2026년 9월, 세계 최대 가상자산 거래소 바이낸스의 한 소프트웨어 엔지니어가 이직을 알아보다 화상면접을 봤다. 면접에는 그럴듯한 회사의 최고경영자까지 등장했고, 엔지니어는 면접 과제라며 받은 코드 저장소를 자신의 컴퓨터에 내려받았다. 회사도, 경영자도 가짜였다. 앞선 6월에는 바이낸스 지갑 개발팀의 다른 직원이 검색 광고로 노출된 변조 개발 도구를 설치한 상태였다. 공격자는 10월 20일 사내 인공지능(AI) 도구까지 악용해 지갑 개발자 두 명의 시스템을 장악했고, 10월 29일 핫월렛에서 약 63억달러의 가상자산이 유출됐다. 바이낸스가 11월 3일 내놓은 사고 조사 보고서와 로이터 보도를 토대로 재구성한 경위다. 이 사건이 던지는 교훈은 분명하다. 오늘의 공격자는 암호만 깨는 것이 아니라 사람을 속인다. 그 표적은 거래소 자산의 통제권에 가까이 있는 개발자와 운영자다.
한국도 예외가 아니다. 2019년 11월 27일 업비트 핫월렛에서 이더리움 34만2000개, 당시 시세로 약 580억원어치가 빠져나갔다. 정확히 6년 뒤인 2025년 11월 27일에는 업비트에서 솔라나 계열 자산 약 445억원어치가 다시 유출됐다. 두 사고 모두 업비트는 고객 피해를 회사 자산으로 보전했다. 2025년에는 피해액 가운데 고객 몫 386억원을 곧바로 보전했다. 이용자 입장에서는 필요한 조치였지만, 이런 보전이 모든 거래소에 법적으로 똑같이 요구되는 것은 아니다.
2024년 7월 시행된 가상자산이용자보호법은 이용자 자산의 80% 이상을 콜드월렛에 보관하고, 핫월렛 보관액의 5% 이상을 보험이나 준비금으로 마련하도록 정하고 있다. 그러나 해킹 피해의 배상 책임을 직접 규정하지는 않는다. 은행 등 금융회사에는 전자금융거래법에 따른 사고 배상 원칙이 적용되지만, 가상자산 거래소의 사고 배상은 주로 이용약관과 민법에 따라 개별적으로 다투게 된다. 투자자와 이용자가 거래소의 내부 보안상 과실을 직접 입증해야 하는 구조라면 보호는 충분하지 않다.
배상 재원도 점검해야 한다. 금융감독원 자료에 따르면 2026년 9월 말 국내 5대 원화 거래소의 보험·준비금은 합계 1854억원이다. 대형 해외 거래소의 사고와 단순 비교할 수는 없다. 국내 거래소마다 보관자산과 위험 노출 규모가 다르기 때문이다. 핵심은 액수의 많고 적음보다 산정 기준이다. 현재의 핫월렛 보관액 중심 기준만으로는 출금 서명 체계가 뚫렸을 때 한 번에 유출될 수 있는 최대 규모를 충분히 반영하기 어렵다.
첫 번째 과제는 배상 책임을 법률에 명확히 규정하는 일이다. 금융위원회는 2025년 말부터 해킹·전산 사고에 대한 무과실 배상책임 방안을 검토했고, 2026년 3월 관련 회의에서도 도입 필요성이 논의됐다. 11월 9일 현재 관련 입법의 구체적인 내용은 확정되지 않은 상태다. 앞으로 제도화할 때에는 거래소가 원칙적으로 피해를 우선 배상하고, 이용자의 고의나 중대한 과실이 인정되는 경우에만 책임을 제한하는 방향을 검토할 필요가 있다. 책임 범위와 면책 요건은 분명히 해야 하지만, 배상 책임 자체를 불명확하게 남겨 둘 이유는 없다.
두 번째 과제는 피해 규모에 걸맞은 보험과 준비금이다. 월별 핫월렛 보관액의 일정 비율만 볼 것이 아니라, 하루 최대 출금 가능액, 서명 권한의 집중도, 내부 통제 구조와 복구 가능 시간 등을 반영한 위험 기반 기준이 필요하다. 거래소는 예상 최대 손실과 대비 재원의 비율을 공개하고, 재원 적립 방식의 적정성을 정기적으로 검증받아야 한다. 규모가 작은 거래소에 대해서는 합리적인 요건을 갖춘 업계 공동 기금도 대안이 될 수 있다.
세 번째 과제는 투명한 사고 공시다. 단순히 피해 금액만 발표하는 것으로는 이용자의 신뢰를 회복하기 어렵다. 사고를 언제 탐지했고, 어떤 방어장치가 실패했으며, 피해 확산을 어떻게 차단했고, 재발 방지를 위해 무엇을 바꾸었는지까지 공개하도록 해야 한다. 공개 범위에서는 추가 공격 위험을 줄이는 보안상 주의가 필요하지만, 책임 소재와 개선 조치의 결과는 이용자가 확인할 수 있어야 한다.
보안의 중심에는 사람과 업무 절차가 있다. 화상 면접과 채용 과제를 이용한 사칭, 변조된 개발 도구의 설치, 내부 업무 시스템의 오남용은 기술적 방어선만으로 막기 어렵다. 지갑·서명 시스템에 접근하는 개발자의 단말을 분리하고, 외부 코드 실행을 엄격히 통제하며, 핵심 출금 승인은 여러 사람이 독립된 기기에서 검증하도록 하는 감독 기준이 필요하다. 채용 과정의 신원 검증과 보안 교육도 형식적인 체크리스트에 그쳐서는 안 된다.
피해 발생 직후의 골든타임을 확보하는 것도 중요하다. 거래소와 스테이블코인 발행사, 수사기관 사이에 의심 주소와 자산 이동 정보를 신속히 공유하고, 명확한 요건 아래 긴급 출금 제한과 동결 협조를 할 수 있어야 한다. 다만 거래소가 이를 남용하지 않도록 조치 근거, 적용 기간, 사후 보고 및 구제 절차도 함께 정해야 한다.
사고 이후 감독당국이 거래소에 콜드월렛 비중 상향과 준비금 추가 적립을 당부하는 것은 의미가 있다. 그러나 당부만으로 이용자 보호의 기준이 만들어지지는 않는다. 거래소의 배상책임, 위험에 비례한 재원 확보, 사고 공시와 보안 통제를 명확한 법적 의무로 제도화해야 한다. 거래소가 그 책임을 감당할 능력을 갖추는 것은 영업을 위한 기본 조건이어야 한다.
김선미 동국대 경영전문대학원 핀테크&블록체인 책임교수
