금융감독원이 오는 19일 거래소와 커스터디(수탁) 업체를 포함한 국내 모든 가상자산사업자의 정보보호 최고책임자(CISO)를 모아 해킹 사고 대응회의를 열 예정이다. 각 사의 보안 관리 운영 실태를 점검하고 해킹 예방·대응 방안을 논의할 것으로 전해졌다고 연합뉴스가 8일 보도했다(연합뉴스).
연합뉴스는 이 회의를 거래소 해킹 사고가 잇따른 데 따른 조치로 전했다. 고팍스에서는 9월 초부터 일부 이용자 계정에 비정상적인 접근이 있었다. 빗썸에서는 개인정보가 유출됐고, 프라뱅에서는 자산 탈취와 개인정보 유출이 확인됐다. 고팍스는 이달 6일 해킹 협박 메일을 받고 모든 가상자산의 입·출금과 매매를 중단했다(연합뉴스).
당국 대응도 단계를 밟아 왔다. 전 금융권 긴급 점검회의, 가상자산 거래소 긴급 소집, 전 금융권 전수 점검 방침에 이어 이번에는 업권의 보안 책임자를 직접 부를 예정이다. 이 글은 사고 경과를 날짜순으로 정리하고, 개인정보 유출과 자산 탈취를 나눈 뒤, 매체마다 다르게 적힌 숫자와 당국 조치의 진행 단계, 이용자가 확인할 지점, 아직 모르는 점을 차례로 짚는다.
9월 초 접근에서 19일 회의까지, 사고와 대응은 이렇게 이어졌다
아래 표의 날짜는 각 매체가 적은 표현을 따랐다. 월이 빠진 날짜는 매체가 월을 쓰지 않은 경우여서 보도일을 함께 적었다.
| 시점 | 일어난 일 | 전한 매체 |
|---|---|---|
| 9월 초부터 | 고팍스 일부 이용자 계정에 비정상 접근 | 연합뉴스·비즈한국 |
| 10월 초 | 고팍스가 비정상 접근을 인지 | 비즈한국 |
| 4일 | 금융위원장 주재 전 금융권 긴급 점검회의, 닥사 관계자 참석 | 머니투데이(10월 4일 보도) |
| 10월 16일 | 고팍스, 고객 7명·전현직 임직원 2명 정보 유출 공지 | 비즈한국 |
| 10월 24일 | 프라뱅, 외부 비인가자 접근으로 침해사고 발생 | 비즈한국 |
| 10월 26일 | 프라뱅 서비스 잠정 중단, 고팍스 개인정보 추가 유출 | 비즈한국 |
| 10월 27일 | 빗썸, 다우오피스 관련 유출 사실을 확인했다고 설명 | 비즈한국 |
| 28일 | 금융위 디지털금융정책관, 금감원·금보원·닥사·빗썸과 긴급 점검 회의 | 비즈한국(10월 30일 보도) |
| 29일(현지시간) | 바이낸스에서 가상자산 탈취 | 뉴스웨이(11월 3일 보도) |
| 10월 30일 오전 6시 24분경(한국시간) | 바이낸스, 보안 문제 인지 공지 | 비즈한국 |
| 11월 3일 보도의 ‘전날 오전’ | 금융위, 국내 거래소 사업자 긴급 소집 | 뉴스웨이 |
| 5일 | 금융위, 전 금융권 내부통제 운영 실태 전수 점검 방침 | 연합뉴스(11월 8일 보도) |
| 이달 6일 | 고팍스, 해킹 협박 메일 받고 입·출금·매매 중단 | 연합뉴스(11월 8일 보도) |
| 19일(예정) | 금감원, 모든 가상자산사업자 CISO 대상 대응회의 | 연합뉴스(11월 8일 보도) |
표를 놓고 보면 다음이 눈에 띈다. 이 글의 해석이다.
