가상자산(암호화폐) 거래소 프라뱅이 해킹으로 약 1억원어치의 코인을 탈취당해 서비스를 잠정 중단했다. 최근 금융권 연쇄 해킹 사태에서 정보 유출을 넘어 자산 피해까지 확인된 것은 처음이다. 국내 2위 원화 거래소 빗썸에서도 고객 844명과 임직원 715명의 개인정보가 유출됐다. 두 곳 모두 사고 전 금융당국에 ‘보안 미흡’을 보고하고도 뚫려 거래소의 대응과 당국의 감독이 도마에 올랐다. 29일 가상자산업계에 따르면 프라뱅은 지난 24일 코인을 온라인에 보관하는 ‘핫월렛’에서 비정상적인 출금을 발견했다. 긴급 점검 과정에서 보안 취약점이 확인됐고, 피해는 약 1억원에 달했다. 프라뱅은 26일 관계기관 신고 사실을 고객에게 알렸다. 앞서 프라뱅은 이달 초 고객 개인정보 유출 사고도 겪었다. 김형연 조국혁신당 의원실이 금융감독원에서 확보한 자료에 따르면 프라뱅은 보안 자체 점검에서 불필요한 외부 접속 통로 제거, 접근권한 관리, 보안 업데이트 등 3개 항목을 ‘미흡’, 6개를 ‘부분 적정’으로 평가했다. 금감원이 금융권 연쇄 해킹에 대응해 12개 항목을 점검하고 지난 8일까지 결과를 내도록 했을 때다. 빗썸도 지난 18일 일부 서버가 낡아 정규 보안 업데이트를 받지 못한다고 인정했다. 반면 직원용 서비스 등 외부에 노출된 시스템 점검에는 ‘적정’이라고 답했다.  그러나 9일 뒤 직원용 업무시스템이 해킹됐고, 조사 과정에서 고객 6444명 중 844명의 개인정보 유출이 확인됐다. 유출 정보에는 주민등록번호·계좌번호·신분증 사본 등이 포함됐다. 빗썸은 사고 당일 관계기관에 신고했지만 고객 대상 공지는 해킹 인지 53시간 35분 만인 29일 오후 5시 49분에야 홈페이지에 게시했다. 지난 2월 비트코인 오지급 당시 약 5시간 만에 첫 공지를 낸 것과 대조적이다. 문제는 사전에 드러난 보안 취약점이 해커의 침입 통로로 악용될 수 있다는 점이다. 염흥열 순천향대 정보보호학과 교수는 프라뱅에 대해 “기본적인 보안 수칙을 지키지 못했다”며 “기존에 뚫린 보안 취약점을 이용해 자산을 탈취한 것인지 조사가 필요하다”고 말했다. 소규모 거래소는 보안 투자 여력도 부족할 수 있다. 금융정보분석원(FIU)·금감원의 올해 상반기 실태조사에 따르면 코인끼리 거래하는 코인마켓 거래소 12곳의 거래 가능 계정은 약 2만개로, 5대 원화 거래소 약 1115만개와 격차가 컸다. 거래소당 평균 직원도 각각 24명과 347명이었다. 원화 거래소는 1018억원의 영업이익을 냈지만 코인마켓 거래소는 202억원 적자였다. 업계 관계자는 “보안은 지속적으로 비용이 들어가 영세 거래소일수록 투자 부담이 클 수 있다”고 말했다. 가상자산 거래소는 정보보호 관리체계(ISMS) 인증 등을 갖춰 FIU에 신고하고 수리받아야 영업할 수 있다. 그러나 인증 이후에도 보안 수준을 유지하는 게 중요하다. 황석진 동국대 국제정보보호대학원 교수는 “보안 인증을 받아도 실제 해킹 대응에는 취약할 수 있다”며 “소규모 거래소에는 최신 해킹 정보와 대응 지침을 지원해 기본적인 방어 능력을 높여야 한다”고 말했다.

프라뱅, 핫월렛 해킹에 거래 잠정 중단빗썸, 임직원 715명 정보도 유출빗썸, 사고 이틀 뒤에야 고객 공지보안 취약점 사전 인지…당국 감독 도마가상자산(암호화폐) 거래소 프라뱅이 해킹으로 약 1억원어치의 코인을 탈취당해 서비스를 잠정 중단했다. 최근 금융권 연쇄 해킹 사태에서 정보 유출을 넘어 자산 피해까지 확인된 것은 처음이다. 국내 2위 원화 거래소 빗썸에서도 임직원 정보에 이어 고객 개인정보까지 유출된 정황이 드러났다. 두 곳 모두 사고 전 금융당국에 ‘보안 미흡’을 보고하고도 뚫려 거래소의 대응과 당국의 감독이 도마에 올랐다. 29일 가상자산업계에 따르면 프라뱅은 지난 24일 코인을 온라인에 보관하는 ‘핫월렛’에서 비정상적인 출금을 발견했다. 긴급 점검 과정에서 보안 취약점이 확인됐고, 피해는 약 1억원에 달했다. 프라뱅은 26일 관계기관 신고 사실을 고객에게 알렸다. 앞서 프라뱅은 이달 초 고객 개인정보 유출 사고도 겪었다. 김형연 조국혁신당 의원실이 금융감독원에서 확보한 자료에 따르면 프라뱅은 보안 자체점검에서 불필요한 외부 접속 통로 제거, 접근권한 관리, 보안 업데이트 등 3개 항목을 ‘미흡’, 6개를 ‘부분 적정’으로 평가했다. 금감원이 금융권 연쇄 해킹에 대응해 12개 항목을 점검하고 지난 8일까지 결과를 내도록 했을 때다. 빗썸도 지난 18일 일부 서버가 낡아 정규 보안 업데이트를 받지 못한다고 인정했다. 반면 직원용 서비스 등 외부에 노출된 시스템 점검에는 ‘적정’이라고 답했다. 그러나 9일 뒤 직원용 업무시스템이 해킹돼 빗썸과 자회사, 협력업체 임직원 정보가 유출된 정황이 확인됐다. 이후 파악 과정에서 고객 개인정보도 수백 건 유출된 사실을 인지한 것으로 알려졌다. 빗썸은 사고 당일 관계기관에 신고했지만 고객 대상 공식 공지는 해킹 인지 53시간 35분 만인 29일 오후 5시 49분에야 홈페이지에 게시했다. 지난 2월 비트코인 오지급 당시 약 5시간 만에 첫 공지를 낸 것과 대조적이다. 문제는 사전에 드러난 보안 취약점은 해커의 침입 통로로 악용될 수 있다는 점이다. 염흥열 순천향대 정보보호학과 교수는 프라뱅에 대해 “기본적인 보안 수칙을 지키지 못했다”며 “기존에 뚫린 보안 취약점을 이용해 자산을 탈취한 것인지 조사가 필요하다”고 말했다. 소규모 거래소는 보안 투자 여력도 부족할 수 있다. 금융정보분석원(FIU)·금감원의 올해 상반기 실태조사에 따르면 코인끼리 거래하는 코인마켓 거래소 12곳의 거래 가능 계정은 약 2만개로, 5대 원화 거래소 약 1115만개와 격차가 컸다. 거래소당 평균 직원도 각각 24명과 347명이었다. 원화 거래소는 1018억원의 영업이익을 냈지만 코인마켓 거래소는 202억원 적자였다. 업계 관계자는 “보안은 지속적으로 비용이 들어가 영세 거래소일수록 투자 부담이 클 수 있다”고 말했다. 가상자산 거래소는 정보보호 관리체계(ISMS) 인증 등을 갖춰 FIU에 신고하고 수리받아야 영업할 수 있다. 그러나 인증 이후에도 보안 수준을 유지하는 게 중요하다. 황석진 동국대 국제정보보호대학원 교수는 “보안 인증을 받아도 실제 해킹 대응에는 취약할 수 있다”며 “소규모 거래소에는 최신 해킹 정보와 대응 지침을 지원해 기본적인 방어 능력을 높여야 한다”고 말했다. 금융당국의 사후 감독을 강화해야 한다는 지적도 나온다. 김 의원은 “빗썸은 내부 직원용 서비스를 포함한 시스템 점검에 ‘적정’이라고 답했지만 한 달도 지나지 않아 사내 업무시스템이 뚫렸다”며 “스스로 매긴 점수만으로는 실제 보안 상태를 알 수 없는 만큼 금융당국이 답변의 근거자료를 검증하고 미흡한 항목의 개선 여부까지 확인해 뒷북 대처를 끊어야 한다”고 강조했다.

