테스트가 증명하는 것과 Deepcoin의 보도자료가 말하지 않는 것

보도자료에 따르면 Deepcoin 테스트가 성공했다고 합니다. 하지만 테스트가 시작될 때 어떤 위험이 있었는지, 얼마나 많은 취약점이 발견되었는지, 혹은 그 중 어떤 것들이 고객의 자금에 영향을 미쳤는지에 대해서는 언급되어 있지 않습니다. 단지 테스트가 완료되었다는 것과 협력 및 노력이 이루어졌다는 것만이 명시되어 있습니다.

그것은 보안 감사 결과를 언론 발표로 포장된 형태입니다. 매일 수억 건의 거래가 이루어지는 암호화폐 거래소에게는, 이러한 발표는 안심이 되는 것처럼 들리지만, 실제로 침투 테스트가 무엇을 측정하는지, 그리고 무엇을 측정하지 않는지를 살펴보면 그렇지 않습니다.

투자자들이 고려해야 할 질문은 Deepcoin이 자신의 시스템을 테스트해야 하는지 여부가 아닙니다. 중요한 것은 이 발표가 당신이 돈을 저장할 수 있는 거래소에 대해 무엇을 말해주는지, 그리고 무엇을 의도적으로 말하지 않는지입니다.

-penetration 테스트가 측정하는 것

침투 테스트란, 윤리적 해커들이 플랫폼의 인프라에 접근하여 그 코드, API, 스마트 컨트랙트, 그리고 사용자 인터페이스 애플리케이션의 취약점을 찾는 과정입니다. 이는 사이버 보안 관련 작업입니다. 결과로는 취약점에 대한 보고서와 수정 방법이 포함된 목록이 나옵니다.

보도자료에 따르면, 딥코인은 대중이 참여하는 보안 플랫폼인 하켄프로프와 협력하여 테스트를 진행했다고 합니다.자산 보안, 정보 보안, 트레이딩 엔진, API 인터페이스, 스마트 컨트랙트, 클라이언트 측 애플리케이션.그것은 말해요.평가 과정에서 발견된 모든 잠재적인 취약점들은 철저히 평가되고 대응책이 마련되었습니다.이 보고서에는 취약점의 수, 심각도 분류, 또는 수정 방법에 대한 일정 정보가 포함되어 있지 않습니다.

이러한 누락은 중요합니다. 왜냐하면 침투 테스트는 한 가지 사실을 보여줄 뿐입니다. 즉, 특정 시점에 테스터들이 취약점을 찾아내고, 회사가 그 취약점을 해결했다는 것입니다. 하지만 이는 회사가 주장하는 대로 고객의 예금을 실제로 안전하게 보관하고 있다는 것을 증명하지 못합니다. 규제 기관의 승인도 확인되지 않습니다. 인출 절차가 안정적으로 이루어진다는 것도 증명되지 않습니다. 내부자의 위험도 고려되지 않았습니다. 테스트가 끝난 후에 이루어진 코드 변경 사항도 고려되지 않았습니다.

암호화폐 거래소 업계에서 가장 심각한 실패는 단순히 인프라의 취약성 때문이 아니었습니다. 2022년에 발생한 FTX의 파산은 운영 관리와 자금 회전력의 문제였습니다. 고객들의 자금은 전혀 없었습니다. 2020년에는 여러 보안 평가를 통과했음에도 불구하고 쿠콘이 해킹당했습니다. 보안 감사가 표준적인 마케팅 요소가 된 이유는, 그것이 필요하지만 충분하지 않기 때문입니다.

이 발표가 측정하지 못하는 것들

세 가지 유형의 위험은 침투 테스트의 범위를 완전히 벗어납니다. Deepcoin의 프로필은 세 가지 경우 모두에서 의문을 제기합니다.

