코인거래소, 해킹 의심 단계서도 입출금 차단 가능해진다

[파이낸셜뉴스] 가상자산사업자가 해킹 사고 의심 단계에서도 일정 조건 아래 입출금을 선제적으로 차단할 수 있도록 금융당국이 비조치 의견서를 발급한다. 금융당국은 24시간 모니터링 체계와 콜드월렛 보관 확대 등 금융회사 수준의 보안체계도 요구하기로 했다.

금융위원회는 12일 신진창 부위원장 주재로 '가상자산업권 보안 대책회의'를 열고 가상자산사업자의 침해사고 현황과 대응 방안을 점검했다. 회의에는 금융감독원과 금융보안원, 디지털자산거래소 공동협의체(DAXA), 가상자산거래소와 보관사업자 등이 참석했다.

현행 가상자산이용자보호법은 정당한 사유 없이 사업자가 입출금을 차단하지 못하도록 하고 해킹 사고 발생이 명백한 경우에만 차단을 허용한다. 이에 따라 이상거래 등 해킹이 의심되는 단계에서 입출금을 선제적으로 차단할 수 있는지가 불분명하다는 지적이 제기됐다.

금융위는 가상자산 보안사고의 경우 신속한 차단 조치가 피해 확산을 막는 데 중요하다고 보고 해킹이나 침해사고가 의심되면 일정 조건 아래 입출금을 차단할 수 있도록 비조치 의견서를 발급하기로 했다. 비조치 의견서는 특정 행위가 일정 조건을 충족할 경우 금융당국이 제재 조치를 하지 않겠다는 입장을 사전에 밝히는 조치다.

법 제정 전 즉시 적용할 수 있는 '가상자산사업자 보안사고 비상대응 가이드라인'도 마련한다. 가상자산 거래가 24시간 이뤄지는 점을 고려해 사업자가 담당 인력을 상시 배치하고 비정상적인 대규모 거래 등 사고 의심 정황이 발견되면 필요한 통제 조치를 즉시 시행하도록 할 방침이다.

상시 모니터링·대응체계를 운영하기 어려운 사업자는 해당 체계가 정상적으로 작동하는 시간에만 입출금을 처리해야 한다. 이 경우 운영 시간을 이용자에게 미리 알리고 충분한 인력을 배치해 입출금 요청에 대응하도록 했다.

이용자 자산의 콜드월렛 보관 비중도 최대한 높이도록 할 방침이다. 현행 가상자산업감독규정상 콜드월렛 의무 보관 비중은 80%지만 전체 사업자의 실제 보관 비중은 95% 이상이다. 금융위는 핫월렛에 보관하는 이용자 가상자산을 거래지원에 필요한 최소 수량으로 유지하고 복수의 핫월렛에 분산하는 방안도 고려하도록 했다. 해킹 피해 발생 시 원활한 보상이 이뤄지도록 보험 보상한도와 준비금 적립액도 충분히 확보하도록 할 계획이다.

금융위는 현재 준비 중인 디지털자산법을 통해 가상자산사업자에게 금융회사에 준하는 정보기술(IT) 안전성 확보 의무와 손해배상책임을 부과할 예정이다. 법 제정 전에도 가이드라인을 통해 정보처리시스템과 정보통신망의 취약점을 분석·평가하고 보완 조치를 시행하도록 할 방침이다. 침해사고나 비정상적인 외부 접근 시도가 발견되면 금융당국에 신속히 보고하는 체계도 마련한다.

가상자산사업자의 금융보안원 가입도 확대한다. 현재 28개 사업자 가운데 금융보안원에 가입한 곳은 5개 원화마켓 거래소뿐이다. 금융위는 사업자의 이용자 규모 등을 고려해 추가 가입을 추진하고 가입 사업자에게 침해 위협 정보 공유와 보안 취약점 점검, 전문교육 등을 지원할 예정이다. 가입이 어려운 사업자에는 중소금융사 수준의 취약요인 탐색과 경보체계 구축 등을 지원한다.

금융보안원은 가상자산사업자 사원기관을 대상으로 보안 점검을 실시한다. 직접 점검이 어려운 사업자에는 자체 점검이나 정보보호 전문업체를 통한 점검에 활용할 수 있는 '가상자산거래소 특화 보안 점검 기준'을 제공한다. 거래 검증 강화와 월렛 접근 통제 등을 반영해 기존 점검 기준도 연내 개선할 예정이다.

신 부위원장은 최근 가상자산업계에서 정보 유출과 침해사고가 잇따르고 있지만 일부 사업자의 보안 인식은 제도화 이전에 머물러 있다고 지적했다. 이어 가상자산사업자도 이용자 자산을 보관·관리하는 만큼 전통적인 금융회사와 같은 수준의 보안체계를 갖춰야 한다고 강조했다.

[email protected] 이정화 기자