가상자산 거래소 빗썸에서 개인정보 유출 사고가 발생한 데 이어 이번에는 프라뱅에서 해킹 사고로 1억원의 자산 피해가 발생했다. 29일 가상자산업계에 따르면 프라뱅은 지난 26일 홈페이지에 사과문을 올려 “외부 비인가자 접근으로 인해 침해 사고가 발생했다”며 서비스를 잠정 중단한다고 밝혔다. 프라뱅은 “지난 24일 거래소 핫월렛에서 비정상적인 출금이 발생한 사실을 인지하고 비상 대응체계를 가동해 전면 점검을 하던 중 보안 취약점을 발견했다”면서 “현재 파악한 피해 자산은 약 1억원 규모”라고 설명했다. 이어 “회원들의 자산 보호를 위해 서비스 이용을 잠정 중단하는 조치를 취했으며, 피해 자산을 정확히 파악해 전액 회사 자산으로 보전할 것”이라고 덧붙였다. 앞서 금융당국은 지난 14일 금융권 인공지능(AI) 해킹 침해사고 점검 결과를 발표하며 가상자산 업권에서 고팍스 운영사 스트리미와 프라뱅에서 개인정보 유출 사고가 발생했다고 밝혔는데, 이와는 별개의 건으로 알려졌다. 전날엔 빗썸에서 사내 시스템을 겨냥한 해킹으로 임직원 개인정보가 유출되는 사고가 발생했다.

국내 1위 가상자산(암호화폐) 거래소 업비트가 445억원 규모의 해킹 사고 이후 내놓은 재발 방지책을 두고 실효성 논란이 일고 있다. 핵심 대책으로 내세운 ‘가상자산 콜드월렛 99% 보관’이 사고 이전에도 이미 유지되던 수준이어서다. 특히 정작 해킹이 발생한 ‘핫월렛’에 대한 구체적 대응책은 빠져 있다는 지적도 나온다. 콜드월렛은 온라인과 연결되지 않아 안전한 가상자산 금고이고, 핫월렛은 언제든 편하게 거래하기 위해 온라인에 연결한 가상지산 지갑을 뜻한다. 21일 서울신문이 이헌승 국민의힘 의원실을 통해 금융감독원에서 확보한 ‘5대 가상자산 거래소 콜드·핫월렛 보관 비율 및 금액’ 자료에 따르면 업비트는 올해 9월과 사고가 발생한 지난달 콜드월렛 비중을 99%로 끌어올렸다. 콜드월렛 비중을 80% 이상 유지하도록 한 ‘가상자산이용자보호법’이 시행된 지난해 7월 이후 98% 수준을 유지해 왔다. 가상자산 업계에 정통한 한 관계자는 “온라인에 연결된 자산을 줄여 안전성을 강화하겠다는 업비트의 의도는 알겠지만 콜드월렛 비중을 늘리고 핫월렛 비중을 지나치게 낮추면 단기간에 출금 수요가 몰릴 경우 대응 속도가 떨어질 수도 있다”고 말했다. 사고가 직접적으로 발생한 핫월렛 해킹 대책이 부실하다는 우려도 나온다. 사고의 본질로 지목되는 개인키 관리 구조와 관련해 구체적 설명이 부족하다는 지적이다. 이헌승 의원실이 5대 거래소에 개인키 관리 체계를 질의한 결과 고팍스를 제외한 4개 거래소는 개인키 접근 인원 규모, 권한 분리 여부, 다중 승인 적용 여부, 이상 접근 탐지 방식 등에 대해 “보안상 이유로 공개할 수 없다”고 답했다. 이와 관련해 업비트 관계자는 “보안 세부 사항을 공개할 경우 공격 설계 단서가 될 수 있는 한계가 있다”고 설명했다. 제도적 공백도 불안을 키우는 한 요인이다. 가상자산 거래소는 전자금융거래법 적용 대상이 아니어서 해킹 사고와 관련한 직접적인 제재나 무과실 책임을 묻기 어렵다. 금융당국도 현행 가상자산이용자보호법을 근거로 위반 여부를 들여다보는 수준에 머물러 있다. 이 법은 콜드월렛 보관 비율 등 최소한의 자산 보호 기준을 담고 있지만, 해킹 사고 발생 시 사업자의 책임 범위와 배상 방식까지 포괄적으로 규정하진 않았다. 황석진 동국대 국제정보보호대학원 교수는 “콜드월렛 비중을 높이는 것만으로는 내부자 위험이나 개인키 통제 문제를 해결할 수 없다”며 “핵심은 개인키 접근 권한 관리와 내부 통제, 다중 승인 같은 구조적 통제 체계 마련”이라고 말했다.

사고 전과 비슷한 콜드월렛 비중핫월렛·개인키 관리 대책은 공백책임·배상 규정 부재로 불안 지속국내 1위 가상자산(암호화폐) 거래소 업비트가 445억원 규모의 해킹 사고 이후 내놓은 재발 방지책을 두고 실효성 논란이 일고 있다. 핵심 대책으로 내세운 ‘가상자산 콜드월렛 99% 보관’이 사고 이전에도 이미 유지되던 수준이어서다. 특히 정작 해킹이 발생한 ‘핫월렛’에 대한 구체적 대응책은 빠져 있다는 지적도 나온다. 콜드월렛은 온라인과 연결되지 않아 안전한 가상자산 금고이고, 핫월렛은 언제든 편하게 거래하기 위해 온라인에 연결한 가상지산 지갑을 뜻한다. 21일 서울신문이 이헌승 국민의힘 의원실을 통해 금융감독원에서 확보한 ‘5대 가상자산 거래소 콜드·핫월렛 보관 비율 및 금액’ 자료에 따르면 업비트는 올해 9월과 사고가 발생한 지난달 콜드월렛 비중을 99%로 끌어올렸다. 콜드월렛 비중을 80% 이상 유지하도록 한 ‘가상자산이용자보호법’이 시행된 지난해 7월 이후 98% 수준을 유지해 왔다. 다른 거래소들과 비교해도 업비트의 보관 비율은 이미 최상위권이다. 같은 기간 콜드월렛 비중은 빗썸(88~95%), 코인원(82~84%), 코빗(83~85%), 고팍스(81~83%) 수준이었다. 가상자산 업계에 정통한 한 관계자는 “온라인에 연결된 자산을 줄여 안전성을 강화하겠다는 업비트의 의도는 알겠지만 콜드월렛 비중을 늘리고 핫월렛 비중을 지나치게 낮추면 단기간에 출금 수요가 몰릴 경우 대응 속도가 떨어질 수도 있다”고 말했다. 사고가 직접적으로 발생한 핫월렛 해킹 대책이 부실하다는 우려도 나온다. 사고의 본질은 자산 접근 권한을 좌우하는 ‘개인키’ 관리 구조에 있는데 누가, 어떤 절차로 접근 권한을 갖는지에 대한 설명이 빠져 있다는 지적이다. 이헌승 의원실이 5대 거래소에 개인키 관리 체계를 질의한 결과 고팍스를 제외한 4개 거래소는 개인키 접근 인원 규모, 권한 분리 여부, 다중 승인 적용 여부, 이상 접근 탐지 방식 등에 대해 “보안상 이유로 공개할 수 없다”고 답했다. 이와 관련해 업비트 관계자는 업비트 관계자는 “개인키 관리 등 구체적인 보안 대책을 공개할 경우 오히려 공격 설계의 단서가 될 수 있어 세부 사항을 밝히 어렵다”며 “어떤 보안 체계도 100% 완벽할 수 없다는 전제 아래, 만일의 상황에서도 피해 확산을 최소화하기 위해 콜드월렛 중심의 자산 운용 구조를 선택했다”고 설명했다. 이어 “이용자의 입·출금 편의성과 실시간 거래 안정성을 유지해야 하는 거래소 운영 측면에서 상당한 시스템 설계와 운영 리소스를 감수해야 하는 결정”이라며 “앞으로 핫월렛 비율을 더 낮춰서 상시적으로 0%대를 유지한다는 데 의미가 있다”고 밝혔다. 다만 제도적 공백은 여전히 불안을 키우는 요인이다. 가상자산 거래소는 전자금융거래법 적용 대상이 아니어서 해킹 사고와 관련한 직접적인 제재나 무과실 책임을 묻기 어렵다. 금융당국도 현행 가상자산이용자보호법을 근거로 위반 여부를 들여다보는 수준에 머물러 있다. 이 법은 콜드월렛 보관 비율 등 최소한의 자산 보호 기준을 담고 있지만, 해킹 사고 발생 시 사업자의 책임 범위와 배상 방식까지 포괄적으로 규정하진 않았다. 황석진 동국대 국제정보보호대학원 교수는 “콜드월렛 비중을 높이는 것만으로는 내부자 위험이나 개인키 통제 문제를 해결할 수 없다”며 “핵심은 개인키 접근 권한 관리와 내부 통제, 다중 승인 같은 구조적 통제 체계 마련”이라고 말했다. 이어 “사고가 반복될 경우를 대비해 책임 주체와 피해 보상 원칙을 명확히 하는 제도 정비가 필요하다”고 지적했다.

