가상자산(암호화폐) 거래소 프라뱅이 해킹으로 약 1억원어치의 코인을 탈취당해 서비스를 잠정 중단했다. 최근 금융권 연쇄 해킹 사태에서 정보 유출을 넘어 자산 피해까지 확인된 것은 처음이다. 국내 2위 원화 거래소 빗썸에서도 고객 844명과 임직원 715명의 개인정보가 유출됐다. 두 곳 모두 사고 전 금융당국에 ‘보안 미흡’을 보고하고도 뚫려 거래소의 대응과 당국의 감독이 도마에 올랐다. 29일 가상자산업계에 따르면 프라뱅은 지난 24일 코인을 온라인에 보관하는 ‘핫월렛’에서 비정상적인 출금을 발견했다. 긴급 점검 과정에서 보안 취약점이 확인됐고, 피해는 약 1억원에 달했다. 프라뱅은 26일 관계기관 신고 사실을 고객에게 알렸다. 앞서 프라뱅은 이달 초 고객 개인정보 유출 사고도 겪었다. 김형연 조국혁신당 의원실이 금융감독원에서 확보한 자료에 따르면 프라뱅은 보안 자체 점검에서 불필요한 외부 접속 통로 제거, 접근권한 관리, 보안 업데이트 등 3개 항목을 ‘미흡’, 6개를 ‘부분 적정’으로 평가했다. 금감원이 금융권 연쇄 해킹에 대응해 12개 항목을 점검하고 지난 8일까지 결과를 내도록 했을 때다. 빗썸도 지난 18일 일부 서버가 낡아 정규 보안 업데이트를 받지 못한다고 인정했다. 반면 직원용 서비스 등 외부에 노출된 시스템 점검에는 ‘적정’이라고 답했다.  그러나 9일 뒤 직원용 업무시스템이 해킹됐고, 조사 과정에서 고객 6444명 중 844명의 개인정보 유출이 확인됐다. 유출 정보에는 주민등록번호·계좌번호·신분증 사본 등이 포함됐다. 빗썸은 사고 당일 관계기관에 신고했지만 고객 대상 공지는 해킹 인지 53시간 35분 만인 29일 오후 5시 49분에야 홈페이지에 게시했다. 지난 2월 비트코인 오지급 당시 약 5시간 만에 첫 공지를 낸 것과 대조적이다. 문제는 사전에 드러난 보안 취약점이 해커의 침입 통로로 악용될 수 있다는 점이다. 염흥열 순천향대 정보보호학과 교수는 프라뱅에 대해 “기본적인 보안 수칙을 지키지 못했다”며 “기존에 뚫린 보안 취약점을 이용해 자산을 탈취한 것인지 조사가 필요하다”고 말했다. 소규모 거래소는 보안 투자 여력도 부족할 수 있다. 금융정보분석원(FIU)·금감원의 올해 상반기 실태조사에 따르면 코인끼리 거래하는 코인마켓 거래소 12곳의 거래 가능 계정은 약 2만개로, 5대 원화 거래소 약 1115만개와 격차가 컸다. 거래소당 평균 직원도 각각 24명과 347명이었다. 원화 거래소는 1018억원의 영업이익을 냈지만 코인마켓 거래소는 202억원 적자였다. 업계 관계자는 “보안은 지속적으로 비용이 들어가 영세 거래소일수록 투자 부담이 클 수 있다”고 말했다. 가상자산 거래소는 정보보호 관리체계(ISMS) 인증 등을 갖춰 FIU에 신고하고 수리받아야 영업할 수 있다. 그러나 인증 이후에도 보안 수준을 유지하는 게 중요하다. 황석진 동국대 국제정보보호대학원 교수는 “보안 인증을 받아도 실제 해킹 대응에는 취약할 수 있다”며 “소규모 거래소에는 최신 해킹 정보와 대응 지침을 지원해 기본적인 방어 능력을 높여야 한다”고 말했다.

