또다시 거래사이트 해킹…보안 허술한데 감독은 없어

야피존, 유빗, 코인이즈 해킹 사고에 이어 4번째.."처벌 규정 없다"

코인레일이 지난 10일 해킹으로 400억원 가량의 가상통화를 탈취당하는 사고가 발생했다. / 자료=홈페이지 캡처

국내 가상통화(암호화폐) 거래사이트 코인레일이 해킹으로 400억원 가량의 가상통화를 탈취당했다. 지난해 유빗, 코인이즈에 이어 또다시 거래사이트 해킹사고가 발생하면서 정부가 나서 대책을 마련해야 한다는 목소리가 높아지고 있다. 거래사이트는 통신판매업자로 등록만 하면 영업이 가능해 보안이 허술해도 감독할 방법이 여의치 않다.

코인레일은 11일 "지난 10일 새벽 해킹공격 시도로 인한 시스템 점검이 있었다"며 "해킹 공격이 발생한 가상통화는 동결했으며 전체 토큰(가상통화) 보유액의 70%는 안전하게 보관 중"이라고 홈페이지를 통해 공지했다.

이번 해킹공격으로 코인레일이 보유한 가상통화 지갑에서 펀디엑스, 트론, 스톰 등 9종의 가상통화 36억개 가량이 40분에 걸쳐 인출된 것으로 알려졌다. 현재 시세로 모두 400억원대에 이른다.

코인레일 관계자는 "유출이 확인된 코인의 3분의 2 정도를 회수했으며 각 코인 발행사와 관련 거래소에 협조를 요청해 탈취당한 가상통화를 사용하지 못하도록 동결하거나 회수해달라고 했다"며 "회수하지 못한 나머지 3분의 1에 대해서는 수사기관과 함께 조사 중"이라고 설명했다.

거래사이트 해킹사고는 이번이 처음이 아니다. 지난해 4월 야피존이 해킹사고로 당시 55억원 상당의 가상통화를 도난당했고 지난해 10월에도 유빗으로 이름을 바꿔 영업하다 170억원 규모의 가상통화를 해킹당했다. 코인이즈도 지난해 9월 21억원 상당의 가상통화를 탈취당했다. 국내 최대 거래사이트 빗썸은 가상통화 해킹은 없었지만 지난해 직원의 PC가 해킹당해 고객정보 3만여건이 유출되는 사고를 겪었다.

가상통화의 기반기술인 블록체인(분산원장기술)은 블록체인 참여자 모두에게 승인을 받아야 하기 때문에 위·변조가 불가능해 해킹에 안전한 것으로 알려졌다. 하지만 거래사이트에서 가상통화를 보관하는 시스템은 보안에 취약한 경우가 많다. 특히 대다수의 거래사이트는 자금이 넉넉하지 않아 다양한 보안 솔루션을 갖추는 일이 현실적으로 어렵다.

실제 과학기술정보통신부와 방송통신위원회가 지난해 12월 실시한 가상통화 거래사이트에 대한 '사이버보안 및 개인정보보호 체계점검'에서 점검대상 10개 거래사이트 모두 문제점이 발견됐다. 해킹 피해를 입은 코인레일과 유빗뿐만 아니라 빗썸, 업비트, 코빗, 코인원 등 국내 대형 거래사이트도 보안에 취약한 것으로 조사됐다.


이는 국내법상 가상통화의 지위가 명확하지 않고 가상통화 거래사이트는 전자상거래법상 통신판매업으로 분류돼 신고만 하면 영업을 할 수 있어 금융당국이 규제할 수 없기 때문이다. 현재로서는 정보통신망법에 따른 개인정보 침해 발생에 대한 규제만 가능하다.

결과적으로 거래사이트에 해킹 등으로 개인정보 침해가 발생해야 과태료를 부과할 수 있고 그나마 과태료도 최대 3000만원 이하에 그치는 실정이다. 유빗이나 코인레일과 같이 해킹 사고로 고객 자산을 도난당한 거래사이트에 대해서는 국내 법상 제재할 근거가 전혀 없다.

업계 한 관계자는 "신생 가상통화 거래사이트 대부분이 일단 문을 열어 돈을 벌고 난 이후라야 보안에 투자할 여력이 생길 정도로 자금력이 없다"며 "업계 자율규제안은 강제성이 없기 때문에 정부가 나서지 않는 한 가상통화 거래사이트에 대한 해킹사고는 또 일어날 수 있다"고 지적했다.