코인마켓 거래소 프라뱅 핫월렛 털렸다…금융권 해킹 첫 ‘자산 피해’
코인마켓 거래소 프라뱅의 핫월렛에서 약 1억원어치 가상자산이 비정상적으로 빠져나갔다. 이달 이어진 금융권 해킹 가운데 정보 유출을 넘어 실제 자산 피해가 확인된 첫 사례다. 회사는 전액을 자체 자금으로 보전하겠다며 거래 서비스를 잠정 중단했다.
In Focus해킹·보안속보 49 · 기사 9
이달 금융권을 휩쓴 해킹이 결국 고객 자산까지 닿았다. 원화 입출금 없이 코인끼리만 거래하는 코인마켓 거래소 프라뱅에서 24일 핫월렛(인터넷에 연결된 지갑)의 가상자산 약 1억원어치가 외부로 빠져나갔다. 지금까지 확인된 금융권 침해사고가 개인정보 유출에 머물렀던 것과 달리, 돈이 실제로 사라진 첫 사례다.
무슨 일이 있었나
29일 여러 매체 보도에 따르면 프라뱅은 24일 외부 비인가자의 접근을 받았고, 같은 날 핫월렛에서 비정상 출금을 탐지해 비상대응에 들어갔다. 이후 시스템 전반을 점검하는 과정에서 보안 취약점을 찾아냈다. 현재까지 파악된 피해액은 약 1억원이다.
회사는 정확한 피해 규모를 확정한 뒤 회원 피해 자산 전액을 회사 자산으로 메우겠다고 밝혔다. 고객 자산 보호를 이유로 거래 서비스는 잠정 중단했고, 재개 시점은 아직 공개하지 않았다. 관계기관에는 법에 따라 신고했으며 침해 원인과 범위는 조사 중이다. 공격자나 침투 경로, 빠져나간 코인 종류는 밝혀지지 않았다.
프라뱅이 보안 사고 명단에 오른 것은 처음이 아니다. 금융위원회는 14일 제2차 긴급상황대응 회의에서 침해사고가 확인된 금융회사를 16곳으로 늘려 발표하며 고팍스 운영사 스트리미와 함께 프라뱅을 포함했다. 당시 알려진 프라뱅 피해는 이용자 20명의 이름·연락처·주소 등 개인정보 유출이었다. 이번 출금 사고가 그때의 침투와 이어진 것인지는 확인되지 않았다.
논점
먼저 피해 규모를 어떻게 볼지가 갈린다. 1억원은 대형 거래소 해킹에 비하면 작은 금액이고, 회사가 전액 보전을 약속한 만큼 이용자 손실로 번지지 않을 수 있다는 시각이 있다. 가상자산이용자보호법 시행령도 이런 상황을 전제로 핫월렛 보관분의 일정 비율(5% 이상)을 보상 한도로 하는 보험이나 준비금을 쌓도록 하고 있고, 코인마켓 사업자의 최소 기준은 5억원이다.
반면 금액보다 경로가 문제라는 지적도 나온다. 이용자 자산의 80% 이상을 콜드월렛에 두도록 한 규정은 핫월렛을 '털려도 감당할 수 있는 몫'으로 남겨둘 뿐, 뚫리지 않게 해주지는 않는다. 이달 중순 이미 침해가 확인된 사업자에서 다시 자산 유출이 일어났다는 점에서, 사고 이후 점검이 제대로 작동했는지에 대한 물음도 남는다. 중소형 거래소는 보안 인력과 예산이 대형사와 비교가 되지 않는다는 업계의 호소와, 고객 돈을 맡는 이상 규모와 무관하게 같은 수준을 갖춰야 한다는 당국의 시각이 맞선다.
시사점
금융위는 빗썸 그룹웨어 침해 직후인 28일 전자금융거래법 밖에 있는 가상자산업권의 보안을 은행 수준으로 끌어올리겠다고 밝혔다. 프라뱅 사고는 그 논의에 '실제 손실' 사례를 더한 셈이어서 제도 개선 속도가 빨라질 가능성이 있다.
가까운 일정으로는 11월 20일 마감되는 가상자산사업자 갱신 신고가 있다. 강화된 심사를 앞둔 상황에서 보안 사고 이력이 심사에 어떻게 반영될지, 프라뱅이 언제 어떤 방식으로 서비스를 재개하고 보전을 마무리할지가 관심사다. 이용자 입장에서는 소형 거래소일수록 공지와 출금 가능 여부를 수시로 확인할 필요가 있다.
본 기사는 정보 제공 목적이며 투자 권유가 아닙니다.
참고