국세청, 체납자 압류 가상자산 니모닉 코드 보도자료에 유출 60~70억 규모 가상자산 탈취 국세청 즉각 사과 "변명의 여지 없는 잘못.. 재방방치 대책 마련할 것" 코인 반환됐지만, 2시간 뒤 다시 외부 지갑으로 가상자산에 대한 기초 이해 부족과 보안 의식 부재 지적 과도한 실적 경쟁도 한몫했다는 분석 코인 가치와 무관하게 책임 피하기 어려워 보여
◆…세종시 국세청사.
국세청이 고액·상습 체납자로부터 압류한 가상자산 지갑의 '니모닉 코드(복구 문구)'를 보도자료 사진에 그대로 노출하는 초유의 사고를 냈다.
니모닉은 분실한 전자지갑을 복원할 때 사용하는 암호 문구로, 이를 알면 실물 장치가 없어도 언제 어디서든 지갑을 재생성해 내부 자산을 옮길 수 있다. 은행 계좌로 치면 공인인증서와 비밀번호, 보안카드를 한 번에 공개한 것과 다름없는 정보다. 성과를 홍보하려던 보도자료 한 장이 수십억원대 코인 유출 논란으로 번지며 공공기관의 디지털 자산 관리 역량과 보안 의식 전반에 경고등을 켰다.
사건은 지난달 26일 배포된 '고액·상습체납자 현장 수색 결과' 보도자료에서 시작됐다. 국세청은 체납자 주거지에서 가상자산이 저장된 콜드월렛 USB 4개를 발견해 압류했다고 밝혔다. 문제의 사진에는 하드월렛 기기와 함께 니모닉이 적힌 종이가 선명하게 담겼다. 모자이크 등 보안 처리는 없었다.
보도자료가 배포된 직후 누군가가 즉각 움직였다. 공개된 니모닉을 이용해 해당 지갑을 복원한 뒤, 내부에 보관돼 있던 PRTG(프리리토게움) 토큰 400만 개를 외부 지갑으로 이체한 것이다. 블록체인 상 기록에 따르면, 탈취자는 전송 수수료(가스비)로 쓰일 소량의 이더리움을 먼저 입금한 뒤 3차례에 걸쳐 토큰을 옮겼다. 당시 시세를 단순 적용하면 60억~70억원 규모라는 분석이 나오면서 파장이 커졌다.
논란이 확산되자 국세청은 지난 1일 휴일에 이례적으로 사과문을 내고 "변명의 여지 없이 국세청의 잘못"이라고 밝혔다. 체납자 현장 수색 성과를 보다 생생하게 전달하려는 과정에서 가상자산 민감정보가 포함된 사실을 인지하지 못하고 원본 사진을 제공했다는 설명이었다. 유출 경로를 자체 추적 프로그램으로 분석하고 경찰에 수사를 의뢰했으며, 보안 체계 전반에 대한 외부 진단과 내부 통제 강화를 약속했다. 구윤철 재정경제부 장관도 "관계기관과 함께 정부·공공기관의 디지털 자산 관리 실태를 점검하고 재발 방지 대책을 마련하겠다"고 밝혔다.
사태는 일단락되는 듯했다. 한 남성이 경찰에 "호기심에 코인을 빼갔다가 다음 날 되돌려놨다"고 자수했다는 사실이 전해졌기 때문이다. 그러나 안도는 오래가지 않았다. 반환된 것으로 알려진 코인이 약 2시간 뒤 다시 외부 지갑으로 빠져나간 사실이 뒤늦게 확인됐다. 니모닉이 이미 공개된 이상 누구나 지갑을 복원할 수 있는 상태였기 때문이다. 업계에선 "니모닉이 노출된 시점에 즉시 새로운 지갑을 생성해 자산을 옮겼어야 했다"는 지적이 나왔다. 기본적인 대응 절차가 작동하지 않았다는 비판이다.
