“바이낸스는 8조 손실 다 책임진다는데”…韓 거래소는? [크립토360]

해킹 사흘 만 출금 재개…준비금 비율 100% 이상

美 “클래리티법 있었다면”…한국서도 기본법 필요성 확대

당국, 3월 제1차 가상자산위원회서 무과실 책임배상 거론

[헤럴드경제=경예은 기자] 8조원대 해킹 피해를 입은 세계 최대 디지털자산 거래소 바이낸스가 사흘 만에 출금 재개에 나섰다. 바이낸스는 손실을 전액 보전하겠다고 약속했지만, 이번 사태를 계기로 대규모 자산 탈취 시 이용자 피해를 누가 어디까지 책임져야 하느냐는 문제가 수면 위로 떠올랐다. 국내에서도 거래소에 무과실 손해배상책임을 부과하는 방안이 논의됐으나 정작 이를 담을 디지털자산기본법 제정은 지연되고 있다. <본지 6월 4일자 20면 ‘손실 면책 강화하는 거래소 vs 무과실 배상 검토하는 당국’ 참조>

1일 바이낸스가 공식 홈페이지를 통해 공개한 준비금 증명(PoR) 자료에 따르면 지난달 31일 기준 비트코인(BTC), 이더리움(ETH), 테더(USDT), 엑스알피(XRP) 등 주요 디지털자산 10종의 준비금 비율은 모두 100% 이상으로 나타났다. 준비금 증명은 거래소가 고객에게 반환해야 할 자산 대비 실제 보유한 자산의 비율을 보여주는 지표다.

자산별 준비금 비율은 USDC가 106.08%로 가장 높았으며 지캐시(ZEC) 103.23%, 바이낸스코인(BNB) 101.30%, XRP 100.99% 순이었다. 바이낸스가 보유한 비트코인은 약 69만2489개로 고객 순계정 잔액인 약 69만2187개를 웃돌았다. 이더리움 역시 고객 잔액 약 365만4919개에 상응하는 준비자산을 확보한 것으로 나타났다.

바이낸스는 해킹으로 부족해진 고객 자산의 약 95%를 자체 자금 등으로 채웠다고 밝혔다. 이를 위해 해킹 등 비상 상황에 대비해 마련한 이용자보호기금(SAFU)과 선물거래 청산 손실 시 사용되는 보험기금 일부를 투입했다. SAFU는 바이낸스가 2018년부터 거래 수수료의 일부를 떼어 적립해 온 기금이다.

▶직원 노트북 뚫고 출금 시스템 침투…해킹 경로 보니=이번 해킹은 거래소의 디지털자산을 보관하는 지갑 자체보다 출금 거래를 승인하는 시스템의 허점을 노린 공격으로 분석된다. 일반적으로 거래소에서 디지털자산을 외부로 보내려면 출금 요청을 생성한 뒤 받는 주소와 금액 등에 문제가 없는지 확인하는 절차를 거친다. 이상이 없다고 판단되면 서명 시스템이 거래를 최종 승인하고 자산이 전송된다.

김태일 디지털금융범죄대응연구소 이사장은 “출금 거래는 트랜잭션을 생성하고 정책 엔진이 이를 검증한 뒤 서명 엔진이 최종 승인하는 구조”라며 “공격자가 출금 시스템에 접근해 원하는 거래를 만들고 정책 엔진만 통과시킬 수 있다면 개인키를 직접 확보하지 않고도 정상적인 서명을 받을 수 있다”고 설명했다.

바이낸스가 공개한 초기 조사 결과에 따르면 해커는 개발운영 조직인 데브옵스(DevOps) 엔지니어의 노트북을 해킹해 내부 서비스에 접근한 것으로 파악됐다. 김 이사장은 “시스템 자체를 직접 뚫는 대신 접근 권한을 가진 직원의 노트북을 해킹해 내부 서비스에 침투한 것”이라며 “최근에는 핵심 시스템을 관리하는 직원들이 공격 대상이 되고 있어 이들의 업무용 기기와 접근 권한에 대한 보안도 강화할 필요가 있다”고 지적했다.

