[한스경제 허인혜] 가상화폐 거래소가 해킹으로 파산하는 초유의 사태가 발생하면서 거래소의 허술한 보안을 성토하는 목소리가 끊이지 않고 있다. 가상화폐 거래량이 정규 시장인 코스닥과 코스피를 위협하는 규모임에도 보안 수준은 구멍가게를 면치 못했다는 탄식이 흘러나온다. 가상화폐 거래소의 보안성을 높여야 한다는 대전제 속에서도 인가제 도입에는 갑론을박이 거세다.
20일 금융권에 따르면 가상화폐 거래소 ‘유빗’은 외부의 해킹 공격으로 거래를 전면 중단하고 파산절차에 들어갔다.
이날 새벽 4시 35분 확인된 코인 손실액은 전체 자산의 17%로, 이외 코인은 콜드월렛(온라인 거래소와 구분된 별도의 오프라인 지갑)에 보관돼 추가손실은 없었다고 유빗은 설명했다.
유빗의 해킹 피해규모는 앞선 해킹 사고를 더해 200억원으로 추산된다. 유빗의 전신인 야피존은 올해 4월에도 전자지갑 해킹사고로 55억 원 규모의 비트코인을 도난 당한 바 있다.
가상화폐 거래소 해킹은 현재진행형이다. 세계 2위 규모의 글로벌 가상화폐 거래소 비트피넥스가 강력한 디도스(DDoS·분산서비스거부) 공격을 받은 데 이어 국내 1위 업체인 빗썸은 지난 4월 회사 관계자의 개인 컴퓨터가 악성코드에 감염돼 3만건이 넘는 개인정보가 유출됐다.
거래소 안전은 가상화폐 거래의 디딤돌이자 족쇄다. 가상화폐 거래는 개인과 개인(P2P· Peer to Peer) 방식을 취한다. 거래장부는 거래자 모두의 컴퓨터에 분산 저장돼 조작이나 열람이 불가능하다.
하지만 중간다리 격인 거래소를 공격하면 가상화폐와 거래 기록을 고스란히 탈취할 수 있다. 가상화폐 거래소는 개인과 개인의 직접적인 분산거래 기술이 구축되지 않은 현재로서는 거래의 필수요소다.
가상화폐의 월별 거래량이 코스닥 시장의 80%에 육박할 만큼 성장하면서 거래소도 난립했다. 가상화폐 거래소의 거래 수수료는 0.15%로 증권사의 통상적 거래수수료인 0.015%와 비교하면 10배나 높다.
반면 가상화폐 거래소의 진입장벽은 금융권과 비교할 수 없게 낮다. 거래소들은 통신사업자로 신고하며 손쉽게 가상화폐 시장에 뛰어들었다. 본인확인이나 방화벽, 고객정보 암호화, 보안솔루션 등을 갖추지 않은 데다 만약 정보유출이 되더라도 과징금은 솜방망이 수준이다.
실제 가상화폐 거래소 10곳의 웹페이지에 접속해보니 단 세 곳만 가상화폐 거래의 위험성을 팝업창으로 고지했다. 웹페이지 자체 보안을 가동한 거래소는 두 곳에 불과했다.
해킹에 이어 국내 3대 거래소가 보안 취약에 따른 경고장을 받으면서 우려는 현실이 됐다. 정부가 지난 10월부터 가상화폐 거래소 10곳을 상대로 보안점검을 치른 결과 빗썸과 코빗, 코인원 등 세 곳이 보안을 강화하라는 권고를 받았다.
한경수 법무법인 위민 대표 변호사는 지난 4일 공청회 발제문에서 “가상화폐 거래소는 통신사업자 신고 외에 아무런 규제가 없는 상태”라며 “최소한 거래소에 대한 규제만이라도 필요한 상황”이라고 경고했다.
금융당국은 가상화폐 거래소를 인가제 등 어떤 방법으로도 제도권에 수용하지 않겠다는 뜻을 여러 차례 밝혔다. 거래소 인가제가 자칫 정부가 가상화폐를 인정했다는 역풍으로 번질 것을 우려해서다.
결국 거래소의 보안은 한국블록체인협회의 자율규제안에 기대야 한다. 협회 소속 거래소들은 금융업자에 준하는 정보보안시스템과 정보보호인력을 운영해야 하고, 서버다운 등의 문제도 오프라인 민원센터를 개설하고 상담창구 직원을 통해 일부 해결하기로 했다. 임직원들의 윤리 규정을 마련해 미공개 정보를 이용한 행위, 시세 조종 등 불공정 거래를 제한한다는 항목도 명시됐다.
다만 자율규제안은 강제성이 없고, 그마저도 자본금 20억원 이하의 거래소는 협회 가입이 불가능해 최소한의 규제도 받지 않는다.
김진화 한국블록체인협회 공동대표는 “(유빗 해킹 사고는) 협회의 자율규제안 수준의 보안수준만 갖췄더라도 일어나지 않았을 사고”라며 “유빗은 협회 가입사가 아니고 가입 의사를 밝히지 않아 왕래가 없다. 협회사 이외의 거래소들까지 규제하기는 어렵다”고 선을 그었다.
한편 거래소 인가제 도입을 골자로 한 전자금융거래법 개정안이 지난 7월 발의돼 국회에 계류 중이다. 박용진 의원(더불어민주당)이 발의한 개정안에는 가상통화취급업자를 가상통화매매업자, 가상통화거래업자, 가상통화중개업자, 가상통화발행업자, 가상통화관리업자로 세분하고 최소한 5억원 이상의 자본금을 갖춰 금융위원회의 인가를 받도록 하는 내용이 담겼다.
박용진 의원은 “최근 가상화폐 거래소를 이용하는 이용자들이 대규모 해킹 피해를 입었고 투기목적으로 가상통화에 관심을 가진 이용자들이 날로 증가하고 있어 이용자 보호를 위한 법적 제도적장치 마련이 시급하다”고 강조했다.
허인혜 기자 hinhye@sporbiz.co.kr