국내 최대 가상자산(암호화폐) 거래소 업비트에서 445억원 규모의 디지털자산이 해킹으로 탈취되는 사고가 발생했다. 해당 자산은 세게 최대 가상자산 거래소인 바이낸스로 이동됐다는 정황이 보고 됐다. 사고 인지부터 공지까지 약 8시간이 소요되면서 ‘늑장 대응’ 논란도 제기됐다. 오경석 두나무 대표이사는 27일 오후 12시 33분 공지를 통해 “오전 4시 42분쯤 솔라나 네트워크 계열 자산 일부가 알 수 없는 외부 지갑으로 전송된 정황을 확인했다”며 “회원 자산에 피해가 발생하지 않도록 전액 업비트 자산으로 충당할 예정”이라고 밝혔다. 이와 관련 금융감독원은 현장 점검에 착수했고 경찰청 국가수사본부 사이버테러수사대도 입건 전 조사에 나섰다. 이번 사고로 블록체인 플랫폼 ‘솔라나’를 기반으로 발행된 토큰 445억원 상당이 유출된 것으로 파악됐다. 당초 피해액은 540억원으로 추산됐으나, 오전 4시 42분 기준 시세를 적용해 445억원으로 조정됐다. 가상자산추적분석 전문기업 클로인트는 조사 결과 유출된 자산이 다수의 중개 지갑으로 분산된 뒤 대부분이 바이낸스로 빠져나간 흐름을 포착했다고 밝혔다. 전형적인 자금 세탁 수법이다. 업비트에서 해킹 사고가 발생한 것은 이번이 두 번째다. 정확히 6년 전인 2019년 11월 27일에도 업비트에서 580억원 규모의 이더리움이 탈취됐다. 당시에도 핫월렛에 있던 자산을 모두 콜드월렛으로 옮기고 회사 자산으로 피해액을 메웠다. 수사 결과 경찰청 국가수사본부는 북한 정찰총국 산하 해킹조직 ‘라자루스’와 ‘안다리엘’ 소행으로 판단했다. 한편, 이번 해킹 여파로 관련 가상자산 가격이 급등, 해외와 가격 괴리가 크게 나타나는 ‘가두리 펌핑’ 현상도 나타났다. 대표적으로 이날 오후 5시 17분 현재 업비트에서 오르카(ORCA)는 전일 대비 두배 가까이 급등한 3196원에 거래되고 있다. 메테오레와 레이디움도 각각 84.23%, 41.95% 뛰었다. 같은 기간 시가총액 1·2위인 비트코인(0.76%), 이더리움(-0.13%) 상승 폭을 압도한다.

가상자산 거래소 업비트가 27일 새벽 약 445억 원 규모의 디지털 자산 해킹 피해를 입었다. 이 사고는 두나무와 네이버파이낸셜의 합병 기자간담회가 열린 당일에 발생했다. 새벽 4시 42분, ‘비정상 이체’ 포착…540억→445억 정정 업비트 운영사 두나무는 즉시 솔라나 네트워크 기반 입출금 서비스를 전면 중단하고 긴급 보안 점검에 들어갔다. 두나무는 “이날 오전 4시 42분쯤 내부에서 지정하지 않은 외부 지갑 주소로 약 540억 원 상당의 솔라나 네트워크 계열 자산 일부가 전송된 정황을 확인했다”며 “회원 자산 피해는 없도록 전액 업비트 자산으로 충당할 예정”이라고 밝혔다. 이후 오후 3시쯤 해킹 규모를 약 445억 원으로 정정하고 “비정상 출금 시점의 시세를 기준으로 환산했다”고 설명했다. 유출된 자산 20여 종…솔라나 생태계 전반 타격 이어 “핫월렛(Hot Wallet·인터넷 연결 지갑)에서 해킹이 발생했으며, 자산이 분리 보관되는 콜드월렛(Cold Wallet·오프라인 지갑)은 어떠한 침해나 탈취도 없었다”고 덧붙였다. 유출된 자산은 ▲솔라나(SOL) ▲유에스디코인(USDC) ▲렌더(RENDER) ▲웜홀(W) ▲피스네트워크(PYTH) ▲지토(JTO) ▲주피터(JUP) ▲봉크(BONK) ▲아이오넷(IO) ▲드리프트(DRIFT) ▲레이디움(RAY) ▲오르카(ORCA) 등 주요 토큰을 비롯해 ▲액세스프로토콜(ACS) ▲매직에덴(ME) ▲오피셜트럼프(TRUMP) ▲두들즈(DOOD) ▲펏지펭귄(PENGU) ▲솔레이어(LAYER) ▲후마파이낸스(HUMA) ▲소닉SVM(SONIC) 등 신규 프로젝트 토큰까지 포함됐다. 두나무는 해킹 직후 모든 자산을 콜드월렛으로 옮기고 블록체인(온체인) 상에서 자산 이동을 차단하는 조치를 취했다. 약 23억 원 규모의 솔레이어(LAYER) 토큰은 동결에 성공했으며, 나머지 자산도 추적 중이다. 금융당국·KISA 동시 대응…FIU 제재 여파 속 또 악재보안업계는 “솔라나 네트워크 계열 자산을 관리하던 직원 PC가 악성코드에 감염됐을 가능성”을 주요 원인으로 보고 있다. 금융감독원과 한국인터넷진흥원(KISA)은 해킹 사실 통보 직후 현장 점검에 착수했다. 금융당국 관계자는 “사태 파악을 위해 현장 점검에 바로 돌입했다”며 “피해 경위와 시스템 취약점을 조사 중”이라고 밝혔다. 한편 해외 커뮤니티에서도 반응이 이어졌다. 암호화폐 커뮤니티 레딧닷컴에서는 “업비트가 또 털렸다니 믿기 어렵다”는 반응부터 “솔라나 지갑 결함 가능성이 크다”, “중앙화 거래소(CeFi)가 더 안전하다는 말은 농담일 뿐”이라는 비판까지 다양한 의견이 쏟아졌다. 일부는 “직원 내부 해킹 가능성도 배제할 수 없다”고 지적했다. 이번 사고는 업비트에서 6년 만에 발생한 대규모 해킹이다. 지난 2019년 11월 27일에도 약 580억 원 규모의 이더리움(34만 2000ETH)이 익명 지갑으로 유출됐으며, 당시 북한 해커조직 ‘라자루스’와 ‘안다리엘’이 배후로 지목됐다. ‘합병 잔칫날’ 불참한 김형년 부회장 이달 초 업비트는 금융정보분석원(FIU)으로부터 고객확인(KYC) 및 자금세탁방지(AML) 의무 위반으로 352억 원의 과징금과 신규 고객 자산이체 3개월 제한 제재를 받았다. FIU는 당시 현장 점검에서 KYC 미이행 사례 약 530만 건과 의심거래 보고 누락 15건을 적발했다고 밝혔다. 이날 경기 성남시 분당구 네이버 1784 사옥에서 열린 두나무-네이버파이낸셜 합병 기자간담회에는 이해진 네이버 의장, 송치형 두나무 회장, 최수연 네이버 대표, 오경석 두나무 대표, 박상진 네이버파이낸셜 대표 등 양사 고위 인사가 총출동했지만 김형년 두나무 부회장은 불참했다. “전액 보상, 순차적 서비스 재개”최근 ‘디콘(D-CON) 2025’ 콘퍼런스에서 대외 행보를 재개한 김 부회장이 돌연 자리를 비운 이유를 두고, 업계는 “해킹 대응 컨트롤타워 역할을 맡은 것 아니냐”는 관측을 제기했다. 두나무는 “행사 전 해킹 정황을 인지했으나 상황 파악 후 공지하는 과정에서 발표가 늦어졌을 뿐 간담회 일정과는 무관하다”고 설명했다. 두나무는 “회원 자산 피해는 없으며, 회사 자산으로 전액 보상할 계획”이라며 “안전성이 확보되는 대로 입출금 서비스를 차례대로 재개할 예정”이라고 밝혔다. 이번 피해액은 두나무의 3분기 순이익(2390억 원)의 약 18.6%에 해당한다.

