한국에서도 가상 자산을 기반으로 결제하는 체크카드 이용자가 늘어나는 가운데, 해킹 사고가 빈번하게 발생해 주의해야 한다는 지적이 나온다.
1일 가상 자산 업계에 따르면, 블록체인 기반 가상 자산 네오뱅크(Neo-bank) 플랫폼 트리아(Tria)와 아비치(Avici)의 크립토 카드(Crypto Card) 이용자들의 자금이 무단 출금되는 사고가 지난달 29일 발생했다. 피해 금액은 트리아가 43만달러(약 5억9000만원), 아비치가 50만달러(약 6억8500만원)로, 피해 인원은 약 2300명이다. 두 카드는 한국에서도 발급받을 수 있고, 한국인 피해는 따로 집계되지 않았다.
트리아와 아비치는 개인이 보유한 가상 자산을 결제 카드에 충전해 실생활에서 결제 및 송금용으로 쓸 수 있도록 지원하는 블록체인 기반의 가상 자산 네오뱅크 플랫폼이다. 네오뱅크는 오프라인 지점 없이 모바일 애플리케이션(앱)이나 인터넷을 통해서만 금융 서비스를 제공하는 디지털 전용 은행을 뜻한다. 결제 기반은 플랫폼에 예치 중인 'USDC'와 'USDT' 등 달러 스테이블코인이다.
이번 해킹은 스마트 컨트랙트(Smart Contract) 시스템의 취약점을 공략해 발생했다. 스마트 컨트랙트는 블록체인 네트워크상에서 미리 정해둔 조건이 충족되면 자동으로 계약을 실행하는 프로그램이다.
크립토 카드 이용자가 본인 카드에 스테이블코인을 충전하면 해당 코인은 제3자 스마트 컨트랙트에 보관된다. 이용자가 카드에 충전한 솔라나 기반 스테이블코인은 솔라나 스마트 컨트랙트에 보관되고, 결제 시 해당 스마트 컨트랙트에서 돈이 빠져나가는 방식이다. 해커는 솔라나 스마트 컨트랙트 옛 버전에 남아 있던 보안 결함을 노려 스테이블코인을 빼돌렸다.
트리아와 아비치 크립토 카드는 '레인(Rain)'이란 가상 자산 카드 전문 결제 인프라(기반 시설)를 사용하고 있다. 해커는 레인이 설계한 솔라나 스마트 컨트랙트의 서명·권한 검증 결함을 파고들어 이용자별 담보 계정에 자신을 관리자로 등록한 뒤 잔액을 출금했다. 트리아와 아비치 자체의 문제라기보다는 레인의 코드 결함이 주된 원인이었다. 레인은 사고 당일 옛 버전을 쓰던 모든 프로그램을 최신화했다.
트리아는 전액 상환을 약속했고, 아비치는 사고 다음 날 전액 상환을 완료한 뒤 해커에게 빼앗긴 금액의 10%를 추가 지급했다.
이번 해킹 사건은 가상 자산 기반 결제 카드 시스템의 취약성을 보여준 사례로 평가되고 있다. 레인의 옛 버전 스마트 컨트랙트 한 곳이 해킹되자, 레인 생태계와 연계된 크립토 카드 프로젝트들이 자금이 유출되고 기능이 멈춰 서는 구조란 게 확인됐기 때문이다.
가상 자산 시황 플랫폼 코인게코(CoinGecko)가 지난달 27일 발표한 '2026 크립토 보안 현황 보고서'에 따르면, 작년 1월부터 올해 7월까지 19개월간 가상 자산 플랫폼에서 발생한 245건의 해킹 및 보안 사고로 36억3300만달러(약 5조원)가 유출됐다. 이 중 스마트 컨트랙트 보안 결함 및 취약점으로 인한 전 세계 누적 해킹 피해 규모는 최소 10억달러(약 1조3700억원)로 추산됐다.
가상 자산 기반 결제 카드 충전금은 은행 계좌가 아니라 스마트 컨트랙트로 송금되고 발급사도 은행이 아니기 때문에 예금자 보호와 같은 안전장치가 없다. 이들 카드는 한국에서 인가받은 금융 서비스가 아니라 문제가 생기면 한국 법의 보호도 받을 수 없다.
카카오페이(377300)·네이버페이 등 국내 선불카드 충전금은 2024년 9월부터 전자금융거래법에 따라 100% 별도 관리(신탁·예치·지급 보증 보험)가 의무화돼 있다.
바이낸스, OKX, 크립토닷컴 등 해외 가상 자산 거래소들도 자체 결제 카드를 발행하면서 한국 등 전 세계 시장에서 사업 영역을 확대하며 종합 금융 플랫폼으로 진화하고 있다. 8월 한 달간 전 세계에서 크립토 카드를 통한 결제액은 1조4500억원을 기록하며 1년 새 3배 이상으로 규모가 커졌다.