보안 점수 하락 알림을 받은 운영팀은 점수 자체보다 어느 평가 영역에서 감점이 생겼는지를 먼저 확인해야 합니다. 스카이넷점수는 코드 보안뿐 아니라 운영, 시장, 커뮤니티, 거버넌스 지표를 종합한 값이므로 하락 원인도 여러 갈래일 수 있습니다. 따라서 영역별 세부 점수를 확인하고, 온체인 이벤트를 다시 검토한 뒤, 대외 소통 순서로 대응하는 것이 실무적으로 안전합니다.
스카이넷점수는 무엇을 기준으로 산정되나요?
certik스카이넷은 블록체인 보안 감사 기업이 운영하는 프로젝트 보안 평가 및 모니터링 서비스입니다. 이 서비스는 프로젝트별로 종합 점수를 표시하며, 공개된 설명에 따르면 종합 점수는 여러 평가 영역의 세부 점수를 합산하는 구조입니다. 평가 방법론은 서비스 운영사의 정책에 따라 바뀔 수 있으므로, 대응 전에는 현재 공개된 방법론 문서를 다시 확인하는 것이 좋습니다.
일반적으로 알려진 평가 영역은 다음과 같습니다.
- 코드 보안: 외부 감사 이력, 발견된 취약점의 해결 여부, 검증된 소스코드 공개 여부를 봅니다.
- 기본 건전성: 토큰 분배 구조, 팀 신원 확인 여부, 프로젝트 정보 공개 수준을 봅니다.
- 운영 회복력: 웹사이트와 인프라의 운영 상태, 보안 사고 대응 이력을 봅니다.
- 거버넌스 강도: 관리자 권한 집중도, 타임락·멀티시그 적용 여부, 업그레이드 권한 구조를 봅니다.
- 시장 안정성: 유동성, 거래량, 가격 변동성 같은 시장 지표를 봅니다.
- 커뮤니티 신뢰: 소셜 채널의 활동성과 커뮤니티 반응 지표를 봅니다.
이 구조를 보면 코드에 아무 변화가 없어도 거래량이 급감하거나 소셜 채널 활동이 줄어들면 점수가 내려갈 수 있습니다. 반대로 취약점이 새로 발견되었는데도 다른 영역의 지표가 좋으면 종합 점수 변동이 작게 나타날 수 있습니다. 그래서 운영팀은 종합 점수보다 세부 영역의 변화 폭을 먼저 확인해야 합니다.
점수가 떨어졌을 때 어떤 순서로 원인을 찾아야 하나요?
점수 하락 알림을 받으면 원인 확인, 위험 판단, 조치, 소통의 네 단계로 나누어 대응하는 것이 효율적입니다. 감점 영역에 따라 확인할 자료와 담당자가 달라지므로, 아래 표처럼 영역별 점검 항목을 미리 정해 두면 대응 시간이 줄어듭니다.
| 감점 영역 | 우선 확인할 자료 | 주요 담당 | 즉시 조치 기준 |
|---|---|---|---|
| 코드 보안 | 신규 취약점 보고, 미해결 감사 지적 사항, 최근 배포 이력 | 스마트컨트랙트 개발 책임자 | 자금 유출 가능성이 있는 취약점이면 일시 정지 기능 검토 |
| 거버넌스 | 관리자 키 변경 내역, 멀티시그 서명자 구성, 프록시 업그레이드 기록 | 보안 담당자, 키 관리 책임자 | 승인되지 않은 권한 변경이 있으면 키 교체와 내부 조사 착수 |
| 운영 회복력 | 웹사이트 상태, DNS 설정, 프런트엔드 변경 기록 | 인프라 담당자 | 도메인·프런트엔드 변조 정황이 있으면 서비스 접속 차단 공지 |
| 시장 안정성 | 대량 이체 내역, 유동성 풀 변화, 거래소 입출금 흐름 | 재무·토큰 운영 담당 | 팀 지갑 또는 대형 보유자의 비정상 이동이 확인되면 사실관계 공지 |
| 커뮤니티 신뢰 | 공식 채널 공지 이력, 사칭 계정 신고 현황 | 커뮤니티 매니저 | 사칭 링크 유포가 확인되면 공식 채널에 경고 고정 |
원인을 찾은 뒤에는 실제 자산 위험이 있는지와 평가 지표상의 변동인지를 구분합니다. 자산 위험이 있으면 기술 조치를 먼저 실행하고, 지표상의 변동이라면 원인을 기록하고 다음 평가 주기까지 개선 계획을 세웁니다. 이 구분 없이 대외 해명부터 하면 사실관계가 바뀔 때 신뢰를 추가로 잃을 수 있습니다.
