445억 유출 업비트, 7개월 만에 제재대···법 빈틈에 중징계 불투명

금감원, 두나무에 검 사의견서 보내 소명 요구
보안·보고 직접 규율 없다, 책임 범위 쟁점 돼

445억원 규모 해킹 사고가 발생한 업비트 운영사 두나무가 사고 발생 약 7개월 만에 금융감독원의 제재 절차를 밟게 됐다. 그러나 현행법에는 이용자 자산 보관과 피해 대비 의무만 있을 뿐 해킹 예방과 사고 보고를 직접 규율하는 조항은 없어 금감원이 두나무에 어느 수준까지 책임을 물을 수 있을지가 쟁점으로 떠올랐다.

20일 금융권에 따르면 금감원은 지난해 11월 발생한 업비트 해킹 사고와 관련해 최근 두나무에 검사 의견서를 보냈다.

업비트는 지난해 11월 27일 오전 4시 42분부터 5시 36분까지 54분 동안 솔라나 네트워크 기반 가상자산 24종, 1000억개 이상이 외부 지갑으로 빠져나간 일로 홍역을 겪었다. 당시 시세로 환산한 유출액은 444억8059만원이었다.

전체 피해액 중 회원 자산은 약 386억원에 달한다. 두나무는 회원 피해 분을 회사 자산으로 전액 보전했으며 이후 추적을 통해 유출 자산 중 26억원 상당을 동결하고 회수 절차를 진행했다.

사고 이후 보고와 공지까지 걸린 시간을 두고는 늑장 대응 논란도 제기됐다. 두나무는 이상 출금 정황을 오전 4시 42분 처음 확인했지만 금감원에 처음 보고한 시점은 6시간여 뒤인 오전 10시 58분이었다. 한국인터넷진흥원에는 오전 11시 57분, 경찰에는 오후 1시 16분, 금융위원회에는 오후 3시 각각 보고했다. 비정상 출금 사실을 홈페이지에 공지한 시점은 낮 12시 33분이었다.

이는 모두 업비트 운영사인 두나무와 네이버파이낸셜 합병 행사가 끝난 오전 10시 50분 이후에 이뤄졌다. 이에 행사 이후로 사고 공지와 신고를 의도적으로 미룬 게 아니냐는 의혹도 제기됐다. 다만 두나무 측은 "간담회 때문에 해킹 사실을 늦게 공지한 것은 전혀 아니"라고 밝혔다.

두나무는 사고 직후 솔라나 계열 지갑을 점검하는 과정에서 블록체인에 공개된 거래 정보를 통해 개인 키가 추정될 수 있는 취약점을 발견해 조치했으며 지갑 시스템을 전면 개편하고 있다고 밝혔다. 오경석 두나무 대표도 사과문을 통해 "이번 사고는 업비트 보안관리 미흡이 원인"이라고 인정했다.

피해는 보전했지만 '사고 자체' 책임은 남아

금감원이 들여다본 핵심은 사고 과정에서 두나무가 가상자산이용자보호법상 의무를 위반했는지 여부다. 현행법 제7조는 이용자 자산의 일정 비율 이상을 인터넷과 분리된 콜드월렛에 보관하도록 하고 제8조는 해킹·전산장애 사고에 따른 책임을 이행할 수 있도록 보험이나 공제에 가입하거나 준비금을 적립하도록 규정한다. 금융위와 금감원은 해당 의무의 이행 여부를 감독·검사할 수 있다.

그러나 해당 법률은 콜드월렛 보관과 보험·준비금 적립 등 이용자 자산 보호 장치는 두고 있어도 해킹 사고를 막기 위한 정보기술 안전성 확보 의무나 사고 발생 자체를 직접 제재하는 조항은 두고 있지 않다. 해킹 사고 보고 의무와 기한도 별도로 정하지 않았다.

회원 피해액이 전액 보전됐다는 사실도 사고 책임과는 별도로 살펴봐야 한다. 피해 보전은 이용자가 입은 금전적 손실을 없애는 조치지만 해킹을 막기 위한 내부통제와 사고 인지 이후 보고·공지가 적절했는지까지 해소하는 것은 아니기 때문이다.

금감원이 법규 위반 혐의를 인정하더라도 직접 적용할 조항과 제재 근거가 제한적이라면 중징계까지 이어질지는 불투명하다. 이찬진 금감원장 역시 지난해 12월 1일 출입기자단 간담회에서 업비트 사고를 두고 "그냥 넘어갈 성격의 것은 아니다"라면서도 "제재 권한 부분에 상대적으로 한계가 있다"라고 밝혔다.

금융당국은 이 같은 제도적 공백을 보완하기 위해 가상자산 2단계 입법에 정보기술 안전성 확보 의무와 해킹·전산 사고 관련 제재 근거, 사업자의 배상 책임을 담는 방안을 검토하고 있다.

두나무는 금감원 검사 의견서에 담긴 법규 위반 혐의에 관해 소명하게 된다. 금감원은 회사 측 의견을 검토한 뒤 제재 수위를 담은 내용을 사전 통지하고 제재심의위원회와 금융위원회 의결 등 후속 절차를 진행할 예정이다.

이번 제재 결과는 대형 해킹 사고가 발생했을 때 현행 가상자산이용자보호법으로 거래소의 보안 책임을 어디까지 물을 수 있는지를 보여주는 첫 시험대가 될 전망이다.

☞검사 의견서= 금융감독원 등 감독기관이 금융기관의 검사 결과를 정리해 발송하는 문서를 말한다.

☞콜드월렛= 인터넷에 연결되지 않거나 스마트 계약과 상호작용을 하지 않는 암호화폐 지갑. 악성 코드나 스파이웨어와 같은 온라인상의 위협으로부터 안전하다는 특징이 있다.

여성경제신문 김민 기자
kbgi001@seoulmedia.co.kr

*여성경제신문 기사는 기자 혹은 외부 필자가 작성 후 AI를 이용해 교정교열하고 문장을 다듬었음을 밝힙니다. 기사에 포함된 이미지 중 AI로 생성한 이미지는 사진 캡션에 밝혀두었습니다.