바이낸스 8조원 해킹 사건, 국내 거래소 보안 공백 드러내다

세계 최대 규모의 가상자산 거래소 바이낸스가 지난 29일 63억달러(약 8조4천억원)의 대규모 해킹 피해를 입었다. 이는 가상자산 거래소 역사상 사상 최대 규모의 해킹 사건으로, 미국 연방수사국(FBI)은 북한 해킹 조직을 배후로 지목했다. 놀라운 점은 이 거대한 규모의 자산 탈취가 단 20분 만에 벌어졌다는 것이다. 바이낸스가 10억달러 규모의 자산 유출을 감지한 직후 100명 규모의 위기대응팀을 즉시 구성했음에도 불구하고 해킹을 막을 수 없었다. 이 사건은 가상자산 거래소의 보안 취약성이 얼마나 심각한지를 극명하게 보여주는 사례가 되었다.

이번 바이낸스 해킹의 특징은 기술적 정교함과 빠른 자산 이동에 있다. 블록체인 기술의 특성상 모든 거래 내역이 공개된 장부에 기록되기 때문에 외부 분석가들도 실시간으로 자산 유출 과정을 목격할 수 있었다. 해커들은 약 24억달러에 해당하는 자산을 동결이 불가능한 형태로 신속하게 전환하여 탈출했다. 스테이블코인 발행사들이 긴급 동결 조치를 취했지만, 이미 자산의 상당 부분이 추적 불가능한 상태로 변환된 후였다. 초기 조사에 따르면 개발·운영 엔지니어의 노트북이 침해된 것이 이번 해킹의 발단이 된 것으로 지목되고 있다. 가상자산의 특성상 국경을 넘어 몇 분 만에 자산을 이동할 수 있다는 장점이 범죄자들에게도 동일하게 적용되며, 최근에는 인공지능(AI)을 활용한 정교한 공격까지 등장하면서 위협이 더욱 증가하고 있다.

국내 가상자산 거래소도 이러한 해킹 위협으로부터 안전하지 않다는 것이 최근 사건들을 통해 드러났다. 국내 금융권을 휩쓴 연쇄 해킹 사건에서 실제 자산 피해가 가장 먼저 확인된 곳이 바로 가상자산 거래소였다. 코인마켓 거래소 프라뱅은 핫월렛 해킹으로 약 1억원의 피해를 입었고, 대형 거래소 업비트는 지난해 11월 약 445억원 상당의 가상자산이 무단으로 전송되는 사건을 겪었다. 이들 사건이 은행이나 증권사가 아닌 가상자산 거래소에서 먼저 발생한 것은 국내 거래소들의 보안 수준이 상대적으로 낮다는 것을 의미한다. 현재 가상자산 거래소는 전자금융거래법상 금융회사로 분류되지 않아 은행이나 증권사 수준의 엄격한 보안 규제를 받지 않고 있다. 이는 국내 거래소들이 선택적으로 보안 기준을 적용할 수 있다는 뜻이며, 결국 이용자들의 자산 보호에 공백이 생기는 결과로 이어진다.

현행 국내 법제도의 문제점은 더욱 심각하다. 가상자산 거래소에서 해킹 피해가 발생해도 사업자의 손해배상 책임 범위와 입증 책임을 정한 명확한 규정이 없다. 이는 피해자가 거래소의 과실을 직접 입증해야 한다는 뜻으로, 일반 이용자에게는 사실상 불가능에 가깝다. 거래소들은 보험 가입과 준비금 적립 의무를 가지고 있지만, 적립액이 충분하지 않은 데다 해킹 침해사고를 즉시 보고할 의무조차 없다. 정부가 이러한 법제 공백을 채우기 위해 디지털자산기본법의 연내 제정을 약속했으나, 아직도 정부안조차 확정하지 못한 상태다. 국내 가상자산 이용자 계정이 이미 1100만개를 넘어선 것을 감안하면, 이러한 법적 공백은 수백만 명의 이용자를 위험에 노출시키고 있는 셈이다.

전문가들은 국내 거래소의 보안 강화와 법제 정비가 시급하다고 지적한다. 먼저 보안 관리 범위를 현재의 보관 지갑에서 개발·운영 환경과 업무용 단말기까지 확대해야 한다. 바이낸스 사건에서 보았듯이 엔지니어의 노트북 침해가 전체 거래소 시스템을 무너뜨릴 수 있기 때문이다. 거래소의 보안 기준을 은행이나 증권사 수준으로 끌어올리는 것도 필수적이다. 동시에 입법 차원에서는 사업자의 손해배상 책임과 침해사고 즉시 보고 의무를 명문화해야 한다. 이를 통해 거래소들이 보안에 더욱 신경 쓰도록 유인하고, 피해가 발생했을 때 이용자들이 실질적인 보호를 받을 수 있는 체계를 마련해야 한다. 정부는 더 이상 디지털자산기본법의 제정을 미루지 말고, 가상자산 시장의 급속한 성장에 발맞춰 적절한 규제 체계를 확립해야 할 시점이다.