바이낸스 해킹 후폭풍 국내 거래소 보안 강화 요구…업계는 운영·인력 부담 호소 [크립토360]

입력 2026-11-03 14:10:01

금융위 거래소 대응체계 긴급 점검 후 대책은

콜드월렛 확대·준비금 추가 적립 등 강화 주문

24시간 모니터링 체제도 인력 확충 난제 지목

무과실 배상책임은 입법 공백…이용자 보호 숙제

서울 서초구 빗썸라운지 강남점 전광판에 비트코인 시세가 나오고 있다. 윤창빈 기자.

[헤럴드경제=경예은 기자] 바이낸스 8조원대 해킹 사고 이후 금융당국이 국내 디지털자산 거래소에 보안 조치 강화를 주문하고 있지만, 업계에서는 운영 상 부담 등을 이유로 현실적 어려움을 토로하고 있어 실제 대책 도입까지는 상당 시일이 걸릴 것으로 전망된다.

3일 업계에 따르면 전날 금융위원회는 유영준 디지털금융정책관 주재로 금융감독원, 금융보안원, 디지털자산거래소 공동협의체(DAXA·닥사), 주요 가상자산사업자들과 최근 바이낸스에서 발생한 해킹사고와 관련한 업계 영향 및 대응체계 점검을 위한 회의를 열었다.

금융위는 회의에서 각 사업자의 콜드월렛 보관 비율과 보험 가입 및 준비금 적립 현황을 확인했다. 아울러 전산 시스템 접근통제와 지갑 출금 승인 및 서명체계, 관리자 권한 관리 등 바이낸스 해킹과 유사한 사고를 예방하기 위한 보안체계를 중점적으로 점검했다.

특히 콜드월렛 보관 비중 상향과 입출금 상시 모니터링, 추가 대응인력 확보, 준비금 추가 적립 등 즉시 실행할 수 있는 보안 강화 조치를 당부했다.

이번 회의에 대해 금융위 관계자는 “거래소별 보안 대응 현황을 확인하는 자리였다”며 “보안과 관련해 추후 필요하다면 회의를 추가로 진행할 수 있다”고 말했다. 이어 해킹 사고에 따른 이용자 보호체계 강화 방안과 관련해 “관련 내용은 법에 담길 것”이라고 설명했다.

하지만 디지털자산기본법 제정이 늦어지면서 금융당국이 가이드라인 등 별도 지침으로 보안체계를 보완하는 방안을 우선 검토할 수 있다는 관측이 나온다. 가장 먼저 거론되는 것이 콜드월렛 보관 비중을 높이는 방안이다.

콜드월렛은 인터넷과 분리된 환경에서 디지털자산을 보관하는 방식으로 온라인에 연결된 핫월렛보다 해킹 위험이 상대적으로 낮다. 특히 자산 출금 시 사람이 직접 거래 내용을 확인하고 서명하는 절차를 거쳐 비정상적인 출금을 걸러낼 수 있다는 장점이 있다. 현행 가상자산이용자보호법은 사업자가 이용자 디지털자산의 경제적 가치 중 80% 이상을 콜드월렛에 보관토록 하고 있다.

현재 거래소별 콜드월렛 보관 비율은 차이가 있다. 민병덕 더불어민주당 의원이 금융감독원으로부터 제출받은 자료에 따르면 9월 말 기준 업비트의 콜드월렛 보관 비율은 99.17%, 빗썸은 94.76%, 코인원은 85%, 디지털엑스는 82.79%, 고팍스는 80.54%로 집계됐다. 모두 법정 기준을 충족했지만 거래소별 격차는 최대 18.63%포인트에 달한다.

업계에서는 콜드월렛 보관 비중을 일률적으로 높이는 데 현실적인 어려움이 있다는 의견도 나온다. 거래소마다 보유자산과 거래량, 유동성 관리 방식이 달라 동일한 기준을 적용하면 운영상 부담이 커질 수 있다는 것이다.

24시간 보안관제와 입출금 상시 모니터링 강화 역시 추가적인 논의가 필요한 과제로 꼽힌다. 당국은 비정상적인 접근과 입출금 시도를 신속하게 탐지하고 대응할 수 있도록 상시 모니터링 체계 운영과 추가 인력 확보를 당부했다. 그러나 거래소마다 보안 인력과 관제체계, 외부 전문업체 활용 여부 등이 달라 일률적인 기준을 적용하기는 쉽지 않다고 업계는 토로하고 있다.

지난해 해킹 사고를 한 차례 겪은 업비트의 경우 정보보호 전담 인력에 두자릿수를 갖추고 있는 것으로 나타났다. 한 디지털자산 업계 관계자는 “24시간 콜드월렛 관련 업무를 운영하려면 최소 15명 이상의 인력이 필요하고, 3교대 근무체계를 갖추려면 20명 안팎은 확보해야 한다”며 “중소형 거래소는 규모와 수익성이 달라 같은 수준의 시스템을 갖추기 어려울 것”이라고 전했다.

또다른 업계 관계자는 “서명 업무는 중요도가 높기 때문에 겸직을 할 경우 확인 절차가 소홀해질 가능성이 있어 다른 업무와도 분리돼야 한다”며 “자산출금에 서명하는 담당 인력의 확충으로 운영 비용이 증가할 것”이라고 내다봤다.

궁극적으로는 제도적 정비가 급선무라는 지적도 나온다. 현행 전자금융거래법 제9조는 일정한 전자금융사고로 이용자에게 손해가 발생하면 금융회사와 전자금융업자가 원칙적으로 배상책임을 지도록 규정하고 있다. 반면 디지털자산 거래소는 전금법이 적용되지 않아 이용자 보호 수준을 높일 별도 입법의 필요성이 제기돼 왔다.

일각에서는 2단계 입법을 통해 거래소의 배상책임을 보다 명확히 해야 한다는 목소리도 나온다. 현행 특정금융정보법과 가상자산이용자보호법에는 거래소의 무과실 손해배상책임을 명시한 규정이 없는 만큼 기본법에 관련 내용이 담기면 해킹이나 출금 지연에 따른 이용자 피해에 대한 거래소의 책임이 자연스레 강화될 수 있다는 설명이다.

한편 최근 디지털자산 업계에서 해킹 사고가 잇따르면서 금융당국의 긴급 보안점검 요청도 크게 늘어난 것으로 파악됐다. 빗썸의 개인정보 유출 사고 이후 일부 거래소에는 사내 그룹웨어 및 공용 이메일에 대한 해킹 시도 여부를 확인하라는 요청이 전달됐다. 바이낸스 해킹 이후에는 내부 시스템 접근통제와 관리자 권한 관리, 24시간 모니터링 등으로 점검 항목이 확대됐다. 이와 관련, 한 업계 관계자는 “이전에는 고객 수나 입출금 현황을 확인하는 일반적인 실태조사가 대부분이었지만 최근에는 보안 관련 자료 요청이 체감상 10배 이상 늘었다”고 말했다.