가상자산 거래소 업비트가 27일 새벽 약 445억 원 규모의 디지털 자산 해킹 피해를 입었다. 이 사고는 두나무와 네이버파이낸셜의 합병 기자간담회가 열린 당일에 발생했다. 새벽 4시 42분, ‘비정상 이체’ 포착…540억→445억 정정 업비트 운영사 두나무는 즉시 솔라나 네트워크 기반 입출금 서비스를 전면 중단하고 긴급 보안 점검에 들어갔다. 두나무는 “이날 오전 4시 42분쯤 내부에서 지정하지 않은 외부 지갑 주소로 약 540억 원 상당의 솔라나 네트워크 계열 자산 일부가 전송된 정황을 확인했다”며 “회원 자산 피해는 없도록 전액 업비트 자산으로 충당할 예정”이라고 밝혔다. 이후 오후 3시쯤 해킹 규모를 약 445억 원으로 정정하고 “비정상 출금 시점의 시세를 기준으로 환산했다”고 설명했다. 유출된 자산 20여 종…솔라나 생태계 전반 타격 이어 “핫월렛(Hot Wallet·인터넷 연결 지갑)에서 해킹이 발생했으며, 자산이 분리 보관되는 콜드월렛(Cold Wallet·오프라인 지갑)은 어떠한 침해나 탈취도 없었다”고 덧붙였다. 유출된 자산은 ▲솔라나(SOL) ▲유에스디코인(USDC) ▲렌더(RENDER) ▲웜홀(W) ▲피스네트워크(PYTH) ▲지토(JTO) ▲주피터(JUP) ▲봉크(BONK) ▲아이오넷(IO) ▲드리프트(DRIFT) ▲레이디움(RAY) ▲오르카(ORCA) 등 주요 토큰을 비롯해 ▲액세스프로토콜(ACS) ▲매직에덴(ME) ▲오피셜트럼프(TRUMP) ▲두들즈(DOOD) ▲펏지펭귄(PENGU) ▲솔레이어(LAYER) ▲후마파이낸스(HUMA) ▲소닉SVM(SONIC) 등 신규 프로젝트 토큰까지 포함됐다. 두나무는 해킹 직후 모든 자산을 콜드월렛으로 옮기고 블록체인(온체인) 상에서 자산 이동을 차단하는 조치를 취했다. 약 23억 원 규모의 솔레이어(LAYER) 토큰은 동결에 성공했으며, 나머지 자산도 추적 중이다. 금융당국·KISA 동시 대응…FIU 제재 여파 속 또 악재보안업계는 “솔라나 네트워크 계열 자산을 관리하던 직원 PC가 악성코드에 감염됐을 가능성”을 주요 원인으로 보고 있다. 금융감독원과 한국인터넷진흥원(KISA)은 해킹 사실 통보 직후 현장 점검에 착수했다. 금융당국 관계자는 “사태 파악을 위해 현장 점검에 바로 돌입했다”며 “피해 경위와 시스템 취약점을 조사 중”이라고 밝혔다. 한편 해외 커뮤니티에서도 반응이 이어졌다. 암호화폐 커뮤니티 레딧닷컴에서는 “업비트가 또 털렸다니 믿기 어렵다”는 반응부터 “솔라나 지갑 결함 가능성이 크다”, “중앙화 거래소(CeFi)가 더 안전하다는 말은 농담일 뿐”이라는 비판까지 다양한 의견이 쏟아졌다. 일부는 “직원 내부 해킹 가능성도 배제할 수 없다”고 지적했다. 이번 사고는 업비트에서 6년 만에 발생한 대규모 해킹이다. 지난 2019년 11월 27일에도 약 580억 원 규모의 이더리움(34만 2000ETH)이 익명 지갑으로 유출됐으며, 당시 북한 해커조직 ‘라자루스’와 ‘안다리엘’이 배후로 지목됐다. ‘합병 잔칫날’ 불참한 김형년 부회장 이달 초 업비트는 금융정보분석원(FIU)으로부터 고객확인(KYC) 및 자금세탁방지(AML) 의무 위반으로 352억 원의 과징금과 신규 고객 자산이체 3개월 제한 제재를 받았다. FIU는 당시 현장 점검에서 KYC 미이행 사례 약 530만 건과 의심거래 보고 누락 15건을 적발했다고 밝혔다. 이날 경기 성남시 분당구 네이버 1784 사옥에서 열린 두나무-네이버파이낸셜 합병 기자간담회에는 이해진 네이버 의장, 송치형 두나무 회장, 최수연 네이버 대표, 오경석 두나무 대표, 박상진 네이버파이낸셜 대표 등 양사 고위 인사가 총출동했지만 김형년 두나무 부회장은 불참했다. “전액 보상, 순차적 서비스 재개”최근 ‘디콘(D-CON) 2025’ 콘퍼런스에서 대외 행보를 재개한 김 부회장이 돌연 자리를 비운 이유를 두고, 업계는 “해킹 대응 컨트롤타워 역할을 맡은 것 아니냐”는 관측을 제기했다. 두나무는 “행사 전 해킹 정황을 인지했으나 상황 파악 후 공지하는 과정에서 발표가 늦어졌을 뿐 간담회 일정과는 무관하다”고 설명했다. 두나무는 “회원 자산 피해는 없으며, 회사 자산으로 전액 보상할 계획”이라며 “안전성이 확보되는 대로 입출금 서비스를 차례대로 재개할 예정”이라고 밝혔다. 이번 피해액은 두나무의 3분기 순이익(2390억 원)의 약 18.6%에 해당한다.

