해킹 의심 시 코인 입출금 막는다⋯금융위, 거래소 보안 강화

[아이뉴스24 윤희성 기자] 앞으로 가상자산 거래소가 해킹이나 침해사고를 의심하는 단계에서도 이용자 입출금을 선제적으로 차단할 수 있게 된다. 금융당국은 최근 잇따른 가상자산 거래소 침해사고에 대응해 보안 관리 체계도 강화하기로 했다.

금융위원회는 12일 정부서울청사에서 신진창 부위원장 주재로 '가상자산업권 보안 대책회의'를 열고 이 같은 내용을 담은 보안 강화 방안을 논의했다. 회의에는 두나무·빗썸·코인원·디지털엑스·스트리미 등 가상자산사업자와 금융감독원 금융보안원 디지털자산거래소공동협의체(DAXA) 등이 참석했다.

금융위는 해킹이나 침해사고가 의심되는 단계에서도 사업자가 입출금을 선제적으로 차단할 수 있도록 비조치의견서를 발급하기로 했다. 현행 가상자산이용자보호법은 정당한 사유 없이 입출금을 차단하지 못하도록 하고 해킹 사고가 명백한 경우에만 예외적으로 허용한다. 이에 초기 이상거래 단계에서의 차단 가능 여부를 둘러싼 법 해석상 불확실성을 해소하고 신속한 대응으로 이용자 피해 확산을 막겠다는 취지다.

거래소의 상시 보안 대응 체계도 강화한다. 사업자는 24시간 모니터링 체계를 갖추고 담당 인력을 상시 배치해야 한다. 비정상적인 대규모 거래 등 사고 의심 상황이 발생하면 필요한 통제 조치를 즉시 시행해야 한다. 상시 대응이 어려운 사업자는 보안 체계가 정상 가동되는 시간에만 입출금을 처리할 수 있다.

이용자 자산 보관 방식도 손본다. 금융위는 핫월렛에 보관하는 자산을 거래 지원에 필요한 최소 수량으로 유지하고 여러 핫월렛에 분산 보관하도록 했다. 해킹 피해에 대비해 보험 보상한도와 준비금도 충분히 확보해야 한다. 현행 콜드월렛 의무 보관 비중은 80%지만 실제 사업자 보관 비중은 95% 이상이다.

보안 점검 사각지대도 줄인다. 현재 국내 가상자산사업자 28곳 가운데 금융보안원 사원 가입을 마친 곳은 원화마켓 거래소 5곳뿐이다. 금융위는 사업자 규모 등을 고려해 추가 가입을 추진하고 침해 위협 정보 공유와 취약점 점검 등을 지원하기로 했다. 가입이 어려운 사업자에는 취약요인 탐색과 경보체계 구축을 지원한다.

가상자산거래소 특성에 맞춘 보안 점검 기준도 연내 보완한다. 현재 사업자는 전자금융거래법상 취약점 분석·평가 의무 대상이 아니며 특정금융정보법상 정보보호관리체계(ISMS) 인증 외에는 별도 점검 의무가 없다. 금융위는 거래 검증 강화와 월렛 접근 통제 등을 반영한 특화 기준을 마련해 사업자의 자체 점검과 외부 전문업체 점검에 활용하도록 할 계획이다.

중장기적으로는 디지털자산법(안)에 IT 안전성 확보 의무와 손해배상책임을 담아 금융회사 수준의 보안 규율을 적용할 방침이다. 법 제정 전까지는 가이드라인을 통해 보안체계 강화를 유도한다.

신 부위원장은 "일부 사업자들의 보안에 대한 인식은 아직도 제도화 이전에 머물러 있다"며 "가상자산사업자는 이용자 자산을 수탁해 보관·관리한다는 점에서 전통적인 금융회사와 같은 수준의 보안체계가 필요하다"고 말했다.