- 고팍스는 비즈한국 보도 기준으로 비정상 접근이 시작된 시점(9월 초), 회사가 인지한 시점(10월 초), 유출을 알린 날(10월 16일)이 서로 다르다.
- 10월 24일부터 30일까지 프라뱅·고팍스·빗썸·바이낸스의 사고와 관련 발표가 잇따랐다.
- 19일 회의는 아직 열리지 않은 일정이다. 결과나 후속 조치는 회의 이후에야 확인할 수 있다.
고팍스·빗썸·프라뱅, 빠져나간 것은 정보인가 자산인가
세 국내 거래소의 사고는 성격이 같지 않다. 개인정보가 새어 나간 사고와 거래소 지갑에서 자산이 빠져나간 사고는 이용자에게 다른 위험이어서 나눠 보는 것이 이 글의 판단이다.
| 거래소 | 개인정보 | 자산 |
|---|---|---|
| 고팍스 | 이용자 7명·전현직 임직원 2명, 이후 추가 유출 | 27일 자산 손실 미확인 발표, 이달 6일 거래 중단 |
| 빗썸 | 임직원 715명과 고객 정보(고객 수는 매체마다 다르게 적힘) | 공격받은 시스템은 거래소 계정·가상자산과 분리됐다고 설명 |
| 프라뱅 | 이용자 7명 정보 유출 추가 확인 | 핫월렛에서 비정상 출금, 1억원 상당 탈취 |
고팍스: 유출 공지 뒤 협박 메일, 그리고 거래 중단
비즈한국에 따르면 고팍스는 10월 16일 고객 7명, 전·현직 임직원 2명의 개인정보가 유출됐다고 알렸다. 비정상적인 계정 접근과 개인정보 조회는 9월 초부터 이뤄졌고, 10월 26일에도 개인정보가 추가로 유출된 것으로 나타났다(비즈한국).
고팍스는 27일 “원화 및 가상자산의 비정상적인 출금이나 자산 손실은 확인되지 않았다”고 밝혔다(비즈한국). 이후 연합뉴스 보도에 따르면 이달 6일 협박 메일을 받은 뒤 거래를 멈췄고, 현재 보유자산 전량을 인터넷과 분리된 콜드월렛으로 옮기는 작업을 하고 있다(연합뉴스).
연합뉴스 보도에는 협박 메일을 보낸 쪽이나 요구 내용, 서비스 재개 시점이 나오지 않는다. 고팍스는 개인정보 유출 내역과 원인을 재점검하며 내부 조치를 하고 있다고 연합뉴스는 전했다.
빗썸: 사내 그룹웨어가 유출 통로였다
연합뉴스는 빗썸의 유출 통로를 사내 모바일 그룹웨어 시스템 ‘다우오피스’로 전했다. 비즈한국이 전한 빗썸 설명은 “10월 27일 사내 모바일 그룹웨어시스템인 다우오피스에 외부 비인가자가 접근해 일부 개인정보가 유출된 사실을 확인했다”는 것이다(비즈한국).
빗썸은 외부 공격을 받은 시스템이 거래소 계정이나 가상자산과 분리된 내부 업무 시스템이라고 밝혔다. 이재원 빗썸 대표는 “개인정보 취급과 보관 방식, 사내 시스템을 포함한 보안 관리 체계 전반을 원점에서 재점검하겠다”고 말했다(비즈한국).
연합뉴스에 따르면 빗썸은 한국인터넷진흥원(KISA)·금감원 등과 사고 경위와 추가 피해 여부를 분석하고 있고, 다우오피스 보안 업데이트 등 후속 조치도 진행하고 있다. 뉴스웨이는 빗썸이 다우오피스 사용을 중단하고 비정상 로그인과 의심 출금을 24시간 감시하고 있다고 보도했다(뉴스웨이).
프라뱅: 거래소 지갑에서 자산이 실제로 빠져나갔다
연합뉴스에 따르면 코인마켓 거래소 프라뱅에서는 인터넷과 연결된 핫월렛에서 비정상적인 출금으로 1억원 상당의 자산이 탈취됐고, 최근 이용자 7명의 개인정보 유출도 추가로 확인됐다(연합뉴스).