프라뱅, 핫월렛 해킹에 거래 잠정 중단빗썸, 임직원 715명 정보도 유출빗썸, 사고 이틀 뒤에야 고객 공지보안 취약점 사전 인지…당국 감독 도마가상자산(암호화폐) 거래소 프라뱅이 해킹으로 약 1억원어치의 코인을 탈취당해 서비스를 잠정 중단했다. 최근 금융권 연쇄 해킹 사태에서 정보 유출을 넘어 자산 피해까지 확인된 것은 처음이다. 국내 2위 원화 거래소 빗썸에서도 임직원 정보에 이어 고객 개인정보까지 유출된 정황이 드러났다. 두 곳 모두 사고 전 금융당국에 ‘보안 미흡’을 보고하고도 뚫려 거래소의 대응과 당국의 감독이 도마에 올랐다. 29일 가상자산업계에 따르면 프라뱅은 지난 24일 코인을 온라인에 보관하는 ‘핫월렛’에서 비정상적인 출금을 발견했다. 긴급 점검 과정에서 보안 취약점이 확인됐고, 피해는 약 1억원에 달했다. 프라뱅은 26일 관계기관 신고 사실을 고객에게 알렸다. 앞서 프라뱅은 이달 초 고객 개인정보 유출 사고도 겪었다. 김형연 조국혁신당 의원실이 금융감독원에서 확보한 자료에 따르면 프라뱅은 보안 자체점검에서 불필요한 외부 접속 통로 제거, 접근권한 관리, 보안 업데이트 등 3개 항목을 ‘미흡’, 6개를 ‘부분 적정’으로 평가했다. 금감원이 금융권 연쇄 해킹에 대응해 12개 항목을 점검하고 지난 8일까지 결과를 내도록 했을 때다. 빗썸도 지난 18일 일부 서버가 낡아 정규 보안 업데이트를 받지 못한다고 인정했다. 반면 직원용 서비스 등 외부에 노출된 시스템 점검에는 ‘적정’이라고 답했다. 그러나 9일 뒤 직원용 업무시스템이 해킹돼 빗썸과 자회사, 협력업체 임직원 정보가 유출된 정황이 확인됐다. 이후 파악 과정에서 고객 개인정보도 수백 건 유출된 사실을 인지한 것으로 알려졌다. 빗썸은 사고 당일 관계기관에 신고했지만 고객 대상 공식 공지는 해킹 인지 53시간 35분 만인 29일 오후 5시 49분에야 홈페이지에 게시했다. 지난 2월 비트코인 오지급 당시 약 5시간 만에 첫 공지를 낸 것과 대조적이다. 문제는 사전에 드러난 보안 취약점은 해커의 침입 통로로 악용될 수 있다는 점이다. 염흥열 순천향대 정보보호학과 교수는 프라뱅에 대해 “기본적인 보안 수칙을 지키지 못했다”며 “기존에 뚫린 보안 취약점을 이용해 자산을 탈취한 것인지 조사가 필요하다”고 말했다. 소규모 거래소는 보안 투자 여력도 부족할 수 있다. 금융정보분석원(FIU)·금감원의 올해 상반기 실태조사에 따르면 코인끼리 거래하는 코인마켓 거래소 12곳의 거래 가능 계정은 약 2만개로, 5대 원화 거래소 약 1115만개와 격차가 컸다. 거래소당 평균 직원도 각각 24명과 347명이었다. 원화 거래소는 1018억원의 영업이익을 냈지만 코인마켓 거래소는 202억원 적자였다. 업계 관계자는 “보안은 지속적으로 비용이 들어가 영세 거래소일수록 투자 부담이 클 수 있다”고 말했다. 가상자산 거래소는 정보보호 관리체계(ISMS) 인증 등을 갖춰 FIU에 신고하고 수리받아야 영업할 수 있다. 그러나 인증 이후에도 보안 수준을 유지하는 게 중요하다. 황석진 동국대 국제정보보호대학원 교수는 “보안 인증을 받아도 실제 해킹 대응에는 취약할 수 있다”며 “소규모 거래소에는 최신 해킹 정보와 대응 지침을 지원해 기본적인 방어 능력을 높여야 한다”고 말했다. 금융당국의 사후 감독을 강화해야 한다는 지적도 나온다. 김 의원은 “빗썸은 내부 직원용 서비스를 포함한 시스템 점검에 ‘적정’이라고 답했지만 한 달도 지나지 않아 사내 업무시스템이 뚫렸다”며 “스스로 매긴 점수만으로는 실제 보안 상태를 알 수 없는 만큼 금융당국이 답변의 근거자료를 검증하고 미흡한 항목의 개선 여부까지 확인해 뒷북 대처를 끊어야 한다”고 강조했다.

