‘은행급 보안’ 약속한 당국…거래소 보안 규율은 네 개 법에 흩어져 있다
빗썸 고객 844명의 신분증 사본이 새고 코인마켓 거래소 프라뱅에서 실제 자산이 빠져나가자 금융위원회는 가상자산사업자에게도 은행 수준의 보안을 적용하겠다고 했다. 그러나 이를 담을 그릇인 전자금융거래법 개정안, 디지털금융안전법, 디지털자산기본법은 모두 국회 문턱을 넘지 못했다. 지금 거래소 보안은 특금법·이용자보호법·정보통신망법·개인정보보호법에 조각나 있고, 해킹 자체를 묻는 조항은 어디에도 없다.
금융위원회가 10월 28일 긴급 점검회의를 열고 가상자산사업자에게도 은행 등 주요 금융회사 수준의 보안 조치를 적용하겠다고 밝혔다. 빗썸 사내 그룹웨어 침해가 계기였다. 이후 빗썸에서는 고객 844명의 주민등록번호와 신분증 사본까지 노출된 사실이 확인됐다. 코인마켓 거래소 프라뱅에서는 핫월렛의 약 1억원어치 자산이 빠져나갔다. 당국이 꺼낸 '은행급'이라는 기준은 분명하다. 문제는 그 기준을 거래소에 적용할 법적 근거가 아직 어디에도 완성돼 있지 않다는 점이다.
배경
은행과 증권사, 전자금융업자의 보안은 전자금융거래법(전금법)이 묶는다. 이 법은 사업자에게 거래의 안전성을 확보할 의무를 지우고, 해킹이나 전산 사고로 이용자가 손해를 보면 이용자에게 고의나 중대한 과실이 없는 한 사업자가 배상하도록 한다. 가상자산사업자는 이 법의 적용 대상이 아니다. 금융보안원도 거래소가 전자금융기반시설에 포함되지 않는다고 설명한다.
대신 거래소 보안은 여러 법에 나뉘어 있다. 특정금융정보법(특금법)은 사업자 신고 요건으로 정보보호관리체계(ISMS) 인증을 요구한다. 가상자산이용자보호법은 고객 자산 분리 보관과 콜드월렛 보관, 사고 대비 재원을 정한다. 정보통신망법과 개인정보보호법은 정보통신서비스 제공자이자 개인정보 처리자로서의 의무를 따로 묻는다. 겉으로는 촘촘해 보이지만, 해킹 사고 그 자체를 제재하거나 배상 책임을 정한 조항은 이 가운데 어디에도 없다.
이 공백은 2025년 11월 업비트 사고에서 처음 드러났다. 그해 11월 27일 새벽 4시 42분부터 54분 동안 솔라나 계열 자산 24종, 약 445억원어치가 외부 지갑으로 빠져나갔다. 업비트는 피해를 자기 자산으로 메웠지만 이는 자발적 결정이었다. 금융감독원 첫 보고가 사고 인지 6시간여 뒤에야 이뤄졌다는 늑장 논란도 일었다. 이용자보호법에 해킹 사고 보고 의무가 없었던 탓에, 당국은 중징계가 어렵다는 설명을 내놨다.
현장과 데이터
현행 이용자보호법과 감독규정의 기준은 숫자로 정해져 있다. 거래소는 고객 자산 경제적 가치의 80% 이상을 콜드월렛에 보관해야 한다. 핫월렛 보관분 가치의 5% 이상은 보험·공제에 가입하거나 준비금으로 쌓아야 한다. 이 재원의 최소액은 원화마켓 거래소 30억원, 코인마켓 거래소와 지갑·수탁업자 5억원이다. 이를 어기면 영업정지나 임직원 제재, 1억원 이하 과태료가 가능하다. 그러나 기준을 모두 지킨 거래소가 해킹을 당했다면, 사고 자체만으로 물을 수 있는 책임은 없다.
업비트 제재 절차는 그 한계를 보여준다. 금감원은 올해 7월 두나무에 검사의견서를 보내 제재 절차에 들어갔다. 제재심의위원회와 증권선물위원회, 금융위 의결이 남아 있다. 사고 1년이 다 되도록 수위가 정해지지 않은 셈이다. 공시도 비슷하다. 거래소의 정보보호 공시는 투자액과 인력, 인증 같은 외형을 보여줄 뿐 사고별 탐지·차단 과정이나 통제 실패 원인을 밝히는 항목이 없다는 지적이 나온다.
제도 보완 시도는 세 갈래로 진행됐다. 첫째는 전금법 개정이다. 더불어민주당 유동수 의원이 2025년 11월 대표발의한 개정안은 대표이사를 안전성 확보의 최종 책임자로 명시하고, 침해 사고로 정보가 유출되면 매출액의 3% 이하 과징금을 물리도록 했다. 올해 3월 정무위원회에 상정됐지만 법안심사소위에서 한 번도 논의되지 않았다. 현행 신용정보법상 과징금 상한 50억원은 2014년 카드 3사 정보 유출 사태 이후 그대로다.
