"빗썸만 통제불능?"…가상자산사업자 입법·감독 구멍

[아이뉴스24 김민희 기자] 빗썸의 비트코인 오지급 사고는 기초적인 시스템 통제 장치의 부재에서 비롯됐다는 지적이 나온다. 업비트 등 다른 가상자산사업자와 극명하게 대비된다. 그럼에도 가상자산사업자의 내부통제기준 마련 의무 부재는 가상자산사업자에 대한 입법 미비와 감독의 허점이 그대로 드러났다는 지적이다.

10일 가상자산 업계에 따르면, 빗썸을 제외한 국내 주요 거래소들은 이벤트 지급이나 자산 이동 시 잔고와 실물량을 실시간 대조하거나 지급 전용 계정을 독립 운용하는 방식으로 오지급 가능성을 구조적으로 차단하고 있다.

업비트는 이벤트 진행 시 별도의 계정을 통해 물량을 확보하고, 서비스상 수량과 블록체인상 수량을 주기적으로 대조하는 절차를 운영하는 것으로 전해졌다. 입력 가능한 최대 수량을 초과할 경우 경고가 표시되거나 거래가 차단되는 기능도 함께 운용되고 있다.

코빗은 예치금 잔고와 보유 잔고를 상시 대사하는 시스템을 가동하고 있으며, 차이가 발생하면 자동으로 거래를 중단하고 담당자가 즉시 확인하는 절차가 이어지는 구조다. 고팍스도 일정 시차를 두고 잔고를 확인한 뒤 이상이 발생하면 지급 계좌를 정지하고 긴급 점검을 실시하는 방식으로 대응하고 있는 것으로 파악된다.

코인원 역시 지급 전용 자산을 별도 계정에 분리하고 다중 부서 교차 검증 절차를 운영 중이다. 온체인 지갑과 서비스 데이터베이스를 대조해 자산 정합성이 맞지 않으면 거래가 중단되며, 지급 전용 계정의 잔고를 초과하는 자산 이동 시도 자체가 불가능한 구조로 설계돼 있다. 이벤트 자산을 별도 관리계정에 격리하고 여러 부서가 독립적으로 검증하는 절차도 함께 운용되고 있다.

이처럼 주요 거래소들이 잔고 대사나 지급 전용 계정 분리 등 다단계 통제 절차를 갖추고 있는 것과 달리, 빗썸은 이번 사고와 관련해 해당 통제 시스템의 존재 여부와 실제 작동 방식이 핵심 점검 대상이 되고 있다. 금융당국도 내부통제 체계가 적절히 구축돼 있었는지를 중심으로 사실관계를 확인하고 있는 것으로 전해졌다.

이번 사고는 개별 거래소의 내부통제 문제를 넘어 제도적 공백까지 드러냈다는 평가도 나온다. 은행이나 증권사, 보험사 등 전통 금융회사는 금융회사 지배구조법과 금융소비자보호법 등에 따라 내부통제 기준 마련과 준법감시 체계를 의무적으로 갖춰야 하며, 이를 이행하지 않을 경우 제재 대상이 된다.

반면 가상자산 거래소는 특정금융거래정보법 적용을 받지만 이 법은 자금세탁방지와 고객확인 의무가 중심이어서 전산 리스크나 내부 사고 예방을 위한 내부통제 기준을 상세히 규율하지 않는다. 전산 장애나 오지급 사고와 관련한 명시적 내부통제 의무와 제재 체계가 상대적으로 약한 구조라는 지적이 이어지고 있다. 금융정보분석원(FIU)의 등록·검사와 금융감독원의 감독을 통한 사전 예방이 불가능하고 사후 대처에도 한계가 있을 수밖에 없다.