[더팩트ㅣ박지웅 기자] 국내 가상자산 거래소에서 해킹과 전산 사고가 잇따르면서 보안 대응 역량에 대한 우려가 커지고 있다. 지난해 업비트에서 수백억원 규모의 가상자산 탈취 사고가 발생한 데 이어 최근 고팍스에서도 개인정보 유출 사실이 확인됐다. 최근 6년간 국내 5대 거래소에서 발생한 해킹·전산 사고만 57건에 달하는 가운데 사고 집계와 피해보상 기준마저 제각각이어서 이용자 보호체계 전반에 대한 점검이 필요하다는 지적이 나온다.

◆ 6년간 해킹·전산 사고 57건…업비트 26건으로 최다

19일 금융권과 가상자산업계에 따르면 국민의힘 이헌승 의원이 금융감독원과 국내 5대 원화 거래소인 업비트·빗썸·코인원·디지털엑스(옛 코빗)·고팍스로부터 제출받은 자료를 분석한 결과, 2020년부터 올해 4월까지 총 57건의 해킹·전산 사고가 발생했다.

거래소별로는 업비트가 26건으로 가장 많았고 빗썸 14건, 고팍스 8건, 코인원 6건, 디지털엑스 3건 순이었다. 같은 기간 사고 관련 보상액은 업비트 약 32억1000만원, 빗썸 약 32억원, 코인원 약 4900만원 등 총 65억원에 육박했다. 디지털엑스와 고팍스는 보상 실적이 없었다.

특히 국내 최대 가상자산 거래소인 업비트에서는 지난해 11월 솔라나 네트워크 계열 가상자산 약 445억원이 외부 지갑으로 무단 유출되는 사고가 발생했다. 운영사 두나무는 피해 자산 가운데 26억원을 동결하고 회수 절차를 진행했으며, 회원 피해 자산 386억원은 회사 자산으로 전액 보전했다. 별도로 약 7억9000만원의 보상금도 지급했다.

문제는 업비트가 국내 거래소 가운데 가장 높은 수준의 콜드월렛 보관 비율을 유지해 왔음에도 대규모 해킹 사고를 피하지 못했다는 점이다. 지난해 10월 말 기준 업비트의 콜드월렛 보관 비중은 98.33%로, 법정 의무 비율인 80%를 크게 웃돌았다. 두나무는 사고 이후 지갑 시스템을 개편하고 향후 온라인에 연결된 핫월렛 보관 비중을 0%대로 낮추겠다는 방침이다.

최근에는 고팍스에서도 개인정보 유출 사고가 발생했다. 고팍스는 지난 16일 고객 7명과 전·현직 임직원 2명의 개인정보가 유출됐다고 밝혔다. 지난 9월 초부터 일부 계정에 비정상적인 접근이 이뤄졌지만 회사가 이를 인지한 시점은 약 한 달이 지난 10월 초였다. 현재까지 고객 자산의 비정상 출금이나 손실은 확인되지 않았다는 입장이다.

개인정보 유출이 피싱이나 계정 탈취 등 2차 금융범죄로 이어질 가능성도 제기된다. 이에 빗썸은 지난 16일 유출된 개인정보를 악용한 2차 사기 피해 예방 캠페인을 진행한다고 밝혔다. 최근 금융권에서 개인정보 유출 사고가 잇따르면서 이름과 연락처 등 실제 개인정보를 활용해 이용자의 신뢰를 얻는 맞춤형 사기 수법이 확산하고 있다는 판단에서다.

빗썸은 명의도용이나 피해 보상, 보안 점검 등을 이유로 연락을 받더라도 문자·이메일에 포함된 링크 대신 공식 앱이나 홈페이지를 통해 확인할 것을 권고했다. 아울러 고유 비밀번호 설정과 2단계 인증, 응용프로그램인터페이스(API) 키 관리 등 계정 보호 수칙을 안내하며 보안 기능을 지속적으로 강화하겠다는 방침이다.