금융 기술의 발전은 우리 사회에 많은 혜택을 가져왔고 사회에 다양한 영향을 미치고 있다. 특히 가상자산의 등장은 주목받고 있다. 비트코인, 이더리움 등 블록체인 기술을 기반으로 다양한 가상자산이 등장하면서 국경을 초월하는 디지털 자산의 시대가 열리면서 동시에 새로운 과제도 나타났다. 가상자산을 새로운 재산 은닉 방법으로 모색하고 있는 고액 체납자들이 대표적인 사례다. 이전에는 재산 은닉은 주로 부동산이나 현금에 집중돼 지자체는 이에 맞춰 대응하고 있다. 그러나 가상자산의 등장으로 기존의 방식은 충분하지 않게 됐다. 새로운 형태의 자산에 대한 이해와 대응 방법이 중요하다. 세금은 국민생활 전체의 조화로운 발전을 위해 필수적인 요소다. 개인의 재력에 상응하면서도 차별 없는 과세가 필요하다. 이를 회피한 고액체납자의 재산 은닉은 ‘불공평하다’는 생각을 들게 한다. 이러한 생각을 대변이라도 하듯 지난 2018년 대법원은 ‘가상자산은 무형자산에 해당한다’는 판결을 했고 2022년 지방세 징수법의 개정으로 가상자산도 압류가 가능하도록 법제화됐다. 서울시는 2021년 지자체 최초로 가상자산 압류를 시작했다. 체납자 1만 2854명의 거래자료를 조회해 실익 분석 후 978명에게 압류를 실시했다. 압류 결과 농산물 전자상거래업으로 성공했지만 세금 6억원을 회피하기 위해 가상자산으로 사업수익을 은닉한 체납자, 증여재산을 과소 신고해 발생한 26억원의 체납액을 납부하지 않고 재산을 가상자산으로 은닉했던 체납자 등이 드러났다. 지자체의 이러한 노력은 미래의 공정하고 효과적인 체납자 관리의 기반이 된다. 시스템 구축을 위해 다양한 검토가 필요하다. 첫째, 가상자산의 보관 방식에 따라 다르게 추적할 수 있는 기술과 법적 기반을 더욱 촘촘히 마련해야만 한다. 가상자산을 보관하는 지갑은 여러 가지 형태(핫월렛, 콜드월렛 등)다. 보관 방식에 따라 다르게 추적할 수 있는 기술과 법적 기반을 더욱 촘촘히 마련해야만 한다. 블록체인은 거래 기록은 유지되나 거래의 익명성이란 문제를 해결하기 위한 복잡하고 긴 과정･절차를 해소할 수 있는 기술과 제도가 필요하다. ‘시간 단축’이 핵심이다. 둘째, 국제적인 협력도 중요하다. 가상자산은 국경을 초월해 운영되기 때문에 한 국가가 단독으로 대응하는 것은 한계가 있다. 정보의 공유 및 신속 절차 마련 등을 위한 협력을 촉진해야 한다. 가상자산 규제의 국제적인 표준을 개발해 적용하고 모두 준수하는 것이다. 셋째, 국제사회 및 지자체들의 가상자산에 대한 인식과 이해를 높여야 한다. 각국의 지자체들도 국제협약을 통해 가상자산을 활용한 재산 은닉 및 자금 세탁 등을 방지하게 된다면, 모든 시민을 위해 사용하는 재원을 확보할 수 있을 것이다. 마지막으로 인식을 증진하는 것도 중요하다. 일반 대중과 체납자들에게 가상자산의 이점과 위험성에 대해 균형 있게 설명하고 아무도 모르게 가상자산을 숨길 수는 없다고 알려야 한다. 또 세무 공무원에게 가상자산과 블록체인 기술, 최신 추적 기술 지식을 습득할 기회를 제공해야 한다. 지자체는 지금보다 더 많은 준비와 노력이 필요하다. 지자체가 지속적으로 기술의 발전을 인식하고 이해하는 노력은 단순히 체납을 막을 뿐 아니라 모든 시민들을 위한 공정한 사회의 실현으로 이어질 것이다. 장태용 서울시의회 행정자치위원장

“인류 역사상 최대 강도 사건.” 26일(현지시간) 영국 인디펜던트는 최근 발생한 2조원 규모 가상화폐 탈취 사건을 이렇게 평가했다. 사상 최대 규모의 이 도둑질 뒤에는 북한이 있다. 美 FBI “바이비트 해킹 북한 소행…훔친 암호화폐 이미 분산”지난 21일 가상화폐 거래소 바이비트(Bybit)에서는 14억 6000만 달러(약 2조 1000억원) 규모의 코인이 해킹을 통해 탈취되는 사건이 발생했다. 해커 집단은 바이비트의 콜드월렛(인터넷이 차단된 가상화폐 지갑)에 보관돼 있던 암호화폐를 핫월렛(온라인에 연결된 가상화폐 지갑)으로 옮기는 과정에서 지갑 주소를 확인하는 담당자를 표적으로 삼고 ‘피싱’(phishing) 공격을 가했다. 여기에 속은 바이비트 측은 정상적인 거래라고 생각해 송금을 승인했지만, 실제로는 해커 집단의 지갑으로 암호화폐가 흘러갔고 이후 약 50개의 다른 지갑들로 분산돼 ‘세탁’을 시도하려 한 정황이 포착됐다. 배후로는 북한 해킹 조직 ‘라자루스’가 지목됐다. 바이비트와 블록체인 분석 전문가들은 이번 사건에 동원된 범행 수법이 과거 라자루스의 수법과 흡사했다고 밝혔다. 미국 연방수사국(FBI) 역시 25일 북한이 이번 사건의 배후라고 지목하면서 이른바 ‘트레이더트레이터’(TraderTraitor) 수법이 동원된 것으로 파악됐다고 밝혔다. 트레이더트레이터는 ‘고소득 일자리 제안 등으로 위장해 악성코드가 숨겨진 암호화폐 애플리케이션 등을 내려받도록 유도하는 해킹 수법’을 지칭하는 미국 정부 용어다. FBI는 “트레이더트레이터 행위자들은 빠르게 진행 중이며, 훔친 자산 일부를 수천개의 주소에 분산된 비트코인과 여타 가상자산으로 전환했다”라며, 이 자산이 좀 더 세탁을 거쳐 현금화될 것으로 전망한다고 설명했다. 英매체 “북한 라자루스, 자국 한해 국방예산 탈취한 셈” 이번 사건의 피해 규모는 과거 있었던 비슷한 사건과는 비교도 할 수 없을 만큼 크다. 2022년 로닌 네트워크 해킹과 2021년 폴리 네트워크 해킹 사건 피해액도 각각 6억 1500만 달러(약 8880억원), 6억 1100만 달러(약 8820억원)였다. 2022년 BNB 토큰 취약점 악용 사건과 2018년 코인핵 절도 사건 피해액은 각각 5억 6900만 달러(약 8210억원), 5억 3000만 달러(약 7650억원)였다. 인디펜던트는 라자루스의 이번 해킹을 “인류 역사상 최대 강도 사건”이라고 표현하며, 사담 후세인 전 이라크 대통령을 거론하기도 했다. 통상 인류 역사상 최대 규모 강도 사건이라고 하면 2003년 이라크 전쟁 발발 직전 사담 후세인 당시 이라크 대통령이 이라크 중앙은행에서 10억 달러(약 1조 4000억원) 상당의 돈을 훔친 것이 거론된다. 이번 해킹 사건 피해액은 그보다도 5억 달러 가까이 많은 14억 6000만 달러(약 2조 1000억원)에 달한다. 인디펜던트는 이 돈이 북한의 한 해 국방예산(2023년 기준 14억 7000만 달러, 약 2조원)과 맞먹는다고 지적했다. 바이비트, 라자루스 겨냥 현상금 사이트 개설바이비트 측은 라자루스의 자금 세탁 활동을 완전히 투명하게 공개하는 첫 현상금 사이트를 개설, 자금추적에 나서는 한편 제공된 정보로 자금 동결에 성공할 경우 동결 금액의 5%를 보상금으로 지급한다는 계획을 발표했다. 벤 저우 바이비트 최고경영자(CEO)는 이러한 활동을 “라자루스 또는 가상화폐 업계의 악의적인 행위자가 사라질 때까지 멈추지 않을 것이다”라고 강조했다. 2009년 창립된 것으로 알려진 북한 정찰총국 산하 해커조직 라자루스는 2014년 미국 소니픽처스를 해킹하면서 주목받기 시작했다. 이 조직은 2016년에는 방글라데시 중앙은행을 해킹해 8100만 달러(약 1100억원)를 훔쳤고, 2017년에는 ‘워너크라이’ 랜섬웨어를 유포해 전 세계 150여개국에 대규모 피해를 발생시키는 등 각종 범죄를 저질러 온 것으로 평가된다.

