한국 금융위원회, 해킹 의심 시 가상자산 거래소 출금 동결 허용

금융위 노액션 레터로 예방적 동결 문 열리다

한국 금융위원회는 목요일 해킹 시도가 의심되는 경우 침해가 확정되기 전이라도 가상자산 거래소가 입출금을 중단할 수 있도록 허용하는 노액션 레터를 발급할 계획이라고 밝혔다. 이 결정은 금융위원회 신진창 부위원장이 서울에서 주재한 보안 회의에서 나왔으며, 당국은 같은 날 게시한 공식 발표에 이 방침을 담았다.

현행 가상자산 이용자 보호법상 거래소는 정당한 사유 없이 이용자의 입출금을 막을 수 없고, 해킹 사고가 명확히 확인된 경우에만 제한이 가능하다. 이 조항은 플랫폼을 공백에 내버려 두었다. 침입이 입증되기 전에도 비정상 송금이나 수상한 계정 움직임이 먼저 나타나는 경우가 많은데, 조기 대응에는 법적 리스크가 따랐다. 노액션 레터는 일정 조건을 충족하는 예방적 입출금 중단에 규제 당국의 보증을 부여해 이 공백을 메운다. 다만 이용자 자금을 동결할 수 있는 무제한 권한을 거래소에 넘겨주는 것은 아니다.

금융위는 이번 변화에 운영상의 요구를 함께 걸었다. 거래소는 시장의 24시간 운영 일정에 맞는 모니터링을 유지하고, 수상한 거래를 조사할 책임자를 상시 확보하며, 보안 문제를 가리키는 움직임이 감지되면 즉시 대응해야 한다. 24시간 감시 인력을 둘 수 없는 플랫폼은 이용자에게 사전 고지하고 출금 요청을 신속히 처리할 충분한 인력을 배정한 뒤, 인력이 상주하는 시간에만 입출금을 처리하게 된다.

커스터디 규칙이 이번 패키지의 중심에 놓인다. 한국은 이미 가상자산 사업자에게 고객 암호화폐의 최소 80%를 콜드 월렛에 보관하도록 요구하고 있으며, 금융위는 업계 전체 콜드 스토리지 비중이 95%를 넘는다고 밝혔다. 거래소별 보관 비율은 서로 다르다. 새 지침에 따르면 사업자는 일상 거래에 필요한 수준으로 핫월렛 잔고를 제한하고, 자금을 여러 지갑에 분산 보관하는 방안을 검토하며, 해킹 피해 고객에게 보상할 수 있는 수준의 보험과 준비금을 유지해야 한다. 규제 당국은 기존 보험 적용 범위와 재무 준비금도 점검하라고 요청했다.

GOPAX 중단과 Prabang 침해가 만든 배경

이번 조치는 한국 거래소에서 이어진 보안 사건들에 대한 대응이다. 11월 6일 GOPAX는 사이버 공격을 예고하는 이메일을 받은 뒤 현물 거래, 입금과 일반 출금을 중단했다. 거래소는 조사 기간 동안 고객 자산을 콜드 스토리지로 옮겼으며, 실제 해킹 시도나 절도는 확인되지 않았다고 밝혔다. 고객은 고객 지원 채널을 통해서는 출금을 계속 요청할 수 있었고, 각 요청은 수동으로 검증됐다.

Prabang 사례는 더 나아갔다. 이 플랫폼은 10월 24일 핫월렛에서 나간 비정상 출금을 감지해 서비스를 중단했고, 약 7만 달러의 손실을 보고하며 피해 고객에 대한 보상을 회사 자금으로 진행하겠다고 밝혔다. 금융위는 전국 555개 금융회사를 대상으로 한 10월 점검에서 130곳의 사이버보안 취약점을 확인했으며, 별도로 GOPAX 운영사 Streami와 Prabang을 이전 보안 사고와 연관된 16개 회사에 포함시켰다.

규제 당국은 업계 방어선의 확대를 원한다. 신 부위원장은 회의에서 가상자산 회사가 고객 자산을 보관하고 관리하는 만큼 전통 금융기관에 필적하는 보안 수준을 갖춰야 한다고 말했다. 한국 금융보안원은 위협 정보 제공, 취약점 평가, 전문 교육으로 암호화폐 기업에 대한 지원을 확대할 예정이지만, 등록된 28개 가상자산 사업자 가운데 지금까지 보안원에 가입한 곳은 5곳뿐이다. 금융위는 가입 독려와 함께 가입이 어려운 사업자에 대한 대체 지원도 제공할 계획이다. 보안원은 2026년 말까지 거래 검증, 지갑 접근 통제, 블록체인 시스템, 스마트 컨트랙트를 포함하는 보안 점검 기준을 개정할 방침이며, 여기에는 고객 지갑 뒤에 있는 프라이빗 키를 플랫폼이 어떻게 보호하는지도 담긴다. 발의된 디지털 자산 법안은 한 걸음 더 나아가 암호화폐 사업자에게 금융기관에 준하는 정보보안 기준 준수와 손해배상 책임을 요구하게 되며, 금융위는 의심 침해 사고와 비정상 외부 접근 시도를 금융당국에 신속히 보고하도록 요구하고 있다.

지금은 지침, 나중은 구속력 있는 법

이번 레터는 행동 지침을 바꾸는 것이지 법률 자체를 바꾸는 것은 아니다. 가상자산 이용자 보호법은 여전히 입출금 제한에 정당한 사유를 요구하며, 구속력 있는 의무는 아직 통과되지 않은 디지털 자산 법안에 담겨 있다. 더 가까운 시험대는 운영이다. DEX와 달리 한국의 중앙화 거래소는 고객 자산을 직접 보관하므로, 인력 요건은 24시간 모니터링이 불가능한 플랫폼의 보안 예산을 사실상 거래 가능 시간 정책으로 바꾸는 효과를 낳는다. 2026년 말까지 마련될 보안원의 개정 점검 기준이, 미가입 23개 사업자가 이 공백을 메우는지 아니면 이미 틀 안에 들어간 5개 거래소에 뒤처지는지를 보여줄 것이다.