국세청. 연합뉴스

국세청이 압류한 가상자산을 홍보하는 보도자료를 내면서 중요 정보를 노출시켜 가상자산이 두 차례에 걸쳐 탈취당한 것으로 드러났다.

경찰청 사이버테러수사대는 국세청이 압류한 가상자산이 1차 해커가 이를 돌려놓은 지 2시간 반쯤 뒤 또다시 탈취당했다고 밝혔다.

국세청은 지난달 26일 체납자의 가상자산이 든 ‘콜드월렛’(오프라인 전자지갑)을 압류했다는 보도자료를 배포했다. 이 과정에서 언론에 배포한 현장 사진 속에 코인 지갑 ‘니모닉 코드’가 노출됐다.

니모닉 코드는 실물 월렛을 소지하고 있지 않아도 외부에서 코인을 복구할 수 있어 ‘마스터키’ 같은 것이다.

1차 해커가 이 니모닉 코드를 활용해 압류한 코인 지갑에서 PRTG 코인 400만 개를 탈취했다.

경찰이 수사를 시작하자 지난달 28일 가상자산을 탈취한 당사자라는 취지의 신고와 함께 탈취된 코인이 그대로 돌아왔다. 이후 반환된 코인이 또 다른 지갑으로 이동된 사실이 확인됐다.

신고자는 국세청이 니모닉 코드를 노출했다는 내용의 인터넷 게시글을 보고 호기심에 탈취를 시도했으며, 다음 날 되돌려놨다고 주장한 것으로 전해졌다.

경찰청은 1차 해커 주장의 진위를 조사하는 동시에 2차 빠져나간 코인 행방을 추적하고 있다.

유출된 가상자산은 480만 달러(약 69억 원) 상당으로 알려졌다. 다만 해당 코인은 거래가 없고 현금화가 사실상 불가능한 가상자란이라 피해 규모가 크지 않을 것이라는 분석도 있다.