세계 2위 규모의 가상자산(암호화폐) 거래소인 바이비트가 14억 6000만 달러(약 1조 1000억원)에 달하는 역대 최대 규모의 해킹 피해를 당했다. 2014년 마운트곡스(4억 7000만 달러), 2021년 폴리 네트워크(6억 1100만 달러) 사건을 훨씬 넘어서는 금액이다. 23일 암호화폐 업계에 따르면 벤 저우 바이비트 최고경영자는 21일(현지시간) “해커가 바이비트의 지갑 중 하나를 공격했다”며 “이더리움(ETH) 및 다른 ERC-20(이더리움 토큰 발행 표준) 계열 암호화폐를 탈취당했다”고 밝혔다. 암호화폐 지갑은 보안성을 높이기 위해 암호화된 개인 키(key)를 사용한다. 키 저장 방식에 따라 오프라인 상태의 ‘콜드월렛’, 온라인 상태의 ‘핫월렛’으로 나뉜다. 통상 거래소들은 이용자들이 수탁한 자산의 70~80%를 상대적으로 보안성이 높은 콜드월렛에 보관하고 나머지는 입출금이 빠른 핫월렛에 담아 둔다. 앞서 2019년 북한 해킹 조직인 라자루스의 공격을 받은 국내 1위 거래소인 업비트의 해킹 피해는 이더리움 34만 2000개(현재 시세로 약 1조 4700억원)를 핫월렛에서 다른 핫월렛으로 전송 중일 때 발생했다. 다만 어떤 형태의 월렛이든 자산을 입출금하려면 최소 한 번은 인터넷 접속에 해야 한다는 점에서 콜드월렛 역시 해킹 피해에서 자유로울 수 없다. 바이비트도 총자산의 약 9%에 해당하는 이더리움을 콜드월렛에서 웜월렛(콜드월렛의 보안성과 핫월렛의 빠른 거래 속도를 결합한 지갑)으로 옮기는 과정에서 해커의 공격을 받았다. 이번 사건의 주범은 업비트 사고 때와 마찬가지로 북한 해킹 조직 라자루스가 유력한 것으로 추정된다. 바이비트 조사를 돕는 블록체인 데이터 추적 플랫폼 아캄 인텔리전스는 “분석자 잭엑스비티가 (라자루스가 범인이란) 관련 증거를 제출했다고”고 밝혔다. 블록체인 분석 기업 체이널리시스에 따르면 북한에 의한 암호화폐 거래소 해킹 피해 금액은 2016년 200만 달러(1곳)에서 2023년 10억 달러(20곳)까지 커졌다. 황석진 동국대 국제정보보호대학원 교수는 “이용자 차원에서 자산을 거래소별로 분산해 가지고 있는 것이 현실적인 대안”이라며 “바이비트 해킹을 계기로 국내 거래소들이 자체적으로 보안을 강화하는 한편 당국 차원에서도 한국인터넷진흥원과 함께 거래소 보안 정기 점검에 나서야 한다”고 말했다.

자신이 운영하던 불법 영상 공유 사이트를 홍보하기 위해 10대 청소년들에게 낙서할 것을 사주한 혐의를 받는 강모(30)씨가 자금세탁 혐의로 추가 기소됐다. 경복궁 복구에는 1억원이 넘게 들었는데, 강씨는 그동안 불법 도박사이트 광고로 벌어들인 수익을 숨겨왔다. 6일 서울중앙지검 범죄수익환수부(부장 유민종)는 강씨를 범죄수익은닉규제법 위반 혐의로 불구속기소 했다고 밝혔다. 그가 숨겨둔 가상자산, 골드바 등 8500만원 상당의 범죄수익은 몰수보전했다. 검찰은 강씨로부터 수수료를 받고 자금 세탁에 가담한 박모씨 등 3명도 함께 재판에 넘겼다. 검찰에 따르면 강씨는 지난해 12월부터 올해 5월까지 자신이 운영하는 불법 영상 공유 사이트에 불법 도박 사이트 광고를 게시해주는 대가로 받은 2억 5520만원의 범죄 수익을 세탁해 은닉한 혐의를 받는다. 강씨는 텔레그램 오픈채팅방을 통해 알게 된 박씨 등에게 차명계좌를 통해 불법 도박사이트 광고비를 이체받도록 하고, 이를 현금으로 인출하거나 가상자산을 사들이게 한 뒤 다시 전달받은 것으로 조사됐다. 이 같은 범행은 검찰이 지난 6월 경복궁 낙서를 사주한 혐의로 강씨를 구속기소한 뒤 그의 불법 광고 수익을 추적하는 과정에서 드러났다. 경복궁 복구 비용에만 약 1억 3000만원이 들었는데도 “범죄 수익이 크지 않아 보유 자산이 전혀 없다”는 강씨의 발뺌에 검찰은 직접 수사에 착수했다. 휴대전화 포렌식 정밀 분석, 계좌 추적 결과 검찰은 강씨가 휴대전화에 설치한 핫월렛(가상자산 개인지갑)에 약 2500만원의 가상자산을 보유한 사실을 확인했다. 이후 주거지 등을 압수수색해 그가 보유한 총 5500만원의 자산, 500만원 상당의 골드바 1개를 추가 확보했다. 검찰은 몰수보전한 8500만원 외 나머지 범죄 수익도 추가 추적한다는 계획이다. 몰수보전은 범죄로 얻은 불법 재산을 형 확정 전에 빼돌릴 가능성에 대비해 임의로 처분하지 못하도록 동결하는 조치다. 범죄로 얻은 불법 수익은 몰수하게 돼 있고 이미 처분해버리는 등의 사유로 몰수가 안 될 경우 추징한다. 보전 조치는 유죄 확정시 집행에 앞서 미리 자산을 동결·확보하는 효과가 있다. 강씨는 지난해 12월 자신이 운영하는 불법 영상 공유 사이트를 홍보하기 위해 10대 임모군과 김모양에게 경복궁 영추문, 국립고궁박물관 담벼락, 서울경찰청 담장 등에 스프레이를 이용해 사이트명이 기재된 문구를 낙서하라고 지시한 혐의로 재판을 받고 있다. 그는 텔레그램에서 ‘이팀장’으로 활동하며 임군에게 접근해 “낙서를 하면 300만원을 주겠다”고 제안한 것으로 전해졌다. 강씨는 영상 공유 사이트에 영화 등 타인의 저작물 2368개, 음란물 931개, 불법 촬영물 9개, 아동·청소년 성착취물 2개를 배포한 혐의도 받고 있다. 또 지난 5월 경찰에 붙잡혀 조사를 받다가 서울경찰청 울타리를 뛰어넘어 도주한 혐의도 있다. 검찰 관계자는 “범죄자들이 범죄로부터 1원의 수익도 얻지 못하도록 자금세탁범죄를 엄단함과 동시에 범죄수익을 철저히 환수할 예정”이라고 밝혔다. 강씨의 재판은 오는 13일 서울중앙지법에서 열린다.

