[조봄 기자]

# 국세청이 고액 체납자로부터 애써 압류한 수십억원 규모의 가상자산(거래소 시가 기준)을 탈취당하는 어이없는 사고가 터졌다. 고액 체납자 재산을 압류한 성과를 홍보하기 위해 내놓은 보도자료에서 가상자산 지갑의 '니모닉 코드'를 고스란히 노출한 것이 원인이었다.

# 니모닉 코드는 전자지갑의 마스터키 역할을 하는 정보로, 해당 코드만 있으면 지갑에 담긴 가상자산을 복구해 인출할 수 있다. 국세청은 사고가 터진 직후 경찰에 수사를 의뢰하는 한편, "변명의 여지없이 국세청의 잘못"이라며 대국민 사과문을 냈다.

국세청이 1일 대국민 사과문을 냈다. [사진｜뉴시스]

국세청은 1일 '가상자산 유출 사고에 대해 국민 여러분께 깊이 사과드립니다'라는 제목의 사과문을 내고, "지난 2월 26일 체납자 대상 현장수색 성과를 브리핑하는 과정에서 체납자의 가상자산 정보가 유출되는 사고가 발생했다"고 설명했다.

당시 보도자료에서 국세청은 고액 체납자의 가상자산이 들어있는 콜드월렛(전자지갑) USB 4개를 압류했다고 밝혔다. 지갑에는 프리리토게움(PRTG)이라는 가상자산 400만개가 들어있었던 것으로 알려졌다.

체납자 입장에서도 매우 귀중한 자산이었던지 당시 보도자료에 따르면 "압류한 가상자산의 인출을 시도하자 체납자가 본인 소유의 부동산에 설정된 근저당권(16억원)을 스스로 해제"했다. 국세청이 압류 부동산을 매각할 수 있도록 조치해준 것이다.

문제는 가상자산이 보관된 USB메모리 형태의 콜드월렛 사진을 보도자료에 포함시키면서 발생했다. 지갑 덮개에 적혀있던 '니모닉 코드'까지 모자이크 없이 그대로 노출한 것이다. 니모닉 코드는 계좌번호와 비밀번호, 보안카드 또는 OTP 기능을 모두 합친 것과 같은 핵심 보안정보로, 이 코드만 있으면 지갑 없이도 가상자산 복구가 가능하다.

조재우 한성대 교수 겸 블록체인연구소장은 자신의 SNS를 통해 해당 가상자산이 27일 실제로 인출된 사실을 확인했다면서 의심 지갑의 블록체인 거래 내역을 공개했다. 그는 다만 "유출된 PRTG 400만개는 거래소 시가 기준 약 64억원이지만 현금화는 사실상 불가능하다"고 분석했다.

그 이유로 "MEXC 단일 거래소에 PRTG/USDT 단일 페어로 상장돼 있고, 유동성이 극히 낮다. 실질적으로 현금화 가능한 금액은 많아야 수천 달러를 넘기 어렵다"는 점을 제시했다. 조 교수는 "해당 계정에 빗썸과 코빗 출금 흔적이 있어 쉽게 추적 가능한 계정"이라며 "화이트해커일 가능성도 있다"고 덧붙였다.

실제로 사건을 수사 중인 경찰청 사이버테러대응과에는 지난 28일 자신이 가상자산을 인출했다고 주장하는 온라인 신고가 접수됐다. 신고자는 호기심에 인출을 시도했고, 다음날 되돌려놨다고 주장한 것으로 알려졌다. 경찰은 현재 사실관계를 확인 중이다.

국세청은 "원본사진을 부주의하게 언론에 제공한 결과 발생한 것으로, 변명의 여지없이 국세청의 잘못"이라고 사과하면서 "유출경로 추적과 경찰 수사 의뢰 등 유출된 가상자산 회수를 위해 총력을 다하고 있다"고 밝혔다.

이어 "이번 사고를 계기로 대외 공개시 민감정보가 유출되지 않도록 사전심의 등 내부통제를 강화하는 한편, 가상자산 압류·보관·매각 전 과정에 대한 매뉴얼을 전면 재정비하는 등 철저한 재발방지 대책을 마련해 신속히 추진하겠다"고 덧붙였다.

조봄 더스쿠프 기자

spring@thescoop.co.kr

<저작권자 copyright ⓒ 더스쿠프 무단전재 및 재배포 금지>