바이낸스 63억 달러 도난 전날, 비탈릭은 방금 중앙화 방어의 취약성을 경고했다

원문 출처실리콘밸리 101

정리｜Golem@web3_golem

10월 30일 새벽, 세계 최대 암호화폐 거래소 바이낸스의 핫월렛이 63억 달러어치를 도난당했다. 약 30억 달러 규모의 피해 자산은 동결되었지만, 여전히 약 33억 달러는 해커가 자유롭게 이동할 수 있는 상태다. 공식 초기 조사에 따르면, 이번 사건은 한 DevOps 엔지니어의 노트북이 침해당한 데서 비롯되었으며, 공격자는 이를 통해 서비스 컨테이너에 접근해 무단 출금 거래를 제출했다.(관련 기사:바이낸스 63억 달러 초대형 절도 사건 전 과정 복기)

그런데 바이낸스 도난 전날 밤, 이더리움 창시자 비탈릭은 최신 《실리콘밸리 101》의 효과적 이타주의(EA) 관련 팟캐스트에서 마침 보안에 관한 철학적 문제를 논의했는데, 여기에는 중앙화 방어의 취약성, 방어 우선, 탈중앙화/오픈소스, 그리고 "인간 대 인간"의 복잡한 보안 문제가 포함되어 있었다.

비탈릭이 팟캐스트에서 "탈중앙화 방어가 없으면 중앙집중식 방어에 의존할 수밖에 없고, 중앙집중식 방어는 더 취약하다"고 강조한 직후, 오늘 바이낸스 핫월렛이 뚫리면서 이 말은 거의 현실의 각주가 되었다.

비탈릭이 주로 이야기한 것은 AI 안전이었지만, AI가 나날이 발전하고 프로그램 취약점을 찾는 효율이 점점 더 무서워지는 오늘날, 암호화폐 업계에는 견고한 방화벽이란 존재하지 않으며 보안 사고는 필연적인 것처럼 보인다. 최근 몇 달 동안 암호화폐 프로젝트에서 보안 사고가 빈발했는데, 바이낸스 도난과 같은 날 Polymarket은 단지 UI가 침해당했다는 이유만으로 약 270만 달러를 도난당했고 한때 거래가 중단되기도 했다.

"목표나 시스템을 설정할 때의 미세한 편차/취약점은 고지능/고가치 환경에서 재앙으로 확대될 수 있다"라고 비탈릭은 현재 AI 환경에서의 보안 문제를 이렇게 진단했다. Odaily는 아래에서 비탈릭 대화 속 보안 사상을 정리해 독자들에게 참고 자료로 제공한다.

비탈릭, 분산형 방어 주장

비탈릭은 팟캐스트에서 d/acc 개념을 다시 소개했는데, 핵심 세 가지 특징은 Defensive(방어적), Decentralized(탈중앙화), Acceleration(가속주의)이다. 비탈릭이 가속주의의 중요성을 생각하는 이유는, 현재 사람들이 AI를 악용한 해커 공격의 위험으로부터 보호 시스템 기술을 개발하는 데 더 많은 시간과 역량을 투자해야 하며, 이는 곧 기술에 더 많은 자원을 투입해야 함을 의미한다.

방어와 탈중앙화를 논하면서 비탈릭은 둘이 밀접하게 관련되어 있다고 보았고, 산지와 평원의 지리적 비유를 사용했다. 그는 산이 많은 지역, 예컨대 유럽의 스위스에서는 더 작은 국가와 독립 도시가 형성되기 쉽고 자치가 형성되기도 쉽지만, 동쪽으로 2000킬로미터를 가면 평원이 나타나는데 여기서는 하나의 거대한 전제 독재 국가가 형성되기 쉽고 하나의 조직이 모든 것을 통제한다고 말했다.

비탈릭은 이러한 지역(시스템)에서는 탈중앙화 방어(분산형 방어)가 완전히 불가능하고 중앙집중식 방어에만 의존할 수밖에 없지만, 중앙집중식 방어는 "가정의 정확성"에 너무 의존하기 때문에 더 취약하다고 지적했다. 즉 시스템이 사전에 가능한 위험이나 공격이 어떤 모습일지 예측할 것을 요구한다.

d/acc는 또한 방어 우선을 주장하며, 방어를 가속과 동등하게 중요한 위치에 둔다. 플랫폼이 클수록 방어 투입은 비례 이상으로 증가해야 하며, 그렇지 않으면 단일 장애점 비용이 기하급수적으로 상승한다. 예컨대 이번 바이낸스 보안 사건에서 노트북 한 대의 침해가 수십억 달러의 청구서로 이어졌다.

"인간적 요인"이 기술적 취약점보다 더 치명적

팟캐스트에서 비탈릭은 AI 안전에서 "인간 대 자연"뿐만 아니라 "인간 대 인간"에도 대응해야 한다고 말했다. 그는 "자연"과의 대결에 비해 인간 대 인간의 대결은 매우 복잡하며, 특히 상대가 나만큼 똑똑할 때는 순수한 기술적 방어만으로는 부족하다고 보았다.

따라서 비탈릭이 제시한 관점 중 하나는 "AI 안전은 순수한 공학 문제가 아니라 오히려 정치 설계 문제에 더 가깝다"는 것이다.

이 사상은 암호화폐 보안 분야에도 여전히 적용된다. 바이낸스의 이번 핫월렛 도난은 개인키가 직접 유출된 것이 아니라 엔지니어의 노트북이 침해되어 해커가 내부 권한 체계에 진입한 것이다. 엔지니어의 노트북이 침해된 방식은 아직 알 수 없으며, 낯선 피싱 사이트를 클릭했거나 낯선 WIFI에 연결했거나, 심지어 공공장소에서 해커가 USB를 꽂아 바이러스를 심었을 가능성도 있다.

요컨대 해커 공방전에서는 기술적으로 취약점이 없어 보이더라도, 인간은 최대의 불확실성 원천으로서 각종 수단에 의해 극히 쉽게 뚫릴 수 있으며, 이것이 진정한 방어 난제다.

불확실성 인정

마지막으로 비탈릭은 팟캐스트 말미에서 "AI 안전에 직면해 우리는 아직 모르는 것이 많으며, 열린 마음을 유지하는 것이 가장 중요하다"고 말했다.

암호화폐 보안 분야도 마찬가지다. 보안 통제를 거의 극한까지 끌어올린 업계 선두 바이낸스조차 북한 해커에게 뚫리는 날이 있다. 불확실성을 담담히 인정하는 것이 완전히 통제했다고 가장하는 것보다 언제나 낫다. 그래야만 다음 암호화폐 보안 위기에서 더 침착하고 더 많은 대책을 세울 수 있을 것이다.