투자자가 가상자산을 소유하거나 거래하기 위해서는 가상자산 ‘지갑’이 필요하다. 가상자산 지갑은 평소에 사용하는 은행계좌, 실물 지갑과 유사한 역할을 하지만 카드나 현금과 같은 자산을 직접 보관하지 않고, 데이터 형태로 자산을 다룬다. 17일 금융당국에 따르면 가상자산 거래소들은 오는 19일부터 가상자산이용자 보호법에 따라 고객이 예치한 가상자산의 80% 이상을 ‘콜드 월렛(Cold wallet)’에 보관해야 한다. 여기서 콜드 월렛은 오프라인 상태에서 동작하는 전자지갑의 일종으로 USB와 같은 하드웨어 장치를 의미한다. 인터넷과 항상 연결된 ‘핫 월렛(Hot wallet)’에 비해 자산 이동이 어렵지만 해킹으로부터는 안전하다는 특징이 있다. ‘지갑’이라는 용어와는 달리 엄밀히 말해 전자지갑은 가상자산에 접근할 자격을 담는 일종의 수단으로 봐야 한다. 가상자산을 지갑에 보관한다는 의미는 블록체인 네트워크에 기록을 해둔다는 뜻이다. 전자지갑을 만들면 개인 키와 공개 키(주소)가 발급되는데 네트워크상에 가상자산이 위치한 곳을 표시한 것이 공개 키다. 이 주소는 알파벳과 숫자가 섞여 있는 문자열 형태로 구성되고 보통 ‘1, 3, bc’로 시작한다. 주소만 알면 관련 거래 내역과 보유자산을 지갑 소유자가 아니어도 누구든지 조회할 수 있다. 일종의 ‘자물쇠’인 셈인데 지갑 보유자는 열쇠인 ‘개인 키’로 이를 여닫아 이용한다. 자물쇠와 열쇠처럼 한 쌍으로 존재하는 개인 키는 보통 5로 시작한다. 개인 키가 있다면 공개 키를 만들 수 있지만 블록체인 네트워크상에서 그 반대는 성립하지 않는다. 다만 하나의 개인 키는 하나의 공개 키만 갖고 있어서 익명성 측면에서 보안 문제가 지적되기도 한다. 컴퓨터나 휴대전화가 손상되더라도 개인 키가 있는 한 다른 장치로 자금에 접근할 수 있지만, 다른 한편으로는 누구든 개인 키를 알아낸다면 지갑 내 자산을 빼 갈 수 있다. 한편 온라인 상태인 핫월렛은 크게 수탁 지갑과 비수탁 지갑으로 나뉜다. 수탁 지갑은 가상자산 거래소에서 직접 관리하기 때문에 자산 이동이 필요할 경우 별도의 요청을 해야 한다. 반면 비수탁 지갑은 이용자가 직접 관리한다. 최근 글로벌 월 이용자 수 3000만명을 돌파한 메타마스크가 대표적인 비수탁 지갑이다. 메타마스크 플랫폼으로 전자지갑을 개설한 후에는 공개 키와 개인 키를 이용해 가상자산을 담아두고, 원하는 네트워크에 옮길 수도 있다.낯설기만한 코인, 신기하고 재밌게 느껴질 수 있도록 가상자산 이야기를 풀어드립니다.

국내 가상자산 시장 규모가 커짐에 따라 가상자산 거래소에도 금융권에 준하는 규제가 요구되고 있다. 국내 최대 가상자산 거래소 업비트는 규제가 마련되기 전부터 이용자 자산 보호를 위한 ‘3무(無) 정책’(자산 운용·출금 걱정·서비스 중단 없음)을 운영하며 선제 대응에 앞장서 왔다고 27일 밝혔다. 또한 가상자산 거래 및 스테이킹 등 모든 서비스 운영 과정에서 예치되는 이용자의 가상자산을 일절 운용하지 않고 있다. 특히 스테이킹 서비스는 외부 업체를 통하지 않고 100% 자체 운영 중이다. 아울러 2018년부터 정기적으로 외부 회계법인을 통해 회사 보유 자산에 대한 실사를 진행하며, 디지털 자산 및 예치금 실사보고서를 공개하고 있다. 업비트는 이용자가 예치한 자산 이상의 충분한 수량을 보유하고 있어, 업비트 이용자는 언제든지 거래소에 맡겨둔 자산을 출금할 수 있다. 실사보고서에 따르면 지난 4월 1일 기준, 업비트는 이용자에게 지급해야 할 가상자산 대비 약 102.82%(금액 기준)의 가상자산을 보유하고 있다. 예치금의 경우 이용자에게 지급할 금전 대비 103.15%의 금전을 보유하고 있는 것으로 확인됐다. 업비트는 해킹을 비롯해 화재·지진 등 재난·재해 발생에도 대비하고 있다. 다음달 19일 시행될 가상자산이용자보호법 시행령에 따르면 거래소는 이용자의 가상자산 중 80% 이상을 인터넷과 분리된 콜드월렛에 보관해야 한다. 콜드월렛은 인터넷에 연결된 핫월렛보다 해킹 위험성이 적다. 업비트는 출범 초기부터 이보다 높은 비율로 이용자의 가상자산을 콜드월렛에 보관하고 있다. 업비트는 이외에도 지진·화재·태풍 등 재난·재해가 발생했을 때 업무가 중단되지 않고 안정적으로 유지될 수 있는지 평가하는 ‘ISO 22301’ 인증도 지난해 획득하며 안전한 거래 환경에 한 발짝 더 다가섰다. 업비트 운영사인 두나무 관계자는 “업비트는 규제에 앞서 선제적으로 이용자 자산 보호를 위한 다양한 정책을 시행해 왔다”며 “앞으로도 안전한 거래 환경을 만드는 데 앞장서 나갈 것”이라고 말했다.

갑자기 파산한 거래소 고객들의 암호화폐는 어디에 있을까. 지난해 5월 파산신청한 트래빗 피해자들이 서울신문 탐사기획부에 제공한 지갑 주소 10개의 자금 흐름을 추적한 결과 총 32억원어치의 비트코인(BTC) 중 5억원 규모가 ‘믹싱 앤 텀블링’(단시간에 수백건씩 비정상적 거래를 일으키는 자금세탁 방법) 과정을 거쳐 해외 암호화폐 거래소 지갑에 흘러간 것으로 7일 확인됐다. 나머지 27억원 상당의 BTC 행방은 확인되지 않았다. 고객들의 돈을 출금하지 않고 ‘기획파산’했다는 의혹에 휩싸인 트래빗은 이 같은 수법으로 고객들의 비트코인을 해외 거래소로 빼돌렸을 가능성도 의심받고 있다. 2018년 7월 설립된 트래빗은 단독 상장한 코인 25억원어치의 당일 완판 기록으로 관심을 끌었다. 거래소가 자체 발행한 코인인 TCO 역시 75억원어치 판매됐다. 하지만 설립 4개월 만인 그해 11월부터 이듬해 3월까지 4차례 보이싱피싱 범죄 위험을 이유로 고객들의 원화 입출금 중단을 수차례 반복하다가 돌연 파산신청을 했다. 고객들이 거래소에서 코인을 환전해 출금하지 못한 상태에서 문부터 걸어 잠근 것이다. 이 때문에 의도적인 ‘먹튀 파산’ 의혹이 제기됐고 운영진에 대한 사기·배임 고소가 이뤄졌다. 현재 피해액은 100억여원으로 추산된다. 서울신문은 블록체인 보안업체 웁살라시큐리티에 의뢰해 2018년 12월 26일부터 2019년 4월 26일까지 트래빗 피해자 10명의 거래소 지갑 주소의 비트코인 이동 경로를 좇았다. 그 결과 10개 지갑 주소에 있던 322.6BTC(시세 기준 32억 2600만원) 중 총 52.1BTC(5억 2100만원)가 8단계를 거쳐 흩어졌다가 합쳐졌다. 이후 309개의 지갑으로 분산된 자금은 해외 거래소인 비트렉스의 한 지갑으로 전송됐다. 박정섭 웁살라시큐리티 연구원은 “수사기관의 추적을 따돌리기 위해 여러 지갑을 거친 후 자금세탁과 현금화 목적으로 해외 거래소 지갑으로 이동된 것으로 판단된다”며 “지갑당 1만개까지 거래 건수를 확인한 것으로, 이를 확대해 분석하면 상당한 규모의 자금이 이동됐을 가능성이 크다”고 설명했다. 국내 대형 암호화폐 거래소는 통상 고객의 비트코인을 거래소 핫월렛으로 이동시킨 후 원화 출금을 요청할 때 교환해 준다. 트래빗처럼 몇십 개의 지갑으로 나눠 이체하는 경우는 일반적이지 않다. 트래빗에서 5000만원어치의 코인을 회수하지 못한 박성진(27·가명)씨는 “거래소가 TCO를 판매할 때 원화 입출금을 중단시킨 상황이었다. 이용자들이 TCO를 사려면 타 거래소에서 비트코인을 구입해 트래빗에 전송한 후 거래할 수밖에 없었다”며 “이 같은 방식으로 트래빗은 고객들로부터 다량의 비트코인을 확보했다”고 말했다. 그는 “경영진이 TCO와 비트코인의 행방을 고객들에게 알리지 않고 사라졌다”며 분노했다. 트래빗이 비트코인 가격을 개당 20만원씩 더 쳐주면서 거래소 간 시세차익을 노린 투자자들이 대거 다른 거래소에서 비트코인을 사 트래빗에서 매도해 피해 규모가 커지기도 했다. 트래빗처럼 출금 중단을 반복하다가 갑자기 파산하거나 폐업하는 행태는 최근 중소형 거래소들이 자주 쓰는 ‘투자금 먹튀 수법’이다. 지난해 트래빗을 비롯해 올스타빗, 뉴비트, 히트코리아, 인트비트 등의 거래소가 이 같은 방식으로 잇달아 문을 닫았다. 내년 3월 ‘특정 금융거래정보의 보고 및 이용 등에 관한 법률’(가상자산 거래소 인허가 관련 법)이 시행되기 전 법적 공백을 틈타 중소형 거래소들의 ‘기획파산’이 기승을 부리고 있는 셈이다. 신생 거래소가 문을 열면 먼저 신규 코인을 ‘에어드롭’(암호화폐 무료 지급)하거나 입금액의 몇%를 코인으로 지급하는 이벤트로 고객을 끌어모은다. 어느 정도 투자자(투자금)가 모였다 싶은 거래소는 이후 해킹, 보이스피싱 등을 이유로 원화 입출금을 막기 시작하고 결국 파산을 선언해 피해를 키운다. 정재욱 법무법인 주원 변호사는 “처음부터 거래소가 고객들의 돈을 빼돌리려고 사기를 계획했다는 점을 밝혀야 하는데 법적으로 쉽지 않다”며 “특금법 시행과 더불어 거래소의 거래 안전을 높이고 피해를 방지할 수 있는 제도 마련이 이뤄져야 한다”고 말했다. 송수연 기자 songsy@seoul.co.kr ■본 기획물은 한국 언론학회-SNU 팩트체크 센터의지원을 받았습니다.