솔베니시티.FTX가 파산한 이후, 예치금의 실제 존재 여부가 거래소의 신뢰도를 판단하는 기준이 되었습니다. 고객들은 자신들의 예치금이 실물 자산에 의해 뒷받침된다는 것을 알아야 합니다. 그렇지 않으면 그 예치금이 거래용 담보나 운영 자금으로 사용될 수 있습니다. 독립적인 분석 결과에 따르면…Deepcoin은 감사된 예치금 증거를 제공하지 않습니다.보유된 자금에 대한 블록체인 인증이 없다. 거래소는 방어적인 서버를 갖추고 있지만, 금고는 비어 있을 수 있다.

규제 기반.이 보도자료는 …에서 발표되었습니다.조지 타운, 케이맨 제도.딥코인의 법적 성명에 따르면, 회사는 세이셸 공화국의 법률을 준수하고 있다고 합니다.사용 약관에 따르면, 이 계약은 캐나다 법에 의해 규율됩니다. 어떤 기업의 관할권도 명확하게 공개된 바는 없습니다.이 거래소는 미국, 영국, EU에서 유효한 주요 시장 라이선스를 보유하고 있지 않으며, 미국 사용자들이 플랫폼에 접근하는 것을 차단하고 있습니다.캐이먼 제도는 이제 암호화폐 회사들이 ‘버추얼 자산 서비스 제공자법’에 따라 정식 라이선스를 받아야 한다고 규정하고 있습니다.하지만 Deepcoin이 그러한 자산을 보유하고 있는지는 명확하지 않습니다. 변동하는 법적 규정 하에서 운영되는 거래소는 사이버 보안 문제가 아닙니다. 그것은 상대방 위험 문제입니다.

운용 신뢰성.고객 리뷰들은 진단 테스트로는 포착할 수 없는 정보를 제공합니다.Deepcoin은 사용자 리뷰를 기준으로 5개 중 2.1개의 별점을 받고 있습니다. 불만 사항은 인출이 느리거나 불규칙적이라는 점, 그리고 지원 문제를 해결하는 데 어려움이 있다는 점입니다.이 서비스는 실시간 채팅 지원만 제공합니다. 이메일을 통한 문제 접수 시스템은 없습니다.즉, 문제를 기록하고 그 심각도를 높이는 것이 어렵다는 것입니다. 이러한 문제들은 취약점 스캔에서 나타나는 것과는 다릅니다. 이런 문제들은 누군가 돈을 인출하려고 할 때 시스템이 협조하지 않을 때 나타납니다.

보안 등급의 모순

이것은 보도자료 옆에 불편하게 위치한 숫자입니다.

보안 등급 평가 플랫폼인 CER.live는 Deepcoin에 전체 보안 등급을 부여합니다..이 등급은 2026년 9월의 보도자료가 발표되기 전부터 활성화된 상태였으며, 공개적으로도 확인할 수 있었습니다.낮은 점수는 최근의 공공 환경 테스트가 이루어지지 않았다는 점, 활발한 버그 수정 프로그램이 없다는 점, 그리고 재무제표에 대한 감사 증명서가 부족하다는 점 등 여러 면에서의 결함을 반영합니다. 이러한 항목들은 모두 0점으로 평가되었습니다.

종합 보안 평가에서 24%의 점수를 받은 해당 회사는, 자신이 D등급을 받은 플랫폼과 유사한 관계를 가진 회사와 함께 침투 테스트를 완료했다고 발표했습니다. 이 테스트 덕분에 상황이 개선되었을 수도 있습니다. 보도자료에는 그 등급이 변했는지, 어떤 카테고리들이 재평가되었는지, 혹은 HackenProof이 Deepcoin의 플랫폼에 대해 독립적인 감사 보고서를 발표했는지에 대한 정보는 없습니다.

이것은 부정행위의 증거가 아닙니다. 투자자들이 검토해야 할 종류의 문제입니다. 즉, 한 회사가 파트너 기업을 통해 보안 성과를 발표하는 반면, 그 파트너 기업의 전체적인 평가에서 해당 회사는 신뢰도가 낮은 등급으로 평가된다는 것입니다.