가상자산 거래소 빗썸에서 개인정보 유출 사고가 발생한 데 이어 이번에는 프라뱅에서 해킹 사고로 1억원의 자산 피해가 발생했다. 29일 가상자산업계에 따르면 프라뱅은 지난 26일 홈페이지에 사과문을 올려 “외부 비인가자 접근으로 인해 침해 사고가 발생했다”며 서비스를 잠정 중단한다고 밝혔다. 프라뱅은 “지난 24일 거래소 핫월렛에서 비정상적인 출금이 발생한 사실을 인지하고 비상 대응체계를 가동해 전면 점검을 하던 중 보안 취약점을 발견했다”면서 “현재 파악한 피해 자산은 약 1억원 규모”라고 설명했다. 이어 “회원들의 자산 보호를 위해 서비스 이용을 잠정 중단하는 조치를 취했으며, 피해 자산을 정확히 파악해 전액 회사 자산으로 보전할 것”이라고 덧붙였다. 앞서 금융당국은 지난 14일 금융권 인공지능(AI) 해킹 침해사고 점검 결과를 발표하며 가상자산 업권에서 고팍스 운영사 스트리미와 프라뱅에서 개인정보 유출 사고가 발생했다고 밝혔는데, 이와는 별개의 건으로 알려졌다. 전날엔 빗썸에서 사내 시스템을 겨냥한 해킹으로 임직원 개인정보가 유출되는 사고가 발생했다.

DB저축은행 등 5곳 추가 신고취약점 평가는 연  2회로 강화 지난달 발생한 ‘금융권 연쇄 해킹’ 피해 회사가 상호금융, 가상자산사업자 등을 포함해 총 16곳으로 늘었다. 현재까지 확인된 정보 유출은 성명, 연락처, 주민등록번호, 이메일 주소 등 약 10만건이다. 금융위원회는 14일 신진창 사무처장 주재로 금감원, 금융보안원, 과학기술정보통신부, 행정안전부, 경찰청 등과 ‘제2차 긴급 상황대응회의’를 열고 이같이 밝혔다. 기존에 알려진 신한·KB국민·하나·BNK부산은행, 예가람·웰컴·OK저축은행, 현대캐피탈, 새마을금고중앙회, 피에프씨테크놀로지스(PFCT)·모우다 외에 5곳이 추가로 보고됐다. DB저축은행과 산은캐피탈, 브라이트픽스가 침해 사고를 신고했으며, 가상자산업권에서는 고팍스 운영사인 스트리미와 프라뱅에서 사고가 발생한 것으로 파악됐다. 계좌 비밀번호나 카드번호 등 부정결제에 직접 악용될 수 있는 정보의 유출은 확인되지 않았다. 금융회사들이 피해 여부를 점검하고 있어 사고 회사는 더 늘어날 수 있다. 당국은 추가 피해가 동일 주체의 공격인지, 인공지능(AI)을 활용했는지 조사하고 있다. 금융위 관계자는 “침해 경로와 공격 방식을 신속히 파악하고 있다”고 말했다. 당국이 해킹사고 직후 555개 금융회사를 점검한 결과 130곳이 보안에 미흡한 점이 있다고 보고했다. 주로 보안 프로그램 업데이트와 해킹 감시체계의 보완이 필요한 것으로 나타났다. 상대적으로 보안 역량이 약한 전자금융업체와 온라인투자연계금융업체에서 미흡한 사례가 많았다. 금융당국은 전산시스템과 외부의 연결 지점을 점검하고, 취약점 평가를 연 1회에서 2회로 늘릴 계획이다. 금융회사가 발견한 위협 정보도 금융보안원을 통해 전 금융권에 신속히 공유하도록 한다. 자체적인 보안 대응 여력을 갖추기 어려운 중소형 금융회사도 공동 보안관제 시스템 구축을 검토한다.