둘째는 별도의 금융보안법이다. 금융위는 2024년 8월 13일 망분리 개선 로드맵에서 가칭 디지털 금융보안법 제정을 예고했다. 열거식 보안 규칙을 목표·원칙 중심으로 바꾸고, 자율에 맞춰 사고 책임은 무겁게 하겠다는 구상이었다. 이억원 금융위원장은 2025년 11월 디지털금융안전법이라는 이름으로 논의 착수를 알렸지만, 법안은 아직 국회에 오지 않았다.
셋째는 가상자산 2단계 입법이다. 금융위는 업비트 사고 직후 해킹·전산 사고에 대한 무과실 배상 책임을 디지털자산기본법 정부안에 담는 방안을 검토했다. 올해 1월 21일에는 국민의힘 박성훈 의원이 이용자보호법 개정안을 냈다. 배상을 피하려면 사업자가 스스로 과실이 없음을 입증하게 하고, 침해 사고를 지체 없이 금융위에 보고하도록 하는 내용이다. 그러나 기본법 정부안은 여전히 국회에 제출되지 않았고, 11월 정무위 소위가 첫 논의 기회로 거론되는 수준이다.
그 사이 움직인 것은 국회가 아닌 다른 부처와 기관이었다. 과학기술정보통신부 소관 개정 정보통신망법이 10월 1일 시행됐다. 고의나 중대한 과실로 침해 사고가 반복되면 관련 매출액의 최대 3%를 과징금으로 물릴 수 있고, 일정 규모 이상 기업은 정보보호최고책임자(CISO)를 임원으로 둬야 한다. 금융보안원은 2025년 12월 30일 거래소 전용 취약점 분석·평가 기준을 신설해 월렛, 블록체인, 스마트컨트랙트 분야를 넣었다. 다만 이 기준에 따른 종합 점검을 신청한 거래소는 이달 하순까지 한 곳도 없었다. 의무가 아니기 때문이다.
쟁점
당국은 결과 책임을 키우는 쪽이다. 금융위는 보안 의무가 안전성 확보 조항에서 나오는 만큼 사후 제재도 같은 법 체계에서 매출액 기준으로 하는 게 실효적이라는 입장을 밝혀 왔다. 금융 보안 사고에 대한 징벌적 과징금 신설은 현 정부 123대 국정과제에도 들어 있다. 이번 연쇄 침해가 은행에서 저축은행·가상자산업계를 거쳐 증권·보험으로 번진 만큼, 업권별로 다른 규율을 하나로 맞춰야 한다는 논리다.
업계는 기준의 형평을 문제 삼는다. 거래소는 이미 ISMS 인증과 콜드월렛 비율, 준비금 의무를 지고 있다. 올해 초 금융위가 2단계 입법에서 전자금융업자보다 무거운 과징금을 검토한다는 보도가 나오자, 업계에서는 전금법 기준을 크게 웃도는 제재는 과도하다는 반발이 나왔다. 반대편에서는 거래소를 '비금융사' 틀에 둔 채 의무만 덧대는 방식 자체가 문제라며, 아예 금융 제도권 안으로 들여 같은 규율을 적용해야 한다는 주장도 나온다.
이용자 쪽에서 보면 쟁점은 더 단순하다. 사고가 났을 때 누가, 얼마를, 언제까지 물어주는지가 법에 적혀 있느냐다. 지금은 거래소의 자발적 보전 약속과 당국의 '전액 배상 감독' 방침에 기대고 있다. 규율 주체가 금융위, 과기정통부, 개인정보보호위원회로 나뉘어 있어 같은 사고를 두고 조사와 제재가 따로 진행될 수 있다는 점도 남는 문제다.
전망과 체크포인트
첫 시험대는 11월 정무위 법안소위다. 전금법 개정안과 박성훈 의원안이 기본법 논의와 함께 상정되는지가 관건이다. 두 법이 모두 거래소 사고 책임을 다루는 만큼, 어느 법에 담느냐에 따라 감독 주체와 과징금 기준이 달라진다.
두 번째는 업비트 제재 결과다. 현행법으로 물을 수 있는 최대치가 어디까지인지 보여주는 첫 사례가 된다. 세 번째는 금융위가 말한 '다각적 방안'의 실체다. 법 개정 없이 할 수 있는 것은 감독규정과 가이드라인 수준이다. 금보원 점검처럼 권고에 머문 장치를 사실상 의무로 바꿀지가 그 범위를 가늠할 잣대다.
빗썸과 프라뱅 사고의 원인 조사 결과도 지켜볼 대목이다. 침해 경로가 거래 시스템이 아닌 업무용 시스템이었다는 점이 확인되면, 콜드월렛 비율 같은 지갑 중심 기준만으로는 부족하다는 논거가 된다. 은행급 보안이라는 약속이 구호로 남을지, 조문이 될지는 결국 국회 일정에 달렸다.
본 기사는 정보 제공 목적이며 투자 권유가 아닙니다.
참고