더 넓은 맥락

Deepcoin은 2018년에 출시되었으며, 100개 이상의 국가에서 100만 명 이상의 사용자를 지원하는 글로벌 파생상품 및 현금 거래 플랫폼이라고 자랑합니다.그것은 제공됩니다.스팟 트레이딩, 비트코인과 이더리움에 대해 최대 125배 레버리지를 제공하는 영구 선물 거래, 그리고 복사 트레이딩도 가능합니다.그날의 거래량은…수억 달러에 달하는 금액입니다. CER.live는 7억 5천2백만 달러라고 보고합니다.

이 회사는 재무제표, 수익 데이터, 수익성, 자금 조달 내역 등을 공개하지 않았습니다.이는 공개적인 정보가 없는 사기업으로, 감사인도 없으며, 자체 마케팅 자료 외에는 어떠한 기관적 투명성도 없습니다.업계 소식통에 따르면 창립자는 에고 황이라고 알려져 있지만, 공개된 문서에는 공식적인 리더십 구조나 확인 가능한 기업 구조에 대한 정보가 없습니다.

거래소의 경우, 수익은 거래 수수료, 파생상품에 대한 금리 수입, 그리고 때로는 고객 예금으로 얻는 이자에서 비롯됩니다. 재무 정보를 공개하지 않는 거래소의 경우, 그 수수료 수입이 운영 비용을 충당하기에 충분한지, 자체 거래 상품에 과도한 부채가 있는지, 혹은 고객 예금이 손실을 보전하는 데 도움이 되는지 등을 평가할 수 없습니다. 침투 테스트는 이러한 점들에 대해 아무것도 말해주지 않습니다.

이것으로 무엇을 얻을 수 있을까?

보안 감사 공지란 사기 경고가 아닙니다. 그건 마케팅 신호일 뿐입니다. 암호화폐 거래소를 평가하는 진정한 작업은 보도자료를 넘어서서 다음과 같은 질문을 하는 것입니다.

• 이 거래소는 체인상에서 확인할 수 있는 감사된 준비금 증거를 공개하나요? Deepcoin은 그렇지 않습니다.
• 이 서비스는 명확한 규제 체계와 인정된 관할권 하에서 운영되고 있나요? 딥코인의 법적 구조는 세 개국에 걸쳐 존재하며, 공개된 라이선스도 없습니다.
• 고객들이 자금을 안정적으로 인출할 수 있는지에 대해 보고가 있나요? 리뷰들에서는 지속적인 문제가 있다고 합니다.
• 이 거래가 투자자들이 해당 기업이 유동성이 있는지, 수익성 있는지 판단할 수 있도록 재무 정보를 공개하는가? 재무 관련 정보는 전혀 제공되지 않는다.

HackenProof을 이용한 침투 테스트를 통해 실제 인프라의 취약점들이 발견되고 수정될 수도 있습니다. 그건 합법적인 절차입니다. 하지만 그렇다고 해서, 거래소가 자신의 자금을 안전하게 보호할 수 있는지 결정하는 중요한 질문들에 대한 답변이 되는 것은 아닙니다. 그러한 질문들은 예비 감사, 규제 관련 절차, 고객 경험 등에서 다루어집니다. 그리고 해커들이 침입을 시도했지만 저지된 사건에 관한 보도자료에는 그러한 내용은 전혀 포함되어 있지 않습니다.

투자자들이 어떤 암호화폐 플랫폼을 평가할 때, 신뢰성의 기준은 그 플랫폼이 안전한지 여부가 아닙니다. 중요한 것은 저장된 자금이 충분한지, 누가 열쇠를 가지고 있는지, 그리고 거래소가 당신의 돈을 안전하게 보관하는 데 초점을 맞추는지, 아니면 그 돈을 계속 사용하려는지입니다.