지난달 발생한 ‘금융권 연쇄 해킹’ 피해 회사가 상호금융, 가상자산사업자 등을 포함해 총 16곳으로 늘었다. 현재까지 확인된 정보 유출은 성명, 연락처, 주민등록번호, 이메일 주소 등 약 10만건이다. 금융위원회는 14일 신진창 사무처장 주재로 금감원, 금융보안원, 과학기술정보통신부, 행정안전부, 경찰청 등과 ‘제2차 긴급 상황대응회의’를 열고 이같이 밝혔다. 기존에 알려진 신한·KB국민·하나·BNK부산은행, 예가람·웰컴·OK저축은행, 현대캐피탈, 새마을금고중앙회, 피에프씨테크놀로지스(PFCT)·모우다 외에 5곳이 추가로 보고됐다. DB저축은행과 산은캐피탈, 브라이트픽스가 침해 사고를 신고했으며, 가상자산업권에서는 고팍스 운영사인 스트리미와 프라뱅에서 사고가 발생한 것으로 파악됐다. 계좌 비밀번호나 카드번호 등 부정결제에 직접 악용될 수 있는 정보의 유출은 확인되지 않았다. 금융회사들이 피해 여부를 점검하고 있어 사고 회사는 더 늘어날 수 있다. 당국은 추가 피해가 동일 주체의 공격인지, 인공지능(AI)을 활용했는지 조사하고 있다. 금융위 관계자는 “침해 경로와 공격 방식을 신속히 파악하고 있다”고 말했다. 당국이 해킹사고 직후 555개 금융회사를 점검한 결과 130곳이 보안에 미흡한 점이 있다고 보고했다. 주로 보안 프로그램 업데이트와 해킹 감시체계의 보완이 필요한 것으로 나타났다. 상대적으로 보안 역량이 약한 전자금융업체와 온라인투자연계금융업체에서 미흡한 사례가 많았다. 금융당국은 전산시스템과 외부의 연결 지점을 점검하고, 취약점 평가를 연 1회에서 2회로 늘릴 계획이다. 금융회사가 발견한 위협 정보도 금융보안원을 통해 전 금융권에 신속히 공유하도록 한다. 자체적인 보안 대응 여력을 갖추기 어려운 중소형 금융회사도 공동 보안관제 시스템 구축을 검토한다. 신 처장은 “보안관제 체계와 최고경영자(CEO)·이사회의 책임 등 보안체계 전반을 재점검하고 근본적인 제도 개선에 나서겠다”고 말했다.

오늘까지 금융당국에 신고하지 못한 암호화폐(가상자산) 사업자는 내일부터 문을 닫게 된다. 현재까지 약 40곳에 달하는 거래소가 영업을 중단하게 될 것으로 보인다. 금융당국은 투자자들이 거래소의 신고 여부를 확인하고 자산을 안전한 곳에 옮겨두는 것이 좋다고 당부했다. 24일 금융위원회 산하 금융정보분석원(FIU)에 따르면 가상화폐 사업을 지속하려는 기존 사업자는 특정금융정보이용법(특금법) 개정안 유예 기간이 끝나는 이날 오후 11시 59분까지 FIU에 사업 신고를 마쳐야 한다. 암호화폐 거래소는 정보보호관리체계(ISMS) 인증 획득, 실명 입출금 계정(실명계좌) 확보 등 요건을 갖춰 신고해야 영업할 수 있다. 실명계좌를 확보하지 못한 거래소는 금전 간 서비스(원화 거래)를 중단하는 조건으로 신고하면 된다. 이럴 경우 원화마켓이 아닌 암호화폐 간 거래를 하는 코인마켓만 운영할 수 있다. FIU 관계자는 “원칙적으로는 이날 자정까지 온라인으로 신고할 수 있지만 신고서 제출이 늦어질 경우 직원이 서류 구비 여부를 직접 확인하기 어렵다”면서 “반려될 경우 신고 기회가 없어질 수 있으므로 오후 6시까지 신고할 것을 권고한다”고 말했다.연초에 금융당국이 파악한 국내 거래소 66곳 중 이날 오전 기준 신고를 마친 곳은 모두 10곳이다. 업비트(두나무), 빗썸(빗썸코리아), 코인원(코인원), 코빗(코빗) 등 4대 거래소를 비롯해 플라이빗(한국디지털거래소) 등 5곳이 추석 연휴 이전에 신고했다. 지난 23일 비블록(그레이브릿지), OK-BIT(오케이비트), 지닥(피어테크), 프라뱅(프라뱅), 플랫타익스체인지(플랫타이엑스) 등 5곳이 신고를 마쳤다. 이들 중 실명계좌를 확보한 4대 거래소를 제외한 나머지 거래소들은 코인마켓만 운영하게 된다. 코인마켓만 운영하는 거래소들은 다음달 23일 전후까지 고객들이 원화를 출금할 수 있도록 해야 한다. FIU는 가장 먼저 서류를 제출한 업비트의 신고를 수리한 상태다. 이날 추가로 신고서 제출을 완료할 것으로 전망되는 거래소는 약 18곳이다. 신고서를 제출하지 않은 거래소는 서비스를 종료해야 한다. 신고서 제출 의사를 밝히지 않은 거래소 40여곳은 25일부터 폐업하게 되는 셈이다. 금융당국과 수사기관은 25일부터 폐업 전망 거래소들의 미신고 영업 행위 여부를 집중적으로 모니터링한다는 방침이다. 미신고 영업 혐의를 받는 가상자산사업자(가상화폐 거래소·지갑사업자 등)는 5000만원 이하의 벌금 또는 5년 이하의 징역에 처해질 수 있다. 금융당국 관계자는 “투자자들은 FIU 홈페이지에서 사업자의 신고 현황을 미리 확인하고, 신고하지 않은 거래소를 이용했을 경우에는 미리 다른 곳으로 예치금과 가상자산을 옮겨두는 것이 좋다”면서 “사업자가 신고를 마쳤다 하더라도 요건을 미충족한 경우 불수리 처분을 받을 수 있으므로 신고 수리 현황을 지속적으로 확인해야 한다”고 당부했다.