공격에는 지난해 5월 이더리움의 펙트라(Pectra) 업그레이드를 통해 도입된 계정 권한 위임 기능인 EIP-7702가 악용됐을 가능성이 제기된다. 이 기능은 지갑 소유자가 특정 스마트컨트랙트에 권한을 위임하면 해당 프로그램이 지갑을 대신해 거래를 실행할 수 있도록 하는 기술이다.

타이거리서치도 지난달 30일 보고서를 통해 “해커는 일반적인 출금 요청 대신 위임장을 서명 시스템에 넣어 출금 검사를 우회했다”며 “이후 핫월렛의 통제권을 확보해 약 3분 만에 이더리움과 테더 등 63종의 토큰을 빼돌렸다”고 분석했다. 더불어 “콜드월렛과 멀티시그로 키를 아무리 잘 보관해도 직원 한명의 기기가 해킹되고 서명 시스템이 위조 요청을 걸러내지 못하면 문제가 발생할 수 있다”고 경고했다.

▶바이낸스 출금 재개…뱅크런 막을 수 있을까=문제는 바이낸스가 고객 손실을 전액 보전하더라도 탈중앙화금융(DeFi·디파이) 시장에 미친 영향까지 해소되는 것은 아니라는 점이다. 디지털자산 대출 플랫폼 아베(Aave)의 위험관리업체 라마리스크에 따르면 해커는 탈취한 테더(USDT) 6000만개를 담보로 맡기고 당시 약 4460만달러 상당의 래핑 이더리움(WETH) 1만9762개를 빌려 갔다. 이에 아베는 자산 이동을 차단하기 위해 신규 예치와 대출을 일시 제한했다. 해당 조치는 지난달 31일 기준 해제됐다.

시장에서는 탈취 자산이 디파이 대출의 담보로 활용돼 부실채권이 발생할 수 있다는 우려도 나왔다. 스테이블코인 발행사의 자산 동결로 담보를 처분하지 못할 경우 대출금을 회수하는 데 차질이 생길 수 있다는 것이다. 다만 아베는 지난달 30일 기준 해당 대출의 담보 가치가 5990만달러로 채무액(4380만달러)을 약 1610만달러 웃도는 초과담보 상태라며 기존 예치자에게 직접적인 위험을 초래하지 않는다고 설명했다.

바이낸스와 거래하는 글로벌 시장조성업체들도 해킹 여파에서 자유롭지는 않았다. 예브게니 가에보이 윈터뮤트 최고경영자(CEO)는 X(구 트위터)를 통해 “바이낸스에 대한 위험 노출 규모는 순자기자본의 20% 미만”이라며 “바이낸스는 피해 규모의 3~4배에 달하는 손실을 감당할 여력이 있다”고 평가했다.

바이낸스의 출금 재개 이후도 관건이다. 바이낸스는 이날 오후 3시께부터 비트코인과 이더리움, 솔라나 등 주요 디지털자산의 출금 서비스를 단계적으로 재개할 예정이라고 밝혔다. 출금 재개 초기에는 이용자가 몰리면서 처리 지연이 발생할 수 있다고도 안내했다.

안광호 타이거리서치 연구원은 “바이낸스의 뱅크런 우려는 1차적 문제”라며 “디지털자산 시장은 하나의 자산이 여러 디파이 서비스와 연결돼 있어 연쇄적인 자금 이탈이 발생할 수 있다”고 예측했다. 실제 지난 4월 켈프다오 해킹 당시 피해액은 2억9000만달러였지만 시장 불안이 확산하면서 이틀 동안 디파이 전체 예치금은 해킹 피해액의 약 45배인 132억달러 감소했다.

▶고팍스·프라뱅·빗썸까지 잇단 해킹…국내 거래소도 비상=최근 국내 거래소에서도 해킹 사고가 잇따르면서 이용자들의 불안은 커지고 있다. 지난달 고팍스와 프라뱅에 이어 빗썸에서도 해킹으로 인한 개인정보 유출 사고가 발생했다. 빗썸에서는 사내 모바일 그룹웨어인 다우오피스에 외부인이 무단 접근하는 사고가 발생해 고객 844명의 주민등록번호와 계좌번호, 신분증 사본 등 주요 개인정보가 노출됐다. 또한 프라뱅에서는 1억원 규모의 고객 자산까지 탈취돼 서비스를 잠정 중단하기도 했다.

