빗썸 해킹 하루 만에 ‘은행급 보안’ 꺼낸 당국…전금법 밖 거래소 손본다
빗썸 사내 그룹웨어 침해를 계기로 금융위원회가 28일 긴급 점검회의를 열고, 전자금융거래법 적용을 받지 않는 가상자산업권의 보안 수준을 은행 등 주요 금융회사 수준으로 끌어올리는 제도 개선을 추진하기로 했다. 경찰도 증권사·운용사·거래소 연쇄 침해에 대한 조사에 들어갔다.
진행 중인 사건빗썸 해킹 사태속보 3 · 기사 3
빗썸 사내 시스템 침해가 알려진 지 하루 만에 금융당국이 가상자산 거래소 보안 규율을 손보겠다고 나섰다. 금융위원회는 28일 긴급 점검회의에서 전자금융거래법(전금법) 바깥에 있는 가상자산업권의 보안 조치를 은행 수준으로 높이는 제도 개선을 추진하겠다고 밝혔다. 낮까지 회사 차원의 사고로 보이던 빗썸 건이 개별 회사 문제를 넘어 규제 공백 논의로 번진 셈이다.
무슨 일이 있었나
회의는 유영준 금융위 디지털금융정책관 주재로 열렸다. 금융감독원, 금융보안원, 디지털자산거래소 공동협의체(DAXA), 빗썸이 참석했다. 빗썸은 외부의 비정상 접근으로 본사와 자회사, 협력업체 임직원 정보가 빠져나간 정황을 확인했다고 보고했다. 일반 이용자 정보가 포함됐는지는 아직 확인 중이다. 지갑 주소처럼 부정 결제나 코인 이전에 쓰일 수 있는 정보의 유출은 지금까지 확인되지 않았다는 설명이다.
당국은 금융위·금감원·금보원이 곧바로 현장조사에 들어갔다고 밝혔다. 이용자 피해가 확인되면 전액 배상 등 보호 조치가 이뤄지도록 감독하겠다는 방침도 내놨다. 다만 '은행 수준'이 구체적으로 어떤 의무를 뜻하는지, 언제까지 어떤 법령을 고칠지는 이날 공개되지 않았다.
같은 날 경찰청 국가수사본부는 대신증권, 미래에셋자산운용, 빗썸 침해 건에 대한 입건 전 조사에 착수했다. 대신증권에서는 고객 3만8490명의 정보가 유출됐다. 경찰은 앞서 은행·저축은행 등 16곳에서 약 10만건이 새어 나간 사건과 수법을 비교하고 있으며, 동일범 가능성도 열어두고 있다. 청와대도 이날 관계 부처와 긴급회의를 열어 보안 여력이 부족한 중소 금융사가 사각지대가 되지 않도록 하라고 주문한 것으로 전해졌다.
논점
핵심은 거래소가 지금 어떤 보안 규율을 받고 있느냐다. 은행·증권사는 전금법과 그 하위 감독규정에 따라 전산 보안 기준과 사고 보고, 손해 책임을 지킨다. 가상자산사업자는 특정금융정보법(특금법)상 신고 요건인 정보보호관리체계(ISMS) 인증과 가상자산이용자보호법의 콜드월렛 보관, 해킹 대비 보험·준비금 의무를 따르지만 전금법 대상은 아니다. 당국이 '전금법 밖'을 콕 집은 이유다.
규율 강화에 찬성하는 쪽은 거래소가 수백만 명의 계좌와 신원 정보를 다루는 만큼 금융회사와 같은 잣대가 맞다고 본다. 이번 사고가 코인 지갑이 아닌 업무용 그룹웨어에서 났다는 점도 근거다. 이용자 자산 보관 규정만으로는 직원 계정과 협력사 시스템까지 막기 어렵다는 것이다.
업계에서는 비용과 중복 규제를 걱정한다. 11월 20일 마감인 사업자 재신고와 디지털자산기본법 논의가 겹친 상황에서 새 보안 기준까지 더해지면 중소 거래소의 부담이 커진다. 외부 솔루션의 취약점이 원인일 경우 거래소 규율만 높여서는 효과가 제한적이라는 지적도 있다. 해외에서도 미국 코인베이스(Coinbase)가 분석 협력사 앰플리튜드(Amplitude) 쪽 사고로 일부 고객 연락처가 노출됐다고 밝히는 등, 협력사를 통한 유출이 잇따르고 있다.
시사점
투자자가 당장 확인할 것은 빗썸의 이용자 정보 유출 여부 발표다. 연락처만 새어 나가도 거래소나 당국을 사칭한 피싱이 뒤따를 수 있어, 출처가 불분명한 문자와 링크는 피하는 것이 좋다.
제도 측면에서는 당국이 내놓을 개선안의 형태가 관건이다. 전금법 적용 범위를 넓힐지, 가상자산이용자보호법이나 국회에 계류 중인 디지털자산기본법에 보안 조항을 담을지에 따라 시행 시점이 크게 달라진다. 현장조사 결과로 침입 경로가 거래소 내부인지 외부 솔루션인지가 드러나면, 규율의 초점도 그에 맞춰 정해질 전망이다.
본 기사는 정보 제공 목적이며 투자 권유가 아닙니다.
참고