외부 인프라 사고는 이용자 피해로⋯ 규제 미비 파장 커질라[가상자산인프라, 구멍난 규제]②

지갑·노드·AML 시스템 외부 의존…장애·해킹 피해 VASP로 전이
금융권은 수탁업체 자료요구·직접조사…가상자산업권은 별도 근거 부재
DAXA 자율점검 강제력 한계…법정협회·수탁업체 감독 근거 마련 과제

▲서울달에서 바라본 여의도 야경. (이투데이DB)

가상자산사업자(VASP)가 지갑·키 관리부터 클라우드, 노드, 자금세탁방지 시스템까지 외부 전문업체에 맡기고 있지만, 가상자산업권의 일상적인 감독·검사는 사업자 자체에 집중된다. 금융권과 달리 당국이 수탁업체에 자료를 요구하거나 직접 조사할 별도 근거가 없어 규정의 존재만으로 공급망 위험을 통제하기 어렵다는 지적이 나온다.

3일 가상자산 업계에 따르면 거래소뿐 아니라 보관·관리, 이전, 중개·알선업자도 지갑·키 관리와 클라우드, 노드·원격호출프로토콜(RPC), 자금세탁방지(AML) 시스템 등을 외부 전문업체로부터 공급받는다. 외부업체에서 발생한 사고가 VASP와 이용자 피해와 무관하지 않은 이유다. 지갑이나 키 관리 체계가 침해되면 자산 탈취로 이어지고, 클라우드와 노드가 멈추면 입출금이나 네트워크 접속이 중단된다. 외부업체가 데이터를 보유한 상태에서 장애가 발생하면 사고 기록 확보와 복구에도 제약이 따른다.

지난해 글로벌 가상자산 거래소 바이비트 해킹은 이러한 공급망 위험을 드러낸 사례로 꼽힌다. 공격자는 거래소가 아닌 지갑 솔루션업체 세이프(Safe) 개발자의 자격증명을 탈취해 관련 인프라에 접근한 뒤 정상 거래로 위장한 악성 거래를 승인 절차에 제시했다. 내부 승인 절차가 작동하더라도 화면과 거래 정보가 외부에서 변조되면 방어선이 무너질 수 있음을 보여줬다.

증권사 등 금융권은 외부업체 활용에 대비한 법적 감독 수단을 갖췄다. 전자금융거래와 관련해 전자금융보조업자에게 업무를 맡긴 금융회사·전자금융업자에는 전자금융거래법 제40조에 따라 금융위원회는 외부주문 등 계약이 금융회사의 건전성이나 이용자 권익을 해친다고 판단하면 계약 내용의 시정·보완을 지시할 수 있다. 금융감독원은 금융회사 검사 과정에서 전자금융보조업자에게 자료 제출을 요구하고, 자료를 내지 않거나 부실하게 제출하면 해당 업체를 직접 조사할 수 있다.

반면 현행 가상자산업권 법령에는 위탁 인프라의 운영 위험을 상시 점검하기 위해 당국이 수탁업체에 자료를 요구하거나 직접 검사하는 일반적인 근거가 마련되지 않았다. 가상자산사업자가 계약을 통해 감사·자료접근권을 확보할 수 있지만, 계약 내용과 사업자의 협상력에 따라 실효성이 달라질 수 있다.

디지털자산거래소 공동협의체(DAXA)는 표준 내부통제기준과 자체 내규에 따라 회원사의 자율규제 이행 여부를 확인·점검한다. 모범규준에는 외부업체 위험 식별과 계약상 책임, 데이터 백업·기록 보존, 장애·해킹 대응 등이 담겼다. 다만 법정 감독 권한이 없어 위험평가 자료 제출이나 미흡 사항의 시정을 강제하기 어렵다. 외부 인프라 업체에 자료를 요구하거나 직접 점검할 근거도 없으며, 거래소 밖을 포함한 전체 신고 VASP의 준수 여부를 누가 확인할지도 남은 문제다.

금융당국은 가상자산 2단계 입법과 맞물려 공적 자율규제 권한을 지닌 법정협회 신설을 검토하는 것으로 알려졌다. 업계에서는 새 협회가 출범하거나 기존 기구에 법적 지위가 부여되고 제3자 위험관리 점검과 자료요구, 시정 권고 기능까지 위탁되면 자율규제의 실효성을 높일 수 있다고 본다. 다만 외부 인프라 업체까지 감독을 연결하려면 수탁업체에 대한 자료요구·조사 권한과 가상자산사업자의 최종 책임을 법률에 별도로 명시해야 한다는 지적이 나온다.