유출 규모를 둘러싼 가치 논란도 이어졌다. PRTG는 해외 거래소 MEXC에만 상장된 거래량이 매우 적은 코인으로, 발행량 1000만 개 중 상당 물량이 소수 지갑에 집중돼 있는 것으로 알려졌다. 일부에서는 특정 시점의 매도 호가에 수량을 곱해 "70억원대 탈취"라고 평가했지만, 업계에선 "유동성이 낮아 400만 개를 시장에 내놓는 순간 가격이 급락해 실제 현금화 가능한 금액은 수백만원~수천달러 수준일 수 있다"는 분석을 내놨다. 거래소 입금 즉시 계정이 동결될 가능성도 거론됐다.
그러나 코인의 실제 가치와는 별개로, 압류 자산의 '마스터키'를 공공기관이 공개했다는 사실 자체가 중대한 문제라는 지적이 제기된다.
전문가들은 이번 사건의 본질을 가상자산에 대한 기초 이해 부족과 보안 의식 부재로 본다. 한 가상자산 전문가는 "니모닉은 종이나 금속 플레이트에 기록해 오프라인으로만 보관해야 한다는 것이 기본 수칙"이라며 "사진 촬영, 메신저 전송, 클라우드 저장은 금기다. 그럼에도 원본 사진이 걸러지지 않고 배포됐다는 점은 사전 검증·보안 심의 체계가 작동하지 않았음을 보여준다"고 지적했다.
일각에선 과도한 실적 홍보 경쟁이 부주의를 키웠다는 지적도 나온다. 최근 국세청 내부에서 각 과가 성과를 경쟁적으로 보도자료로 내며 홍보에 열을 올렸고, 배포 일정이 겹쳐 조정해야 할 정도였다는 전언도 있다. 압류 성과를 강조하는 과정에서 민감정보 점검이 뒷전으로 밀렸다면 조직 차원의 관리 책임을 피하기 어렵다는 이야기가 나온다.
단순 실무자 과실로 정리할 사안인지, 가상자산 압류·보관·매각 전 과정을 포괄하는 매뉴얼 부재와 내부 통제 실패에 대한 조직적 책임을 물어야 하는지 논의가 불가피해 보인다.
조세일보 / 이현재 기자 rozzhj@joseilbo.com
[저작권자 ⓒ 조세일보(http://www.joseilbo.com/). 무단전재 및 재배포 금지]
국세청, 체납자 압류 가상자산 니모닉 코드 보도자료에 유출 60~70억 규모 가상자산 탈취 국세청 즉각 사과 "변명의 여지 없는 잘못.. 재방방치 대책 마련할 것" 코인 반환됐지만, 2시간 뒤 다시 외부 지갑으로 가상자산에 대한 기초 이해 부족과 보안 의식 부재 지적 과도한 실적 경쟁도 한몫했다는 분석 코인 가치와 무관하게 책임 피하기 어려워 보여
국세청이 고액·상습 체납자로부터 압류한 가상자산 지갑의 '니모닉 코드(복구 문구)'를 보도자료 사진에 그대로 노출하는 초유의 사고를 냈다.
니모닉은 분실한 전자지갑을 복원할 때 사용하는 암호 문구로, 이를 알면 실물 장치가 없어도 언제 어디서든 지갑을 재생성해 내부 자산을 옮길 수 있다. 은행 계좌로 치면 공인인증서와 비밀번호, 보안카드를 한 번에 공개한 것과 다름없는 정보다. 성과를 홍보하려던 보도자료 한 장이 수십억원대 코인 유출 논란으로 번지며 공공기관의 디지털 자산 관리 역량과 보안 의식 전반에 경고등을 켰다.
사건은 지난달 26일 배포된 '고액·상습체납자 현장 수색 결과' 보도자료에서 시작됐다. 국세청은 체납자 주거지에서 가상자산이 저장된 콜드월렛 USB 4개를 발견해 압류했다고 밝혔다. 문제의 사진에는 하드월렛 기기와 함께 니모닉이 적힌 종이가 선명하게 담겼다. 모자이크 등 보안 처리는 없었다.
보도자료가 배포된 직후 누군가가 즉각 움직였다. 공개된 니모닉을 이용해 해당 지갑을 복원한 뒤, 내부에 보관돼 있던 PRTG(프리리토게움) 토큰 400만 개를 외부 지갑으로 이체한 것이다. 블록체인 상 기록에 따르면, 탈취자는 전송 수수료(가스비)로 쓰일 소량의 이더리움을 먼저 입금한 뒤 3차례에 걸쳐 토큰을 옮겼다. 당시 시세를 단순 적용하면 60억~70억원 규모라는 분석이 나오면서 파장이 커졌다.