특정금융정보법(특금법) 신고 기한이 열흘 남짓 앞으로 다가온 가운데 가상자산(암호화폐) 거래소 28곳만이 신고에 필요한 최소 요건인 정보보호관리체계(ISMS) 인증을 받은 것으로 확인됐다. 금융당국은 향후 신고기한까지 잔여 일정을 고려할 때 추가로 인증을 받는 거래업자가 나올 가능성은 낮은 만큼, 인증받지 못한 거래소의 이용자들에 주의를 당부했다.금융위원회 등은 가상자산사업자 가운데 ISMS 인증을 획득한 업체 40곳의 명단을 13일 공개했다. 지난 10일 기준 ISMS 인증을 받은 업체 가운데 ‘거래업자’(거래소)는 지난달 25일 명단 공개 후 7곳이 늘어나 모두 28곳이고, 추가로 공개된 ‘지갑사업자’는 12곳으로 집계됐다. 특금법 개정안에 따르면 기존 가상자산사업자는 오는 24일까지 금융정보분석원(FIU)에 신고를 마쳐야 한다. 신고를 마치지 못한 사업자는 사실상 영업이 종료된다. 추석 연휴 5일을 제외하면 신고 기한이 일주일 남짓 시간이 남은 셈이다. 금융당국에 따르면 오는 24일까지 FIU에 신고하지 않은 기존 가상자산사업자는 늦어도 오는 17일까지는 이용자에게 영업종료를 공지하고 24일 폐업·영업중단을 해야 한다. FIU에 신고한 가상자산사업자의 경우에도 실명확인 입출금계정을 확보하지 못한 경우에는 원화거래가 중단된다. 금융당국 관계자는 “아직까지 ISMS 인증을 획득하지 못한 사업자는 특금법 신고 가능성이 낮다”며 “신고기한이 임박한 상황을 틈타 일부 가상자산사업자들이 ISMS인증 신청을 마치 ISMS인증을 받은 것으로 과대 홍보하는 사례가 있어 각별히 주의해야 한다”고 강조했다. 이어 “이용자들은 한국인터넷진흥원 홈페이지를 통해 최신 ISMS인증 현황 자료를 지속적으로 확인할 필요가 있다”고 덧붙였다. 금융당국은 가상자산사업자의 폐업·영업중단에 대비해 사업자 모니터링을 강화하고, 이용자 피해 발생시 신속히 대응한다는 방침이다. 다음은 가상자산 사업자 ISMS 인증 취득 현황(총 40곳) 거래업자(28곳) ㈜스트리미, 두나무 주식회사, 주식회사 코빗, ㈜코인원, 주식회사 빗썸코리아, 플루토스디에스 주식회사, 주식회사 뉴링크, 주식회사 텐앤텐, 차일들리 주식회사, 주식회사 한국디지털거래소, 주식회사 피어테크, 주식회사 에이프로코리아, 후오비 주식회사, ㈜코엔코코리아, 오션스 주식회사, ㈜뱅코, ㈜코어닥스, 주식회사 포블게이트, 주식회사 엑시아소프트, 주식회사 인터내셔널 비트익스체인지, ㈜오케이비트, 주식회사 골든퓨쳐스, 주식회사 더블링크, 주식회사 가디언홀딩스, ㈜플랫타이엑스, 주식회사 그레이브릿지, 주식회사 프라뱅, 와우팍스익스체인지 주식회사 지갑사업자(12곳) ㈜헥슬란트, 주식회사 한국디지털자산수탁, 코인플러그, ㈜한국디지털에셋, 주식회사 하이퍼리즘, ㈜네오플라이, 주식회사 카르도, 주식회사 위메이드트리, 주식회사 베이직리서치, 주식회사 겜퍼, PayProtocol AG, 보노테크놀로지스 주식회사