보안 사각지대 놓인 가상자산 거래소
금융보안원이 가상자산 거래소의 특수성을 고려해 별도의 보안 평가 기준을 수립했음에도 불구하고, 이를 통한 종합 보안점검을 신청한 사업자가 단 한 곳도 없는 것으로 드러났다. 금융권에 따르면 지난 19일 기준으로 해당 기준에 따른 종합점검을 수행한 가상자산사업자는 전무한 상태다. 이는 사업자들의 신청이 없어 점검 자체가 이루어지지 못한 결과로 풀이된다.
취약점 분석 및 평가는 전산 시스템과 운영 환경 속에 숨어 있는 보안 위협을 사전에 찾아내 개선하는 예방적 활동이다. 특히 '종합점검'은 단순한 공개용 홈페이지 점검을 넘어 서버와 네트워크, 애플리케이션(앱) 등 광범위한 영역의 취약점을 분석하고 모의해킹까지 수행하는 포괄적인 과정이다. 금융보안원은 기존 금융사와는 다른 거래소의 업무 환경을 반영하기 위해 지난해 12월 '2026년도 취약점 분석·평가 기준'을 개정하며 관련 기준을 신설한 바 있다.
월렛·블록체인 등 특화 기준 신설에도 무관심
새롭게 도입된 평가 항목에는 가상자산 컴플라이언스, 블록체인, 월렛, 스마트 콘트랙트 등이 포함된다. 이는 클라우드 기반의 운영 환경과 핫월렛 탈취와 같은 특수한 보안 위협을 정밀하게 검토하기 위함이다. 구체적으로는 자금세탁방지(AML) 및 내부통제 시스템은 물론, 노드 운영 보안과 콜드·핫월렛의 분리 운영, HSM 활용 및 코드 감사 여부 등을 종합적으로 점검하게 된다. 박상원 금융보안원장은 과거 이 기준을 통해 해킹 요소를 사전에 차단함으로써 금융소비자가 신뢰할 수 있는 서비스 기반을 강화할 수 있다고 강조했다.
현재까지의 상황을 살펴보면, 고팍스의 운영사인 스트리미는 금융보안원의 '공개용 홈페이지 점검'을 받은 이력이 있으나, 이는 외부 웹페이지에 국한된 것이어서 서버나 앱 등을 모두 아우르는 종합점검과는 성격이 다르다. 실제로 고팍스에서 발생했던 침해사고 역시 당시 수행된 홈페이지 점검 범위 밖에 있었던 것으로 알려졌다.
잇따르는 침해사고, 전문 진단 필요성 대두
최근 가상자산 시장을 겨냥한 보안 사고는 개인정보 유출을 넘어 고객 자산 탈취로까지 번지는 양상이다. 금융위원회는 지난 14일 긴급 상황 대응 회의를 통해 고팍스 운영사 스트리미와 프라뱅 등을 포함해 침해사고가 확인된 금융회사가 총 16곳에 달한다고 밝혔다. 특히 지난 24일에는 프라뱅의 핫월렛에서 약 1억 원 규모의 비정상적인 자산 출금이 탐지되었으며, 이 과정에서 약 20명의 고객 개인정보가 유출된 사실이 공지되기도 했다.
대형 거래소인 빗썸 역시 지난 28일 사내 모바일 그룹웨어인 '다우오피스'에 대한 침해 사실을 확인했다. 다행히 해당 시스템은 거래소 서비스망과 물리적으로 분리되어 있어 고객 자산에 대한 직접적인 영향은 없는 것으로 파악되었으나, 임직원 및 협력업체 직원 수백 명의 정보 유출이 추정되어 정밀 조사가 진행 중이다.
이러한 사고들이 금융보안원의 종합점검을 받지 않아서 발생했다고 단정할 수는 없으나, 보안 취약점을 사전에 식별하기 위한 전문 점검 수단을 적극 활용해야 한다는 목소리가 높다. 황석진 동국대학교 국제정보보호대학원 교수는 가상자산 거래소가 현물 자산을 직접 관리하는 만큼 기존 금융사보다 더 엄격한 보안 기준이 적용되어야 한다고 지적하며, 전문적인 노하우를 가진 기관의 점검을 적극적으로 수용할 필요가 있다고 제언했다.