광주지검의 대규모 가상자산 분실 논란에 이어 서울 강남경찰서에서도 압수 보관 중이던 비트코인이 사라진 사실이 확인됐다.
13일 경찰에 따르면 강남경찰서는 2021년 11월 범죄 관련자로부터 임의 제출받아 보관해 온 비트코인 22개가 최근 외부로 유출된 사실을 파악했다. 현재 시세로 환산하면 약 21억원 규모다.
문제가 된 비트코인은 USB 형태의 '콜드월렛'에 보관돼 있었는데, 저장장치 자체는 그대로 남아 있었던 반면 내부 자산만 빠져나간 상태였던 것으로 전해졌다.
이번 사건은 광주지검 사고 이후 경찰청이 전국 경찰서 현황을 조사하는 과정에서 밝혀졌다. 경찰청은 앞서 광주지검이 압수 보관 중이던 비트코인 320개(시가 약 312억 원)가 사라진 사실이 알려진 뒤, 전국 수사기관을 대상으로 가상자산 관리 실태 전수 점검에 착수했다.
경기북부경찰청은 입건 전 조사에 나서 두 사건의 연관성과 내부 인력 개입 여부 등을 함께 살펴보고 있다.
전문가들은 이번 사건의 핵심 원인으로 가상자산 지갑의 마스터키 역할을 하는 '니모닉(Mnemonic) 코드' 관리 부실을 지목한다. 콜드월렛은 비트코인을 물리적으로 담아두는 장치가 아니라, 블록체인 상의 자산을 이동시킬 수 있는 개인 키를 생성·저장하는 수단에 불과하다.
특히 장치 분실에 대비해 제공되는 12~24개의 영어 단어 조합, 즉 니모닉 코드만 있으면 전 세계 어디서든 동일한 지갑을 복제할 수 있다.
수사 과정에서 피의자로부터 니모닉 코드를 함께 제출받아 문서나 사진 형태로 보관하는 과정에서, 보안이 취약한 내부 시스템을 통해 외부로 유출됐을 가능성이 거론된다. 이 경우 경찰이 금고에 보관 중이던 USB는 '열쇠'에 불과했고 실제 자산을 움직일 수 있는 '복제 열쇠'는 이미 외부로 넘어갔다는 해석이 가능하다.
문제는 이러한 유출이 오랜 기간 드러나지 않았다는 점이다. 현행 경찰의 압수물 관리 규정은 보관 장소나 장치의 훼손 여부 등 '물리적 상태' 점검에 초점이 맞춰져 있다. 강남경찰서 사례처럼 콜드월렛 자체가 그대로 남아 있으면 이상 징후를 포착하기 어렵다.
특히 해당 사건이 수사 중지 상태였던 점을 감안하면, 블록체인 상의 실제 잔액을 주기적으로 확인하지 않는 한 자산 유출을 인지하기는 사실상 불가능하다.
광주지검 사건과 강남경찰서 사건 모두 장치는 그대로 둔 채 자산만 인출됐다는 공통점을 보인다. 이 때문에 니모닉 코드나 지갑 접근 권한을 취급할 수 있었던 내부 관계자가 연루됐을 가능성도 배제할 수 없다는 분석이 나온다.
더구나 유출된 비트코인이 '믹싱(Mixing)' 기술 등을 통해 여러 지갑으로 쪼개져 이동될 경우 추적은 극도로 어려워진다. 가상자산 가격이 급등한 시점과 맞물려 범행이 이뤄졌다는 점에서, 보안 취약점을 사전에 인지한 인물이 시세 차익을 노렸을 가능성도 제기된다.