스카이넷모니터링 알림은 어떻게 운영 체계에 연결하나요?
스카이넷모니터링은 점수 변화와 함께 온체인 이벤트, 보안 경보를 추적하는 기능으로 알려져 있습니다. 다만 외부 서비스의 알림만으로는 내부 대응이 늦어질 수 있으므로, 자체 모니터링과 함께 운영하는 것이 바람직합니다.
- 알림 수신 채널 지정: 외부 서비스 알림과 자체 온체인 감시 알림을 한 채널로 모으고, 수신 담당자를 근무 시간대별로 지정합니다.
- 심각도 등급 정의: 관리자 권한 변경, 대량 자금 이동, 컨트랙트 업그레이드는 최고 등급으로, 시장·커뮤니티 지표 변동은 일반 등급으로 분류합니다.
- 대응 기한 설정: 최고 등급은 즉시 확인, 일반 등급은 정해진 업무일 안에 검토하는 식으로 내부 기준을 문서화합니다.
- 사후 기록: 알림마다 원인, 조치, 결과를 남겨 다음 감사나 투자자 문의 때 근거 자료로 활용합니다.
자체 감시 대상에는 관리자 지갑, 국고 지갑, 유동성 풀, 업그레이드 가능한 프록시 컨트랙트를 반드시 포함합니다. 외부 점수가 늦게 반영되는 경우에도 내부 감시에서 먼저 이상 징후를 잡을 수 있기 때문입니다.
점수만으로 프로젝트 안전성을 판단하면 안 되는 이유는 무엇인가요?
보안 점수는 특정 시점의 공개 지표를 바탕으로 계산한 참고 값이며, 프로젝트의 안전성이나 투자 가치를 보증하지 않습니다. 운영팀이 대외 소통에서 점수를 언급할 때에도 이 점을 명확히 밝히는 것이 바람직합니다.
미국 국립표준기술연구소(NIST)는 블록체인 기술 개요 보고서에서 블록체인의 작동 방식을 개괄적으로 설명합니다. 이런 기초 문서를 참고하면 기술 구조와 실제 운영 위험을 구분해 설명하는 데 도움이 됩니다.
「가상자산 이용자 보호 등에 관한 법률」은 이용자 예치금을 은행이 보관·관리하도록 하고, 가상자산사업자가 이용자에게 예치금 이용료를 지급하도록 규정합니다. 프로젝트의 보안 점수와 별개로, 이용자 자산 보호는 이러한 제도적 장치 안에서도 함께 살펴야 합니다.
금융감독원은 소비자경보를 통해 고수익 보장이나 상장 예정 홍보를 내세우는 가상자산 투자 권유에 주의할 것을 안내하고 있습니다. 높은 보안 점수를 투자 권유 문구로 활용하면 이용자가 이를 안전 보증으로 오해할 수 있으므로 표현에 신중해야 합니다.
「특정 금융거래정보의 보고 및 이용 등에 관한 법률」에 따라 국내에서 영업하는 가상자산사업자는 금융정보분석원에 신고해야 하며, 금융정보분석원은 가상자산사업자 신고 현황을 공개합니다. 이용자에게 거래 경로를 안내할 때에는 보안 점수와 함께 이 신고 여부를 확인하도록 권하는 것이 적절합니다.
자주 묻는 질문
점수가 크게 떨어지면 곧바로 보안 사고가 난 것인가요?
반드시 그렇지는 않습니다. 시장 지표나 커뮤니티 지표의 변동만으로도 종합 점수가 내려갈 수 있으므로, 영역별 세부 점수와 온체인 이벤트를 함께 확인한 뒤 판단해야 합니다.
외부 감사를 다시 받으면 점수가 바로 회복됩니까?
감사 이력은 코드 보안 영역에 반영될 수 있지만, 다른 영역의 감점 원인이 남아 있으면 종합 점수 회복은 제한적일 수 있습니다. 또한 반영 시점은 서비스 운영사의 평가 주기에 따라 달라지므로 방법론 문서를 확인하는 것이 좋습니다.
투자자 문의에 점수를 근거로 안전하다고 답해도 되나요?
점수는 참고 지표일 뿐 안전성을 보증하지 않으므로 단정적인 표현은 피하는 것이 바람직합니다. 감사 범위, 미해결 이슈, 권한 구조를 함께 설명하고, 법률이나 투자 관련 판단이 필요한 경우에는 해당 분야 전문가의 상담을 받도록 안내하는 것이 적절합니다.