코인 해킹 피해 책임 누가 지나…금융위 법 명문화 추진

은행도 해킹을 당하는 시대, 개인이 맡긴 가상자산은 과연 안전할까. 최근 금융권에서 인공지능을 활용한 것으로 추정되는 해킹 공격이 연이어 발생하고 있고, 해외 가상자산 거래소에서도 대규모 해킹 사고가 터지면서 국내 거래소의 보안 능력과 피해 보상 체계에 대한 우려가 커지고 있다. 이에 금융위원회가 현재 마련 중인 디지털자산기본법 정부안에서 거래소의 손해배상책임과 입증책임을 명확하게 규정하는 방안을 검토하기로 나섰다.

현행 가상자산 관련 법에는 거래소가 이용자 자산을 보관해야 한다는 의무와 해킹에 대비한 안전장치는 있지만, 실제 사고가 발생했을 때 거래소가 어디까지 책임을 져야 하는지, 누가 그 책임을 입증해야 하는지에 대한 구체적인 규정이 없다는 것이 문제다. 금융위 관계자는 10일 "현행법은 실제 사고 발생 시 손해배상책임의 범위나 입증책임을 별도로 규정하고 있지 않다"며 "이와 관련한 제도적 공백과 문제 제기가 있다는 점을 인지하고 있어 보완 방안을 내부적으로 검토 중"이라고 밝혔다. 이는 가상자산 2단계 입법인 디지털자산기본법 정부안을 마련하는 과정에서 이루어지고 있다.

물론 특별한 법 규정이 없다고 해서 거래소가 해킹 사고에 대한 책임을 지지 않는 것은 아니다. 이용자는 서비스 이용계약이나 민법상 채무불이행 등 기존 법리에 따라 거래소에 책임을 물을 수 있다. 그러나 현실은 복잡하다. 해킹 사고의 특성상 이용자가 거래소의 책임을 입증하기가 매우 어렵기 때문이다. 사고가 발생하면 가상자산 키 관리, 접근권한, 전산망 구조, 접속 및 사고 로그 등 원인을 규명하는 데 필요한 대부분의 정보가 거래소 내부에만 있다. 이용자 입장에서는 거래소의 보안조치에 문제가 있었는지, 사고와 손실 사이에 어떤 인과관계가 있는지를 직접 확인하기 거의 불가능하다는 뜻이다.

금융위가 입증책임 문제를 별도로 살펴보는 이유가 여기에 있다. 일반적인 민사상 책임관계에만 맡기는 것을 넘어 해킹과 전산사고의 특성을 고려한 별도의 이용자 보호장치가 필요한지를 검토하는 것이다. 또한 손해배상책임의 범위를 어디까지 정할지도 중요한 쟁점이다. 특히 사고 규모가 커지거나 거래소의 과실 여부를 두고 이용자와 거래소 사이에 분쟁이 생겼을 때 적용할 수 있는 명확한 기준이 필요하다는 지적이 나오고 있다. 피해가 수십억 원대에 이르는 경우 거래소가 전액 배상해야 하는지, 아니면 일부만 책임지는지 등에 대한 법적 기준이 마련되지 않은 상태인 것이다.

금융위는 현재 디지털자산기본법 정부안을 마련하는 논의 단계에 있으며, 이 과정에서 손해배상책임과 입증책임을 포함한 이용자 보호체계 보완 방안을 함께 논의하고 있다. 다만 구체적인 규정 방식은 아직 확정되지 않았다. 금융위 측은 현재 정부안 마련을 위한 논의 단계인 만큼 최종 법안에 어떤 내용이 담길지와 향후 국회 통과 시점을 현 단계에서 확답하기 어렵다는 입장을 보이고 있다. 가상자산 시장이 급속도로 성장하면서 거래소 해킹 사고도 증가하는 만큼, 이용자 보호를 위한 법적 토대를 빠르게 마련하는 것이 업계의 과제가 되고 있다.