일각에서는 국내 거래소에서 바이낸스와 같은 대규모 해킹 사고가 발생할 경우 이용자 손실을 어디까지 보전받을 수 있느냐는 의문도 제기된다. 현행 가상자산이용자보호법에 따르면 거래소 등 사업자는 해킹과 전산장애 등에 대비해 핫월렛에 보관한 디지털자산 가치의 5% 이상을 보상할 수 있도록 보험에 가입하거나 준비금을 적립해야 한다. 원화마켓 거래소는 최소 30억원, 코인마켓 거래소 등은 최소 5억원의 보상한도 또는 준비금을 확보해야 한다.

법적으로 국내 거래소가 모든 손실을 감당해야 할 의무도 없다. 전자금융거래법 제9조는 해킹 등 전자금융사고로 이용자에게 손해가 발생하면 금융회사와 전자금융업자가 원칙적으로 과실 여부와 관계없이 배상하도록 규정하고 있다. 반면 디지털자산 거래소에는 전금법 적용 대상에 해당하지 않아 배상 책임을 명확하게 규정하기 어려운 상황이다.

전문가들은 거래소의 보안 역량을 강화하는 동시에 금융당국의 점검 방식도 개선해야 한다고 지적했다. 황석진 동국대 국제정보보호대학원 교수는 최근 금융당국이 금융권을 대상으로 실시한 보안 전수조사를 짚으며 “12개 항목을 자체 평가하도록 하는 서류 심사만으로는 한계가 있다”고 비판했다.

황 교수는 “당국이 업권별로 일부 회사를 선정해 직접 현장 점검에 나서고, 취약점이 발견되면 시정 조치까지 이뤄지도록 해야 한다”며 “거래소의 보안 경쟁력은 해킹 사고가 발생하지 않았다는 사실보다 사고를 얼마나 빨리 발견하고 피해 확산을 차단해 고객 자산을 보호할 수 있느냐로 평가해야 한다”고 강조했다.

▶美 클래리티법 재조명…韓 기본법은 언제쯤=잇단 해킹 사고로 디지털자산 시장과 이용자 보호체계를 정비할 법 제정의 필요성도 커지고 있다.

미국에서는 이번 바이낸스 해킹을 계기로 디지털자산 시장구조법인 클래리티법(CLARITY Act)의 입법 필요성이 다시 부각됐다. 신시아 루미스 미국 공화당 상원의원은 31일 “클래리티법이 있었다면 수사기관의 요청 즉시 디지털자산 기업들이 의심 거래를 동결할 수 있도록 법적 보호를 제공했을 것”이라며 “1분이라도 지체되면 자금은 영영 사라질 수 있다”고 밝혔다.

국내에서는 디지털자산기본법 제정을 위한 논의가 2년 가까이 이어지고 있지만 여전히 입법에 속도를 내지 못하고 있다. 금융당국은 디지털자산의 발행과 유통, 사업자 규율 등을 포괄하는 정부안을 마련하고 있지만 아직 국회에 제출하지 못했다. 금융위원회는 이달 국회 정무위원회 법안심사소위원회 논의에 맞춰 정부안 제출을 추진하고 있다.

앞서 금융당국은 기본법에 거래소의 무과실 손해배상책임을 도입하는 방안을 검토하기도 했다. 지난 3월 금융위원회 가상자산위원회에서는 거래소의 내부통제와 전산 보안 기준을 강화하고, 해킹 등 사고로 이용자 피해가 발생할 경우 사업자에게 무과실 배상책임을 부과하는 방안이 논의됐다. 금융위 관계자는 지난 6월 헤럴드경제에 “무과실 책임배상 도입을 검토하고 있다”며 “전자금융거래법상 조항도 참고하게 될 것”이라고 말했다.

차상진 법무법인 비컴 변호사는 “디지털자산기본법이 조속히 제정돼야 기존 금융권에서 전자금융거래법에 따라 금융소비자들이 보호받는 것처럼 디지털자산 이용자들도 비슷한 수준의 보호를 받을 수 있을 것”이라며 “현재는 기본법이 마련되지 않아 업권 간 이용자 보호 수준에 차이가 있을 수밖에 없다”고 전했다.