게임물관리위원회 부장급 직원이 사무소 PC로 가상자산을 몰래 '채굴'하다 적발된 것으로 드러났다. 가상자산을 채굴하기 위해 장치를 무단으로 탈취해 사용하는 '크립토재킹'이 공공기관에서 발생한 것이다.

이처럼 관리에 허점이 드러났지만 게임위의 대응은 미온적이라는 지적이 나온다. 일각에서는 국정감사를 앞두고 쉬쉬하는 것 아니냐는 지적도 나온다. 게임위는 국회의원실의 자료 제출 요청에도 구체적인 내용을 명시하지 않았을 뿐만 아니라, 이례적으로 두달 넘게 감사를 진행하고 있다.

부장급 직원, 공공기관 자원으로 이더리움 채굴

4일 테크M 취재에 따르면 게임위 부장급 직원 A씨는 서울과 부산 사무소 PC로 가상자산을 채굴하다 적발됐다. 그는 수개월 동안 이더리움을 채굴한 것으로 알려졌다. 이더리움은 가상자산 시가총액 2위로 4일 기준 개당 190만원대에 거래되고 있다. 이에 게임위는 지난 8월 1일부터 자체 감사를 진행하고 있다. 

채굴이란 블록체인의 거래 내역을 검증하고 보상을 받는 일련의 과정을 뜻한다. 블록체인은 거래 내역을 기록한 원장을 전세계 네트워크에 분산 저장하게 되는데, 이를 유지하기 위해 해당 블록을 생성한 사람에게 일정한 보상을 지급하도록 설계돼 있다. A씨는 이 보상을 받기 위해 지분증명(PoW) 방식의 이더리움을 채굴했다. 

PoW란 컴퓨터 연산을 통해 거래 내역을 검증하는 방식으로 높은 컴퓨팅 파워(고성능 그래픽카드)와 전력을 필요로 한다. 전문 채굴업자들은 가격이 높은 고성능 그래픽카드를 탑재한 '채굴기'를 만들어 사용한다. 전력 사용량도 상당해 채굴기 수에 따라 채굴업자는 매달 수백만원에서 수천만원대의 전기료를 내는 것으로 알려져 있다. A씨는 공공기관 자원을 활용해 한푼도 들이지 않고 사적 이익을 취한 것이다. 

두달 넘게 이어지는 감사...게임위 국감 앞두고 '쉬쉬'?

부장급 직원의 비위가 발생했지만 게임위는 국정감사를 앞두고 이번 사건에 대해 쉬쉬하는 모습이다. 이상헌 더불어민주당 의원실이 게임위로부터 제출받은 '자체감사현황'에 따르면 정기적인 회계감사를 제외하면 현재까지 진행됐거나 진행중인 감사는 지난 8월 1일 시작된 '특정감사' 단 한건이다. 

주목할만한 부분은 게임위가 국감을 앞둔 의원실의 요청에도 해당 특정감사가 어떤 이유로 진행되는지 밝히고 있지 않다는 점이다. 게임위는 감사가 진행중인 감사이기 때문에 구체적인 내용은 밝힐 수 없다는 입장이다. 현재는 이 특정감사가 자체감사 대상기관에 속한 사람의 복무의무 위반, 비위 사실, 근무실태 점검 등을 목적으로 실시하는 '복무감사'라는 점만 확인할 수 있다.

아울러 이번 특정감사는 다른 감사와 비교했을 때 감사 기간이 두배 이상 길다. 게임위가 제출한 자체감사현황에 따르면 지난 2018년부터 2021년까지 진행된 자체감사는 대부분 1~2주 사이에 마무리 됐다. 아무리 길어도 한달 내에는 감사결과가 나왔다. 반면 이번 특정감사는 두달 넘게 이어지고 있다. 일각에서 국감을 앞두고 게임위 시간을 끌고 있다는 지적이 나오는 이유다. 

공공기관서 또 '크립토재킹'...내외부 위험 커진다

공공기관 자원을 활용해 가상자산을 채굴한 사건은 이번이 처음은 아니다. 지난 2019년 과학기술정보통신부 산하 공공기관인 한국지질자원연구원 연구용 서버에 가상자산 채굴 프로그램이 설치돼 논란이 된 바 있다. 당시 연구용 서버를 유지·보수하는 용역업체 직원이 채굴 프로그램을 설치했다. 이에 과기정통부는 산하기관 63곳에 대한 전수조사를 진행하기도 했다.

이처럼 가상자산을 채굴하기 위해 누군가의 장치를 무단으로 탈취해 사용하는 것을 크립토재킹이라고 한다. 이번 게임위 사례는 외부 해킹에 따른 크립토재킹은 아니지만, 채굴 프로그램을 돌리면 하드웨어 자원의 성능과 속도가 저하되거나 손상될 수 있으며, 전력 사용량이 늘어나고, 서버의 경우에는 리소스 과다로 원활한 서비스 제공이 어려워질 수 있다.

한국인터넷진흥원(KISA)이 발간한 '악성코드 은닉사이트 탐지 동향 보고서-2021년 하반기'에 따르면 2021년 하반기 가상자산의 가치가 급등함에 따라 감염기기를 악용해 가상자산를 채굴하는 악성코드 또한 2021년 상반기 대비 2배 이상 증가했다. 외부 위험이 고조되는 가운데, 내부 보안도 구멍이 뚫리고 있는 상황이다.

김승주 고려대학교 정보보호대학원 교수는 "채굴 프로그램이든 아니든 공공기관 PC에서 허가되지 않은 프로그램이 돌아가는 것 자체가 문제"라며 "악성코드가 없는 채굴 프로그램이라면 PC 자원만 고갈시키겠지만, 악성코드가 있다면 더 큰 문제가 될 수 있다"고 말했다.

이성우 기자 voiceactor@techm.kr