 컨트랙트의 주요 취약점을 자동 탐지하는 전용 보안 검증 도구를 개발할 예정이다.
주요 탐지 대상은 재진입 공격, 접근 권한 오류, 담보 검증 누락 등 금융 서비스에서 발생 빈도가 높은 취약점이다. 재진입 공격은 출금 처리 전에 같은 기능을 반복 호출해 자금을 여러 차례 빼내는 방식이며, 접근 권한 오류는 관리자 기능에 접근해 공격할 수 있는 취약점을 뜻한다. 담보 검증 누락은 충분한 담보 확인 없이 토큰 발행이나 대출이 이뤄지는 문제를 의미한다.
금융보안원은 국내 금융권 규제 환경을 반영한 맞춤형 점검 기준을 지속 업데이트하고, AI 기반 코드 추론 기술을 활용해 탐지 성능도 고도화할 계획이다.
전문 인력 양성도 추진한다. 금융회사 디지털자산 및 보안 담당자를 대상으로 세미나와 협의체를 운영하고, 스마트 컨트랙트 취약점 패턴과 주요 사고 사례 등을 공유할 예정이다.
또 금융권과 민간 보안업체 등 디지털자산 업권 전문가 협력 네트워크를 구축해 최신 공격 기법과 대응 사례를 상시 공유하기로 했다.
아울러 금융회사가 스마트 컨트랙트를 안전하게 개발·활용할 수 있도록 체크리스트를 포함한 검증 체계를 마련하고, ‘스마트 컨트랙트 보안 안내서’도 발간할 예정이다.
금융보안원은 스마트 컨트랙트가 디지털자산 핵심 비즈니스 로직인 만큼, 취약점 발생 시 피해 규모가 크고 탈취 자산 회수가 사실상 어렵다는 점에서 보안 중요성이 커지고 있다고 설명했다.
실제 최근 해외 디지털자산 시장에서는 스마트 컨트랙트 취약점을 악용한 사고가 잇따랐다. 올해 3월에는 스테이블코인 USR 발행사 리졸브랩(Resolv Labs)에서 담보 검증 취약점 사고로 330억원 규모의 피해가 발생했고, 지난 2월에는 크로스체인 자산 이동 서비스를 제공하는 글로벌 블록체인 프로젝트 크로스커브(CrossCurve)에서 메시지 검증 오류 관련 피해가 발생했다.
지난해에는 스테이블코인 프로젝트 아브라카다브라(Abracadabra)에서 반올림 취약점 공격이 발생해 2600억원의 피해가 발생했고, 블록체인 탈중앙거래소(DEX)인 세터스(Cetus)에서는 유동성 풀 계산 과정의 정수 오버플로우 취약점이 악용돼 3000억원의 피해가 발생하기도 했다.
박상원 금융보안원 원장은 “디지털자산 시장의 신뢰성을 확보하기 위해서는 그 기반인 스마트 컨트랙트 보안성이 담보돼야 한다”며 “금융보안원은 스마트 컨트랙트 검증부터 보안 안내서 발간까지 금융권이 필요로 하는 디지털자산 보안 서비스를 적극 제공할 예정”이라고 말했다.