◆ 사고 보상액 65억원 육박…집계·보상 기준은 제각각

외부 해킹뿐 아니라 내부 관리 부실에 따른 사고도 이어지고 있다. 빗썸에서는 지난 2월 직원의 입력 실수로 약 60조원 상당의 비트코인 62만개가 이용자 249명에게 잘못 지급되는 사고가 발생했다. 당초 이벤트 당첨금 62만원을 지급해야 했지만 수량 단위를 잘못 입력하면서 대규모 오지급 사태로 번졌다. 빗썸은 이와 관련해 약 25억원을 투자자들에게 보상했다.

거래소마다 사고 집계와 피해보상 기준이 다르다는 점도 문제다. 고팍스는 단순 자산목록 조회 오류까지 전산 사고로 집계한 반면, 빗썸은 전체 고객이 10분 이상 핵심 서비스를 이용하지 못한 경우에만 중대 전산 사고로 분류했다. 빗썸은 지난해 9월 긴급 시스템 점검으로 피해를 본 이용자 132명에게 현금성 보상 1억2000여만원과 함께 1억원 상당의 수수료 무료 쿠폰을 지급해 보상 방식의 적절성을 둘러싼 논란도 불거졌다.

현행 가상자산이용자보호법의 제재 규정에도 한계가 있다. 해당 법은 이용자 자산 보호와 불공정거래 규제에 초점을 맞추고 있어 해킹이나 전산 사고 자체에 대한 직접적인 제재 근거가 충분하지 않다는 평가다. 금융당국은 가상자산 2단계 법인 디지털자산기본법에 관련 제재와 배상 규정을 마련하는 방안을 검토하고 있다.

이헌승 국민의힘 의원은 "증권사 전산장애에 대한 피해보상을 법상 의무화한 것처럼 가상자산 거래소 전산장애에 대한 피해보상도 의무화할 필요가 있다"고 지적했다.

◆ 공격 수법 갈수록 정교…보안 대응 역량 점검 필요

보안 위협이 다양해지면서 거래소의 실질적인 대응 역량을 점검해야 한다는 목소리도 커지고 있다. 최근에는 전산망을 직접 공격하는 방식뿐 아니라 계정 인증 정보와 API 키를 탈취해 정상적인 이용자로 위장하는 수법까지 등장하고 있다.

국내 5대 원화 거래소가 참여하는 디지털자산 거래소 공동협의체(DAXA·닥사)는 해킹과 악성코드, 디도스 공격 등에 대비한 보안 모범규준을 운영하고 있다. 그러나 거래소별 보안 투자 규모와 전문인력, 침해사고 탐지 및 대응 역량에는 차이가 있는 만큼 보안 기준 준수 여부뿐 아니라 실제 사고 대응 능력을 종합적으로 살펴봐야 한다는 지적이다.

황석진 동국대 국제정보보호대학원 교수는 "최근에는 전산망 자체를 직접 공격하는 방식뿐 아니라 API 인증 정보나 계정 권한을 몰래 빼내 진짜 사용자처럼 활동하는 공격이 늘고 있다"며 "접속 이후 발생하는 이상 행동이나 무단 권한 사용을 얼마나 빠르게 찾아내고 차단할 수 있는지가 앞으로 더 중요해질 것"이라고 설명했다.

이어 "콜드월렛과 여러 단계의 결재 방식은 지금도 중요한 안전장치이지만, 이것만으로 거래소의 전체 보안 수준을 판단하면 안 된다"고 강조했다.

christ@tf.co.kr

• ▶ [TF초점] '나의 유죄인간', 임시완의 로맨틱 코미디 시험대
• ▶ [앨범의 가치①] 듣지도 않는데…1억 장 팔리는 CD의 역설
• ▶ 출퇴근과 캠핑, 두 마리 토끼 잡는 'BMW X1' [오승혁의 팩트 DRIVE]