국세청 제공

국세청이 지난 26일 보도자료를 통해 고액 체납자들에 대한 자산 압류 성과를 홍보했으나 이 과정에서 가상자산 마스터키를 노출시킨 것으로 확인돼 논란이 커지고 있다.

28일 관계부처 등에 따르면 국세청의 해당 보도자료 제목은 ‘양도대금·사업소득 은닉, 호화생활 고액체납자 124명 현장수색’이다.

당시 국세청은 “체납액 총 81억 원을 징수했다”고 홍보했다.

하지만 하루 뒤인 27일 한성대 조재우 교수는 엑스(X·옛 트위터)에서 “국세청에서 보도자료로 유출(공개)한 니모닉에서 PRTG 토큰 400만개, 약 480만 달러어치(약 69억 원)가 탈취된 것을 확인했다”고 주장했다.

국세청이 수억원의 양도소득세를 납부하지 않은 한 체납자로부터 가상자산 콜드월렛 USB 4개를 압류한 사실을 설명하는 과정에 마스터키 역할을 하는 ‘니모닉’을 노출했다는 것이다.

보도자료에 첨부된 사진은 해상도가 낮아 니모닉 코드를 확인하기는 어렵고, 일부 언론에만 배포된 고해상도 사진을 통해 유출됐을 가능성이 더 커 보인다.

황석진 동국대 국제정보보호대학원 교수는 “콜드월렛을 생성할 때 함께 만들어지는 고유의 니모닉 코드를 알면 물리적으로 저장장치를 가지지 않아도 그 월렛에 어디서든 접근하는 것이 가능한 구조”라며 “니모닉 코드를 공개했으면 외부에서 가상자산을 편취하는 것이 가능하다”고 설명했다.

문제의 가상자산 가치가 실제로 480만 달러어치라고 볼 수 없다는 지적도 나오고 있다. PRTG는 거래가 미미해 사실상 현금화가 불가능하다는 것이다.

이러한 지적이 이어지자 처음 문제를 제기한 조재우 교수도 “다른 노출된 니모닉은 큰 문제가 발생하지 않을 것 같고 유출된 코인도 현금화는 어렵기 때문에 실직적인 피해는 무시할 만한 수준”이라고 한발 물러섰다.

한편 경찰청은 28일 “사안의 중대성을 고려해 본청 사이버테러대응과에 이 사건을 배당하고 입건 전 조사(내사)에 들어갔다”고 밝혔다.

경찰은 니모닉이 일부 언론에 배포된 고해상도 사진을 통해 유출됐을 가능성 등을 염두에 두고 수사망을 좁혀가는 것으로 전해졌다.

해당 자료를 건네받은 사람이 누구인지 등을 확인하며 유출 흐름을 분석 중인 것으로 알려졌다.