최근 몇 달간 크립토 생태계에서 발생한 주요 보안 사고들은 스마트컨트랙트(계약 조건이 자동 실행되는 코드) 취약점이 아니라 가짜 신원과 AI 생성 스캠 같은 더 정교한 침해에서 비롯됐다는 경고가 나왔다. 솔라나 재단(Solana Foundation)의 최고정보보호책임자(CISO) 마이클 코츠(Michael Coates)는 이런 유형의 위협이 앞으로 블록체인 보안 우려의 다음 물결을 이끌 것이라고 밝혔다. 코츠는 8월 1일(현지시각) 코인데스크(CoinDesk)와의 인터뷰에서 인공지능을 활용한 피싱과 신원 사기가 늘고 있다며, 기술적 취약점보다 사람을 속이는 방식에 의존하는 새로운 위협이 업계를 위협하고 있다고 말했다. 그는 웹2(Web2) 기업이 갖춰야 할 보안 요건에 웹3(Web3) 고유의 위험까지 추가로 대응해야 하는 상황이라고 진단했다.

스마트컨트랙트 아닌 ‘사람’을 노리는 공격

코츠는 코인데스크 인터뷰에서 “웹2 기업이 보안을 위해 해야 하는 모든 일을 해야 하고, 여기에 웹3의 고유한 위험이 추가된다”고 말했다. 이어 “확실한 동기를 가진 공격자들이 자금을 되돌릴 수 없는 방식으로 빼갈 수 있는 환경에서는, 그들이 어떤 실수든 노리려 할 것”이라고 설명했다.

코츠에 따르면 최근 발생한 주요 보안 사고들의 공통점은 블록체인 코드 자체를 뚫은 게 아니라는 점이다. 가짜 신원을 이용하거나 AI로 만든 콘텐츠를 활용해 사람을 속이는 방식이 사고의 시작점이었다. 그는 업계가 AI 기반 소셜 엔지니어링(사회공학적 기법을 이용한 심리적 조작 공격) 공격에 각별히 주의를 기울여야 한다고 강조했다. 이런 공격은 블록체인을 직접 해킹하는 대신 피해자에게 접근해 개인키나 시드구문 같은 민감 정보를 빼내는 방식으로 이뤄진다. 대표적인 사례로 로맨스 스캠과 이른바 피그 부처링(pig-butchering) 스캠이 꼽혔다.

딥페이크로 더 정교해지는 사기 수법

코츠는 AI와 딥페이크 기술의 발전이 소셜 엔지니어링 공격을 한층 심각하게 만들 것으로 내다봤다. 피해자가 아는 사람의 목소리를 흉내 낸 가짜 전화가 흔해질 수 있다는 게 그의 경고다. 실제 음성을 학습해 특정인의 목소리를 재현하는 기술이 확산하면서, 지인이나 가족을 사칭한 전화가 사기 수단으로 활용될 가능성이 커지고 있다는 설명이다.

그는 사용자가 모든 스캠을 완벽하게 식별하는 것은 현실적으로 불가능하다고 지적했다. 이 때문에 계층화된 보안 시스템(layered security system)이 필요하다고 강조했다. 누군가 속아 넘어가더라도 다른 안전장치가 실제 손실을 막아줄 수 있는 구조를 갖춰야 한다는 의미다. 한 단계의 보안이 뚫려도 다음 단계가 피해를 저지하는 방식으로 시스템을 설계해야 한다는 게 그의 핵심 제언이다.

트위터·모질라 출신 보안 전문가의 합류

코츠는 과거 트위터(Twitter)에서 CISO를 지냈고, 이른바 ‘브라우저 전쟁’ 시기 모질라(Mozilla)에서 보안 부문을 이끈 경력이 있다. 그는 올해 초 솔라나 재단에 합류했다. 그의 역할은 재단 자체의 보안을 책임지는 데 그치지 않는다. 솔라나 생태계 내 프로젝트들과 협력해 각 네트워크와 프로젝트에 강력한 보안 관행을 도입하도록 돕고, 규제기관과 만나 적절한 사이버보안 표준을 마련하는 작업도 그의 업무 범위에 포함된다.

이번 발언은 크립토 업계 전반에서 기술적 해킹보다 사람의 실수나 신뢰를 노린 공격이 늘고 있다는 최근 흐름과 맞닿아 있다. 스마트컨트랙트 감사와 코드 검증에 집중해온 기존 보안 접근 방식만으로는 AI가 만들어내는 새로운 유형의 사기를 막기 어렵다는 게 코츠의 진단이다. 그는 사용자 교육과 함께, 피해가 발생해도 자금 손실로 이어지지 않도록 하는 다층적 방어 체계 구축이 앞으로 업계 전체의 과제가 될 것이라고 내다봤다.