가상자산 해킹 제재가 드러낸 보안공시 ‘빈칸’… 기본법이 메울까

금감원, 두나무에 검사의견서 전달…소명 거쳐 제재 수위 확정
책임준비금·보안투자 공시…탐지·차단 성과는 확인 어려워
현행법상 해킹 직접 제재 한계…기본법 내부통제·무과실 배상 주목

(챗GPT)

금융 당국이 국내 가상자산 거래소 업비트에서 발생한 445억원 규모 해킹 사고에 대한 제재 절차에 본격 착수했다. 정보보호 투자액과 사고 책임 이행 재원이 공개되지만, 실제 공격 탐지·차단 역량과 내부통제 성과는 공시 만으로 확인하기 어렵다는 지적이 나온다. 가상자산이용자보호법상 해킹 사고 자체에 대한 직접 제재·배상 공백을 가상자산 디지털자산기본법(2단계법)이 보완할지 주목된다.

20일 가상자산 업계에 따르면 금융감독원은 최근 업비트 운영사 두나무에 해킹 사고와 관련한 검사의견서를 전달했다. 지난해 11월 발생한 사고에 관한 것으로, 당시 솔라나 계열 가상자산 445억원어치가 약 54분 동안 외부 지갑으로 전송됐다. 두나무는 회원 피해 자산 386억원을 업비트 보유 자산으로 전액 보전했으며, 유출 자산 중 26억원은 동결해 회수 절차를 진행했다.

금감원은 사고 이후 두나무의 가상자산이용자보호법 위반 여부를 검사했다. 현행법은 사업자에게 이용자 자산의 분리 보관과 일정 비율 이상의 콜드월렛(오프라인 전자지갑) 보관을 요구한다. 해킹·전산 장애에 따른 손해에 대비해 보험·공제에 가입하거나 준비금을 적립할 의무도 부과한다. 이들 의무를 위반하면 영업정지와 임직원 제재가 가능하고 1억원 이하 과태료를 부과할 수 있다. 다만 해킹 발생 자체를 독립된 제재 사유로 삼거나 사업자에게 무과실 배상책임을 부과하는 조항은 없다.

이번 검사의견서에는 금감원이 검사 과정에서 파악한 사실관계와 지적사항이 담긴 것으로 알려졌다. 금감원이 두나무의 소명을 검토한 뒤 제재 예정 내용을 사전 통지하면 제재심의위원회와 증권선물위원회, 금융위원회 의결을 거쳐 최종 제재가 확정될 전망이다. 구체적인 지적 사항과 소명 결과가 제재 수위를 가를 것으로 보인다.

한편, 두나무는 사고 전부터 법에 따라 책임이행 준비금을 적립해왔다. 올해 사업보고서에 따르면 지난해 말 기준 준비금 잔액은 800억300만원이다. 정보보호 공시에 나타난 지난해 정보보호 투자액도 243억4000만원으로 전년보다 64.7% 증가했다. 정보보호 전담인력은 43.9명, 관련 인증은 7건으로 공시됐다.

사업보고서와 정보보호 공시는 사고 대비 재원과 보안 투자액·인력 등을 보여준다. 다만 현행 의무 공시 양식에는 사고별 공격 탐지·차단 과정과 통제 실패 원인, 보완 조치의 이행 결과를 별도로 공개하도록 한 항목이 없다. 공시 사전점검도 기업이 제출한 자료를 토대로 공시 내용이 고시와 가이드라인에 맞게 작성됐는지를 확인하는 절차일 뿐, 기업의 실제 정보보호 수준을 판정하지 않는다.

결국 공시 만으로 확인하기 어려운 거래소의 실질적 보안 역량을 어떤 기준으로 규율하고 사고 발생 시 어디까지 책임을 물을 지가 과제로 남는다. 금융위 가상자산위원회가 올해 제1차 회의에서 거래소 내부통제·전산보안 기준과 무과실 손해배상책임 등 안전장치의 도입 필요성을 논의한 것도 이런 배경에서다. 향후 가상자산 2단계 입법으로 추진되는 디지털자산기본법에 관련 내용이 반영될지 여부가 관건이다.

이찬진 금감원장 역시 지난해 12월 기자간담회에서 업비트 해킹에 대해 제재 권한에 상대적으로 한계가 있지만, 그냥 넘어갈 성격의 것은 아니라고 지적한 바 있다. 이어 "가상자산 시장에서 가장 중요한 것이 안전성이라며 "사고가 디지털자산기본법 입법 과정에서 시스템 보안 강화를 추가로 점검하는 계기가 될 것"이라고 강조했다.