[사설] 바이낸스 8조원대 해킹, 국내 거래소는 안전한가

광고

세계 최대 가상자산 거래소 바이낸스에서 지난 29일 63억달러(약 8조4천억원)가 탈취됐다. 사상 최대 규모의 가상자산 해킹 사건이다. 미국 연방수사국(FBI)은 북한 해킹 조직을 배후로 지목했다. 가상자산은 범행 추적이 어려운데다 국내에는 피해자 보호 법제조차 제대로 갖춰져 있지 않다. 대책이 시급하다.

이번 사건은 단 20분 만에 벌어졌다. 바이낸스는 10억달러 유출 징후를 포착한 직후 100명 규모의 위기대응팀을 꾸렸지만 속수무책이었다. 경영진은 피해액이 불어나는 것을 지켜볼 수밖에 없었다고 한다. 블록체인은 누구나 열람할 수 있는 장부여서 외부 분석가들도 실시간으로 유출을 목격했다. 스테이블코인 발행사들이 긴급 동결에 나섰으나 해커들은 이미 약 24억달러를 동결이 불가능한 자산으로 바꿔 빠져나간 뒤였다. 영화 같지만 현실이다.

가상자산은 분산원장 기술로 위·변조가 사실상 불가능하다는 점을 업계는 내세워왔다. 그러나 장부가 안전하다고 거래소까지 안전한 것은 아니다. 출금과 서명 권한이 해커에게 넘어가면 정상 절차를 그대로 밟아 돈이 빠져나간다. 바이낸스 사고도 개발·운영 엔지니어의 노트북 침해가 발단으로 지목된다. 국경 없이 몇분 만에 자산을 옮길 수 있다는 장점은 범죄자에게도 똑같이 적용된다. 여기에 인공지능(AI)을 동원한 공격까지 등장해 위협은 한층 커졌다.

광고

국내도 예외가 아니다. 최근 은행·증권·보험 등 금융업계를 휩쓴 연쇄 해킹에서 실제 자산 피해가 처음 확인된 곳은 가상자산 거래소였다. 코인마켓 거래소 프라뱅은 핫월렛 해킹으로 약 1억원의 피해를 입었다. 앞서 업비트에서는 지난해 11월 약 445억원 상당의 가상자산이 무단 전송된 바 있다. 가상자산 거래소는 전자금융거래법상 금융회사가 아니어서 은행·증권사 수준의 보안 규제에서 비켜나 있다. 해킹 피해가 나도 사업자의 손해배상 책임 범위와 입증 책임을 정한 규정이 없어 이용자가 거래소 과실을 입증해야 한다. 보험·준비금 적립 의무는 있지만 적립액이 적고, 침해사고를 즉시 보고할 의무조차 없다. 이를 보완할 디지털자산기본법은 정부가 연내 제정을 약속하고도 정부안조차 확정하지 못했다.

가상자산 이용자 계정은 1100만개를 넘어섰다. 보안 관리 범위를 보관 지갑에서 개발·운영 환경과 업무용 단말기까지 넓히고, 거래소 보안 기준을 금융회사 수준으로 끌어올려야 한다. 손해배상 책임과 사고 보고 의무를 명문화하는 입법도 더는 미뤄선 안 된다.