해킹 징후만 보여도 입출금 차단···가상자산 거래소 규제 강화

사고 확인 전 선제적 차단 허용 추진

콜드월렛 확대·24시간 감시체계 구축

금융사 수준 보안 의무·배상책임 부과

사진=강민석 기자 [e-mail]

금융당국이 가상자산 거래소에서 해킹 징후가 발견되면 실제 피해가 확인되기 전에도 입출금을 차단할 수 있도록 허용한다. 고객 자산의 콜드월렛 보관 비중을 높이고 24시간 감시체계를 갖추도록 하는 한편 금융회사 수준의 보안 의무와 손해배상책임도 부과할 방침이다. 최근 가상자산업계에서 정보유출과 침해사고가 잇따르자 거래소의 사고 예방과 피해 대응 책임을 강화하기로 했다.

12일 금융위원회에 따르면 금융당국은 이날 오후 신진창 금융위 부위원장 주재로 '가상자산업권 보안 대책회의'를 열고 이 같은 방안을 논의할 예정이다. 회의에는 금융감독원과 금융보안원을 비롯해 두나무·빗썸·코인원 등 가상자산사업자와 디지털자산거래소 공동협의체(DAXA)가 참석한다.

이번 대책의 핵심은 해킹이 의심되는 단계에서도 거래소가 선제적으로 입출금을 차단할 수 있도록 허용하는 것이다. 현행 가상자산이용자보호법은 정당한 사유 없이 이용자의 입출금을 차단하는 행위를 금지하고 있다. 해킹 사고가 명백하게 발생한 경우에는 차단할 수 있지만 이상거래 등 사고 징후만 발견된 상황에서는 허용 여부가 불분명했다.

금융위는 이러한 문제를 해소하기 위해 비조치 의견서를 발급하기로 했다. 거래소가 해킹이나 외부 침입을 의심할 만한 정황을 발견하면 일정 조건 아래 입출금을 먼저 중단할 수 있도록 하는 내용이다. 실제 피해가 확인될 때까지 기다리는 사이 고객 자산이 외부로 유출되는 상황을 막기 위한 조치다.

거래소에는 24시간 이상거래를 감시하고 사고 징후에 대응할 수 있는 인력을 배치하도록 했다. 가상자산은 주식과 달리 휴일과 야간에도 거래가 이뤄지는 만큼 비정상적인 대규모 거래가 발생하면 즉시 통제 조치를 취해야 한다. 인력 부족 등으로 상시 감시가 어려운 사업자는 정상적인 대응이 가능한 시간에만 입출금을 처리하고 해당 사실을 이용자에게 미리 안내해야 한다.

고객 자산을 인터넷과 분리해 보관하는 콜드월렛의 비중도 최대한 높이도록 했다. 현행 감독규정상 의무 보관 비율은 80%지만 전체 사업자의 실제 보관 비중은 이미 95%를 웃돌고 있다. 금융당국은 인터넷에 연결된 핫월렛에 거래에 필요한 최소한의 가상자산만 남기고 여러 지갑에 분산 보관하는 방안을 제시했다. 해킹 피해 발생 시 고객에게 충분한 보상이 이뤄지도록 보험 보상한도와 준비금 적립액도 확충하도록 했다.

금융보안원의 전문적인 보안 지원을 받는 사업자도 늘린다. 현재 국내 가상자산사업자 28곳 가운데 금융보안원에 가입한 곳은 원화마켓 거래소 5곳뿐이다. 나머지 23곳은 이용자 규모와 회비 부담 등으로 가입하지 않은 상태다. 금융당국은 사업자별 여건을 고려해 추가 가입을 추진하고 가입이 어려운 중소 사업자에는 보안 취약점 점검과 침해 위협 경보 등을 지원하기로 했다.

금융보안원은 거래소의 업무 특성을 반영한 보안 점검 기준을 연내 개선할 예정이다. 거래 검증과 전자지갑 접근 통제를 강화하고 블록체인과 스마트계약 등 가상자산업계 특유의 보안 위험을 점검 항목에 반영한다. 금융보안원이 직접 점검하기 어려운 사업자는 자체적으로 또는 외부 정보보호 전문업체를 통해 점검할 수 있도록 기준을 제공한다.

금융위가 준비 중인 디지털자산법에는 가상자산사업자의 정보기술(IT) 안전성 확보 의무와 손해배상책임을 명시할 예정이다. 현재 가상자산사업자는 전자금융거래법상 취약점 분석·평가 대상에 포함되지 않고 정보보호관리체계(ISMS) 인증 외에는 별도의 보안 점검 의무가 없다. 금융당국은 법 제정에 앞서 비상대응 가이드라인을 마련해 시스템 취약점 점검과 보안 기준 수립을 요구하고 침해사고 발생 시 신속하게 보고하도록 할 방침이다.

신진창 금융위원회 부위원장은 "일부 가상자산사업자들의 보안 인식은 시장의 성장과 업계에 대한 기대와 달리 제도화 이전에 머물러 있다"라며 "이용자의 자산을 수탁해 보관하고 관리하는 만큼 전통적인 금융회사와 동일한 수준의 보안체계를 갖춰야 한다"고 강조했다.