국내 최대 가상자산 거래소 업비트에서 해킹 시도로 54분 만에 1천억개가 넘는 코인이 외부로 유출된 사실이 확인됐다. 그러나 금융당국 신고와 이용자 공지가 수 시간 뒤 이뤄지면서 ‘늑장 대응’ 논란과 함께 가상자산 시장의 ‘규제 공백’ 문제도 다시 수면 위로 떠올랐다.

7일 국회 정무위원회 소속 강민국 의원실이 금융감독원으로부터 제출받은 자료에 따르면, 이번 해킹 시도는 지난달 27일 오전 4시 42분부터 5시 36분까지 총 54분간 진행됐다. 이 짧은 시간 동안 알 수 없는 외부 지갑으로 전송된 가상자산은 솔라나 계열 24종, 총 1,040억 6,470만 개로 금액 기준 약 445억 원에 달한다.

초당 약 3,200만 개, 1,370만 원 상당의 코인이 빠져나간 셈이다.

유출된 코인 중 개수 기준으로는 ‘봉크(BONK)’가 1,031억 개(99.1%)로 가장 많았고, 금액 기준으로는 ‘솔라나(SOL)’가 약 189억 8,822만 원(42.7%)으로 최대 피해를 기록했다. 이 밖에 ‘펏지펭귄’(약 38억 5,162만 원), ‘오피셜트럼프’(약 29억 1,763만 원) 등의 피해도 확인됐다.

업비트는 해킹 시도를 인지한 지 18분 만인 오전 5시에 긴급회의를 열고, 오전 5시 27분 솔라나 계열 자산의 입출금을 중단했다. 이후 오전 8시 55분에는 모든 디지털자산 입출금을 차단했다.

그러나 금감원에 공식 보고한 시점은 오전 10시 58분으로, 사고 인지 후 6시간이 넘은 뒤였다. 한국인터넷진흥원에는 오전 11시 57분, 경찰에는 오후 1시 16분, 금융위원회에는 오후 3시에 각각 순차 보고했다. 이용자 대상 홈페이지 공지도 낮 12시 33분에 이뤄졌다.

특히 이러한 신고와 공지가 업비트 운영사 두나무와 네이버파이낸셜 합병 행사 종료 이후 이뤄졌다는 점에서, 행사 이후로 사고 공지를 의도적으로 미룬 것 아니냐는 의혹도 제기됐다.

강민국 의원은 “국내 1위 가상자산 거래소에서 1천억 개 이상 코인이 빠져나갔는데도 6시간 이상 늑장 신고가 이뤄졌다”며 “솔라나 플랫폼 구조 문제인지, 업비트 자체 결제 시스템 문제인지에 대한 철저한 조사가 필요하다”고 지적했다.

하지만 현행법상 가상자산사업자의 해킹 사고에 대해 직접적인 제재나 배상 책임을 묻는 조항은 사실상 없는 상황이다. 전자금융거래법은 금융기관에 무과실 책임까지 부과하고 있지만, 가상자산사업자는 적용 대상에서 제외돼 있다.

지난해 7월 시행된 ‘가상자산 이용자 보호법(1단계법)’ 역시 이상거래 감시 의무만 규정하고 있을 뿐, 해킹 사고 보고 의무나 제재 규정은 포함하지 않았다. 한 금융당국 관계자는 “해킹 사고 자체만으로는 가상자산사업자에 조치를 취할 법적 근거가 부족하다”고 설명했다.

현재 금융당국은 업비트에 대한 현장 점검에 착수했지만, 중징계로 이어지기는 어렵다는 관측이 우세하다. 이찬진 금감원장도 “그냥 넘어갈 사안은 아니지만, 제재 권한에는 한계가 있다”고 언급했다.

이에 따라 금융당국은 향후 가상자산 2단계 입법을 통해 대규모 해킹·전산 사고 발생 시 배상 책임과 IT 보안 의무를 강화하는 방안을 검토 중이다. 다만 현재로서는 고객 자산의 80% 이상을 콜드월렛에 보관하도록 한 규정 준수 여부 정도만 점검이 가능한 상황이다.

업비트 측은 “고객 가상자산의 80% 이상을 콜드월렛에 보관했고, 피해 자산은 회사가 전액 충당해 이용자 피해가 발생하지 않도록 조치했다”며 “비정상 출금이 침해사고로 최종 확인된 즉시 당국에 보고했다”고 해명했다.

ⓒ이코노미스트(https://economist.co.kr) '내일을 위한 경제뉴스 이코노미스트' 무단 전재 및 재배포 금지