공권력이 지키지 못한 디지털 자산
경찰이 수사 증거물로 보관 중이던 비트코인 22개가 사라진 사건이 수면 위로 드러났습니다. 2022년 5월, 강남경찰서는 한 코인업체의 해킹 피해 신고를 받고 관련 비트코인을 임의 제출받아 콜드월렛(오프라인 지갑)에 보관 중이었습니다. 그런데 그 비트코인을 신고한 바로 그 업체의 실운영자 A씨가 보관 지갑의 복구 암호인 ‘니모닉 코드’를 이용해 비트코인을 빼돌려 약 10억 원 상당으로 현금화한 혐의로 구속된 것입니다. 수사 기관이 관리하는 증거물이 오히려 범죄에 이용당하는 아이러니한 상황이 발생한 셈이죠.
당시 경찰은 업체로부터 제출받은 비트코인을 새로 마련한 경찰 전용 지갑이 아닌, 업체가 제공한 지갑에 그대로 보관한 것으로 알려졌습니다. 여기에 더해 A씨는 지갑 접근에 필요한 니모닉 코드를 이미 알고 있었고, 이를 활용해 경찰의 눈을 피해 자산을 이동시켰습니다. 경찰 내부 지침을 제대로 따르지 않은 보관 방식이 이런 사태를 부채질한 측면이 있습니다.
‘실적 홍보’가 불러온 국세청의 보안 사고
이와 맥을 같이하는 또 다른 사건이 국세청에서 발생했습니다. 국세청은 고액 체납자의 재산을 압류한 성과를 홍보하는 보도자료를 배포하면서, 압류한 가상자산 콜드월렛의 니모닉 코드가 담긴 USB 사진을 무방비하게 공개해버렸습니다. 니모닉 코드는 지갑의 마스터키와 같아서 이 코드만 있으면 물리적 지갑 없이도 모든 자산에 접근하고 이동시킬 수 있습니다.
보도자료 공개 직후, 한전문가는 해당 코드를 통해 약 69억 원 상당의 ‘PRTG’ 토큰이 외부로 유출된 것을 확인했다고 주장했습니다. 국세청은 해당 토큰의 시장 거래량이 미미해 현금화 가능성은 낮다고 반박했지만, 핵심 보안 정보가 공개된 것 자체가 국가 기관의 보안 의식 부재를 적나라하게 보여주는 사례가 됐습니다. 게다가 보도자료에는 체납자의 실명까지 노출되어 개인정보 보호 측면에서도 비판을 받았습니다.
반복되는 관리 허점, 신뢰 회복이 시급하다
두 사건은 공공기관의 가상자산 관리 시스템이 얼마나 취약한지를 동시에 보여줍니다. 강남경찰서 사건은 압수 증거물에 대한 안전한 보관 프로토콜이 제대로 작동하지 않았음을, 국세청 사건은 홍보에 치중한 나머지 기본적인 보안 검토까지 소홀했음을 드러냈습니다. 흥미롭게도 과거에도 광주지검 등에서 압수한 비트코인 분실 사건이 보고된 바 있어, 이번 사건들은 결코 고립된 사례로 볼 수 없습니다.
전문가들은 가상자산의 특성상, 일단 유출되면 추적이 극히 어렵고 회복 가능성도 낮다는 점을 지적합니다. 따라서 압수 또는 압류된 가상자산을 관리할 때는 일반 현금이나 물건보다 훨씬 더 엄격하고 전문적인 절차가 필요합니다. 이런 식으로 공공기관이 관리하는 가상자산이 유출될 수 있다는 사실 자체가 국민의 신뢰를 크게 훼손할 수 있습니다. 향후 가상자산에 대한 과세와 규제가 본격화될 것을 고려하면, 관련 제도와 내부 관리 매뉴얼을 하루빨리 보완하는 것이 시급한 과제로 떠오르고 있습니다.