[뉴스토마토 전연주 기자] 스테이블코인의 신뢰를 확보하려면 준비자산뿐 아니라 관리자 권한과 발행 과정에 대한 통제도 강화해야 한다는 지적이 나옵니다. 스마트컨트랙트 결함으로 준비자산을 초과한 토큰이 발행될 경우 이용자의 상환 가능성까지 흔들리는 취약점이 발견된 만큼, 이를 방지할 필요가 있다는 분석입니다.
스마트컨트랙트는 블록체인상에서 미리 정해진 조건에 따라 자동으로 실행되는 프로그램입니다. 스테이블코인의 발행과 교환, 유통량 관리 등의 기능도 스마트컨트랙트를 통해 이뤄지기에, 코드나 관리자 권한에 문제가 생기면 발행 체계 전체가 영향을 받을 수 있습니다.
31일 업계에 따르면 최근
위메이드(112040)가 운영하는 위믹스 생태계의 스테이블코인 '위믹스달러(WEMIX$)'에서 스마트컨트랙트 관리자 권한이 제3자에게 넘어가 약 522만개의 토큰이 비정상 발행됐습니다. 공격자는 초기화 함수 결함을 이용해 관리자 권한을 확보한 것으로 파악됐습니다.
이번 사례는 스테이블코인의 안정성을 준비자산 규모만으로 판단하기 어렵다는 점을 보여줍니다. 준비자산을 100% 보유하고 있더라도 발행량을 임의로 늘릴 수 있다면 실제 유통량과 준비자산 사이에 차이가 발생할 수 있습니다.
황석진 동국대 국제정보보호대학원 교수는 "스테이블코인은 언제든지 1달러를 (1대 1로) 교환할 수 있다는 신뢰가 중요한데, 무단 발행이 발생하면 상환 신뢰가 흔들릴 수 있다"며 "준비금을 100% 보유해도 발행량을 마음대로 늘릴 수 있다면 준비금의 의미가 없어진다"고 말했습니다.
전문가들은 비정상 발행을 막기 위해 관리자 권한을 분산하고 다중서명과 추가 승인 절차를 적용해야 한다고 봅니다. 사전에 정해진 발행량을 넘으면 자동으로 발행을 중단하고, 관리자 권한 변경이나 발행량 급증을 실시간으로 감지하는 장치가 필요하다는 겁니다.
아울러 스마트컨트랙트 배포 전후의 검증 절차를 강화해야 한다는 필요성도 제기됩니다. 초기화 함수가 중복 실행되지 않는지, 권한을 우회할 가능성이 없는지 점검하고 개발 부서 외의 조직이나 외부 기관이 이를 교차 검증해야 한다는 설명입니다.
황 교수는 "초기화 함수는 한 번만 실행되도록 하고 권한을 엄격하게 제한한 뒤 배포 직후 잠그는 것이 핵심"이라며 "발행량과 유통량을 실질적으로 감시할 수 있는 기능도 필요하다"고 제언했습니다.
비정상 발행 사고 이후 상환 책임을 누구에게 물을지도 쟁점입니다. 현행 법체계에는 스테이블코인의 상환 의무가 별도로 규정돼 있지 않아 발행사의 이용약관이나 계약 내용에 따라 책임이 달라질 수 있기 때문입니다.
김효봉 법무법인 태평양 변호사는 "발행사가 이용약관이나 다른 계약을 통해 상환을 약속했고 별도의 면책 사유가 적용되지 않는다면, 계약상 상환 의무가 있을 수 있다"며 "현행법에는 스테이블코인 상환 의무가 직접 규정돼 있지 않다"고 설명했습니다.
준비자산보다 많은 토큰이 유통됐을 때 정상 발행분과 비정상 발행분을 어떻게 구분할지, 누구에게 먼저 상환할지, 부족분은 누가 부담할지에 대한 기준도 명확하지 않습니다.
향후 원화 스테이블코인 법제에는 이용자의 상환권과 비정상 발행분 처리, 발행사의 책임 범위를 명문화할 필요가 있다는 지적이 나옵니다. 스마트컨트랙트와 브리지(블록체인 간 자산 교환·연결 시스템) 등 블록체인 소프트웨어의 취약점을 정기적으로 점검하도록 하는 의무도 보완 과제로 꼽힙니다.
김 변호사는 "현재 이용자보호법에는 스마트컨트랙트 등의 취약점 점검을 의무화한 구체적인 규정이 없다"며 "취약성을 판단할 역량을 갖춘 기관과 관련 점검 체계도 함께 마련할 필요가 있다"고 강조했습니다.
전연주 기자 kiteju1011@etomato.com
이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김충범 테크지식산업부장이 최종 확인·수정했습니다.
ⓒ 맛있는 뉴스토마토, 무단 전재 - 재배포 금지