논란이 확산되자 국세청은 지난 1일 휴일에 이례적으로 사과문을 내고 "변명의 여지 없이 국세청의 잘못"이라고 밝혔다. 체납자 현장 수색 성과를 보다 생생하게 전달하려는 과정에서 가상자산 민감정보가 포함된 사실을 인지하지 못하고 원본 사진을 제공했다는 설명이었다. 유출 경로를 자체 추적 프로그램으로 분석하고 경찰에 수사를 의뢰했으며, 보안 체계 전반에 대한 외부 진단과 내부 통제 강화를 약속했다. 구윤철 재정경제부 장관도 "관계기관과 함께 정부·공공기관의 디지털 자산 관리 실태를 점검하고 재발 방지 대책을 마련하겠다"고 밝혔다.
사태는 일단락되는 듯했다. 한 남성이 경찰에 "호기심에 코인을 빼갔다가 다음 날 되돌려놨다"고 자수했다는 사실이 전해졌기 때문이다. 그러나 안도는 오래가지 않았다. 반환된 것으로 알려진 코인이 약 2시간 뒤 다시 외부 지갑으로 빠져나간 사실이 뒤늦게 확인됐다. 니모닉이 이미 공개된 이상 누구나 지갑을 복원할 수 있는 상태였기 때문이다. 업계에선 "니모닉이 노출된 시점에 즉시 새로운 지갑을 생성해 자산을 옮겼어야 했다"는 지적이 나왔다. 기본적인 대응 절차가 작동하지 않았다는 비판이다.
유출 규모를 둘러싼 가치 논란도 이어졌다. PRTG는 해외 거래소 MEXC에만 상장된 거래량이 매우 적은 코인으로, 발행량 1000만 개 중 상당 물량이 소수 지갑에 집중돼 있는 것으로 알려졌다. 일부에서는 특정 시점의 매도 호가에 수량을 곱해 "70억원대 탈취"라고 평가했지만, 업계에선 "유동성이 낮아 400만 개를 시장에 내놓는 순간 가격이 급락해 실제 현금화 가능한 금액은 수백만원~수천달러 수준일 수 있다"는 분석을 내놨다. 거래소 입금 즉시 계정이 동결될 가능성도 거론됐다.
그러나 코인의 실제 가치와는 별개로, 압류 자산의 '마스터키'를 공공기관이 공개했다는 사실 자체가 중대한 문제라는 지적이 제기된다.
전문가들은 이번 사건의 본질을 가상자산에 대한 기초 이해 부족과 보안 의식 부재로 본다. 한 가상자산 전문가는 "니모닉은 종이나 금속 플레이트에 기록해 오프라인으로만 보관해야 한다는 것이 기본 수칙"이라며 "사진 촬영, 메신저 전송, 클라우드 저장은 금기다. 그럼에도 원본 사진이 걸러지지 않고 배포됐다는 점은 사전 검증·보안 심의 체계가 작동하지 않았음을 보여준다"고 지적했다.
일각에선 과도한 실적 홍보 경쟁이 부주의를 키웠다는 지적도 나온다. 최근 국세청 내부에서 각 과가 성과를 경쟁적으로 보도자료로 내며 홍보에 열을 올렸고, 배포 일정이 겹쳐 조정해야 할 정도였다는 전언도 있다. 압류 성과를 강조하는 과정에서 민감정보 점검이 뒷전으로 밀렸다면 조직 차원의 관리 책임을 피하기 어렵다는 이야기가 나온다.
단순 실무자 과실로 정리할 사안인지, 가상자산 압류·보관·매각 전 과정을 포괄하는 매뉴얼 부재와 내부 통제 실패에 대한 조직적 책임을 물어야 하는지 논의가 불가피해 보인다.
조세일보 / 이현재 기자 rozzhj@joseilbo.com
[저작권자 ⓒ 조세일보(http://www.joseilbo.com/). 무단전재 및 재배포 금지]