가상화폐 입출금 중단…정상화에 2주국내 대형 가상화폐(암호화폐) 거래소 업비트가 27일 580억원 상당 이더리움을 도난당해 가상화폐 입출금을 중단했다. 업비트에서 대규모 유출 사고가 발생한 것은 이번이 처음이다. 이날 업비트를 운영하는 이석우 두나무 대표이사는 “오후 1시 6분쯤 업비트 이더리움 핫월렛(네트워크에 연결된 지갑)에서 이더리움 34만 2000개(약 580억원)가 알 수 없는 지갑으로 전송됐다”면서 “업비트가 이를 확인한 즉시 대응했다”고 밝혔다. 피해 소식이 알려지자 가상화폐 가격도 급락했다. 이날 오후 1시 업비트에서 829만 4000원이던 비트코인은 오후 7시에는 2.6% 내린 808만 2000원에 거래됐다. 이더리움은 같은 기간 17만 250원에서 16만 6000원으로 떨어졌다. 업비트는 이날 가상화폐 입출금 거래를 중단하고 핫월렛에 있는 가상화폐는 네트워크에 연결되지 않은 콜드월렛으로 모두 옮겼다. 일각에서는 ‘이더리움 외에 나머지 가상화폐도 대량 이동된 게 아니냐’며 추가 해킹에 대한 우려도 나왔다. 이에 대해 업비트 관계자는 “나머지 대량 거래는 업비트가 핫월렛에 있는 암호화폐를 옮긴 것”이라고 설명했다. 원화 입출금은 열어 둔 상태다. 업비트는 한국인터넷진흥원(KISA)에 해킹 사실을 신고해 KISA 직원들이 업비트를 방문해 조사에 착수했다. 업비트는 고객 피해는 회사 자산으로 충당한다는 입장이다. 업비트는 “전송된 34만 2000개 이더리움을 업비트 자산으로 충당하는 작업을 진행 중”이라면서 “입출금을 재개하기까지 최소 2주 정도 소요될 것”이라고 밝혔다. 김주연 기자 justina@seoul.co.kr

지난주 가상화폐시장은 냉온탕을 반복했다. 금요일 가격 폭락은 블랙프라이데이로 불릴 정도였다. 그러나 지난 4일 아침 글로벌 가상화폐시장은 다시 반등했다. 비트코인 가격은 하루 전에 비해 4.01% 상승한 9102달러다. 비트코인은 지난해 4월 일본에서 화폐의 기능을 일부 인정받고, 12월에 미국에서 선물상품이 출시되며 시장가격을 크게 상회하는 모습을 보였다. 과조정(오버슈팅)에 대한 기술적 반락이 예상되는 상황이었다. 중국, 한국 등의 과도한 규제와 세계 최대 거래국인 일본의 거래소 코인체크에서 580억엔(약 5700억원) 규모의 해킹 사건까지 가세하면서 폭락했다가 다소 진정되는 모습이다. 코인체크 해킹은 ‘예고된 사고’였다. 코인체크는 2017년 일본 금융청(FSA)에 등록한 15개의 거래소가 아니었다. 대부분의 코인을 외부 인터넷과 연결된 전자지갑인 핫월렛에 저장해 보안이 취약했다. 미국 거래소 코인베이스가 전체 암호화폐의 97%를 외부 인터넷과 연결되지 않는 콜드월렛에 저장한다. 뿐만 아니라 주요 거래소에서는 비밀 키를 여러 개 사용하는 다중증명 기능을 사용하고 있는데, 이 거래소는 비밀 키를 하나만 사용하는 단독서명 기능에 의존해 왔다. 이 경우 하나뿐인 비밀 키가 해커 손에 넘어가면 탈취당한 가상화폐를 바로 꺼내 갈 수 있다. 한국도 조속히 투자자 보호를 위한 가이드라인을 정하고 법제화해 등록제나 인가제를 시행하고 요건에 미달하는 거래소는 즉각 거래를 중지하도록 해야 투자자 손실을 막을 수 있다. 해킹 파산 등으로 투자자가 입을 손실에 대비한 보험제도, 거래소 전용 이상징후탐지시스템(FDS), 국제공조체제도 구축하는 등 다각적인 투자자 보호 대책을 강구해야 한다. 무조건적인 거래소 폐쇄는 올바른 대책이 아니다. 지난달 30일부터는 거래실명제도 도입됐다. 은행에 실명확인을 미루고 있다는 비판이 제기되고 있는 가운데 시행된 실명제는 일부 시스템 오류와 신규 거래자 쇄도로 신규 계좌 개설에 어려움이 있었지만 대체로 순조롭게 도입되고 있는 모습이다. 소득이 없는 주부, 학생들의 계좌 개설이 어려워 투자를 못 하게 되는 점은 논란의 소지도 없지 않다. 최근 외국 거래소의 한국 진입이 확대되고 있다. 중국 오케이코인이 한국에 진출해 이미 사전 예약자만 15만명이 몰렸고 또 다른 중국 거래소 후오비도 진출을 준비하고 있다. 일본 거래소 비트포인트도 비트포인트코리아를 설립해 한국에 진출했다. 한국에서는 거래소가 단순히 통신판매업자로 분류돼 소액 자본이나 투자자 보호장치 없이도 손쉽게 거래소를 설립할 수 있는 데 따른 현상이다. 큰 사고가 터지기 전에 거래소 설립에 관한 법제가 만들어져 투자자 보호 제도가 구축돼야 한다. 앞으로 묻지마 투자로 피해를 보는 일을 최소화하기 위해 기업의 신용등급과 같은 가상화폐 신용평가제도도 구축돼야 한다.