도둑 든 가상화폐 거래소…보안 사각지대 어쩌나

[아이뉴스24 성지은·윤지혜기자] 국내 최초로 비트코인 거래소의 대규모 해킹 사고가 발생하면서 가상화폐 거래 안전성이 도마에 올랐다.

가상화폐 거래소 보안 기준과 투자자 보호책 등도 마련되지 않아 가상화폐 거래소는 사실상 '보안 사각지대'라는 지적이 나온다.

지난 26일 비트코인 거래량 상위권 업체인 '야피존'은 "4월 22일 토요일 새벽 2~3시 사이에 해커의 공격으로 거래소의 코인지갑(Hot-Wallet) 4개가 탈취당했다"며 "총 피해규모는 3천831비트코인(약 55억원)으로, 이는 총 자산의 37.08%에 해당한다"고 홈페이지에 공지했다.

현재 야피존은 이번 사건을 수사기관에 신고해 해킹과 관련한 정확한 경위를 조사 중이다. 야피존 관계자는 "해킹과 관련한 정확한 사항은 수사 중이라 밝힐 수 없다"며 "이번 주 내로 홈페이지를 통해 진행사항 등을 재공지할 예정"이라고 말했다.

보안 업계는 이번 사건이 블록체인(분산원장 시스템) 자체에 대한 해킹이 아니라 거래소 서버와 같은 내부 인프라에 대한 해킹으로 추정하고 있다. 지갑이 설치된 서버를 제대로 관리하지 않았을 가능성이 높다는 지적이다.

◆가상화폐 업계, 해킹 대비해 개별 보안 구축

이미 해외에서는 거래소 해킹에 의한 비트코인 탈취가 여러 번 발생했다. 지난해에도 홍콩 비트코인 거래소 '비트피넥스'가 해킹돼 6천500만 달러 상당의 비트코인이 도난당했다.

이에 가상화폐 업계는 만약의 사태에 대비해 개별적으로 보안 장치를 마련해왔다.

코인원은 비트코인 거래 시 필요한 암호화 키를 3개로 분산해, 거래소와 사용자가 나눠 갖는 '멀티시그' 시스템으로 해킹에 대한 방지책을 마련했다. 또 혹시 모를 사태를 대비해 가상화폐의 80%를 별도의 보안 지갑에 옮겨 은행의 대여금고에 따로 보관하고 있다.

빗썸은 회원이 자산을 예탁하면 이를 회계법인에 보관하고, 회계법인이 동의한 경우에만 자산을 움직일 수 있는 '에스크로' 서비스를 도입해 보안을 강화했다. 이 외 ▲비트코인 및 현금 인출 시 본인명의 계좌 활용 ▲휴대폰 및 OTP 인증 적용 등으로 보안 위협에 대비하고 있다.

◆거래소 보안 기준 없어 보안 무방비

문제는 비트코인 등 가상화폐 시장이 점점 커지는 데도 업계의 자구 노력에만 기대고 있다는 점이다. 현재 가상화폐 거래소에 대한 보안 규정은 전무하다.

개별 가상화폐 거래소가 보안 시스템을 자체 구축해 운영 중이나, 사실상 보안 기준도 업체마다 다르다. 실제 야피존도 국내에서 유일하게 보안카드와 모바일 보안 키패드를 적용하는 등 가상화폐 및 보안 관련 특허를 다수 출원했다고 광고한 바 있다.

이에 따라 정부는 거래소의 보안기준을 강화하는 방안을 마련하기 위해 움직임을 보이고 있다. 한국인터넷진흥원(KISA)은 관계 부처 등과 함께 '전자지갑 개발자 보안 가이드'를 제정하고 기본적인 보안을 유지할 수 있는 제도적 방안을 모색 중이다.

KISA 관계자는 "디지털화폐 거래소를 운영하고 유지관리 하는 데 필요한 지침을 제정하는 등 방안을 강구하고 있다"며 "기술적으로 보안을 강화하기 위해 하드웨어 보안 모듈(HSW) 등 보안 모듈을 의무적으로 도입하게 하거나 휴대용 보안 토큰을 활용한 관리자 인증 방법도 고려하고 있다"고 말했다.

◆투자자 보호책 미비…가상화폐 제도적 기반 마련 시급

일각에서는 거래소의 보안기준을 강화하는 동시에, 가상화폐에 대한 제도적 기반을 시급히 마련해야 한다고 주문한다. 현재로선 가상화폐에 대한 법적 지위가 없어 관리주체도 부재한 데다, 예금자보호법 같은 투자자 보호수단도 없다. 만약의 사태가 발생하면 투자자가 오롯이 피해를 짊어져야 할 판이다.

이에 금융위원회는 지난 11월부터 기획재정부, 한국은행, 금융감독원 및 학계·법률 전문가로 구성된 디지털통화 제도화 관련 태스크포스(TF)를 꾸려 가상화폐의 제도적 기반 마련을 추진하고 있다.

다만 올 1분기까지 가상화폐의 법적 정의, 거래소 등록제, 자금세탁방지 등에 관한 정책방향을 마련할 예정이었으나 아직 뚜렷한 결과는 나오고 있지 않다.

금융위원회 관계자는 "가상화폐가 금융제도에 편입돼 있는 경우로 일본이 유일해 해외사례를 폭넓게 보면서 여러 가지 방안을 검토하고 있다"며 "구체적으로 언제까지 제도화하겠다는 것은 없지만 해킹 등으로 인한 투자자 보호책까지 포함해 논의할 예정"이라고 말했다.