비즈한국이 전한 프라뱅 입장은 “현재 파악한 피해 자산은 약 1억 원 규모”이며, 피해 자산을 “전액 회사 자산으로 보전하는 조치를 취할 예정”이라는 것이다. 금감원은 피해 규모와 경위를 확인하기 위해 프라뱅 현장 검사에 나섰다(비즈한국).
보전은 비즈한국 보도 시점에 ‘예정’으로 밝힌 조치였고, 이행 여부는 확인되지 않았다.
같은 사고인데 매체마다 숫자가 다르게 적혔다
빗썸과 바이낸스 사고는 매체에 따라 수치가 다르게 적혔다. 어느 쪽이 틀렸다고 단정하기보다 각 수치가 무엇을 센 것인지 나눠 읽어야 한다.
| 대상·매체 | 보도된 수치 | 함께 적힌 단서 |
|---|---|---|
| 빗썸 · 연합뉴스 | 임직원 715명, 고객 844명 | 고객 성명·휴대전화·주민등록번호·신분증 사본 등 |
| 빗썸 · 비즈한국 | 고객 6444명, 임직원 715명 | 고객 중 5600명 암호화, 844명은 암호화되지 않은 채 노출 |
| 빗썸 · 경인방송 | 고객 844명, 임직원·협력업체 715명 | 총 1500여명 |
| 바이낸스 · 비즈한국 | 사고 영향 규모 약 63억 달러 | 바이낸스 발표 인용, 약 30억 달러 동결 |
| 바이낸스 · 뉴스웨이 | 약 63억 달러 규모 탈취 | 탈취 자산의 약 95% 보충, 출금 단계적 재개 |
| 바이낸스 · 세계비즈 | 약 64억달러 규모 해킹 사고 | 동결 약 30억달러, 전체 유출 규모의 절반에 못 미침 |
빗썸의 경우 844라는 숫자가 세 매체에 모두 나오지만 쓰임이 다르다. 비즈한국 보도에서 844명은 전체 유출 고객 6444명 가운데 암호화되지 않은 채 노출된 고객 수다(비즈한국). 연합뉴스는 844명을 유출된 고객 수로 적었고(연합뉴스), 경인방송은 고객 844명과 임직원·협력업체 715명을 합쳐 총 1500여명으로 전했다(경인방송).
숫자가 같다는 점에서 같은 집단을 가리킬 가능성은 있지만, 세 보도만으로 단정할 수는 없다는 것이 이 글의 해석이다. 빗썸 이용자라면 844명이라는 숫자만 보고 자신이 대상이 아니라고 판단하기 이르다. 비즈한국 기준으로는 암호화된 상태로 유출된 고객도 5600명 있었다.
바이낸스 수치도 표현이 갈린다. 비즈한국이 전한 바이낸스 발표는 “사고 영향 규모는 약 63억 달러(약 8조 4000억 원)”라는 말을 썼다(비즈한국). 뉴스웨이는 63억 달러를 탈취 규모로, 세계비즈는 약 64억달러를 해킹 사고 규모로 적었다. ‘영향 규모’와 ‘탈취액’이 같은 개념인지는 바이낸스 발표 인용만으로는 알 수 없다는 것이 이 글의 해석이다.
동결과 보충도 따로 봐야 한다. 세계비즈는 동결 자산 약 30억달러가 전체 유출 규모의 절반에 못 미친다고 썼다(세계비즈). 뉴스웨이는 바이낸스가 탈취 자산의 약 95%를 보충하고 출금을 단계적으로 재개했으며, 초기 약 9시간30분 동안 약 36억4000만달러가 순유출됐다고 보도했다(뉴스웨이). 두 수치는 서로 다른 항목이어서 더하거나 빼서 회수율을 새로 계산하지 않는다.
비즈한국의 10월 30일 보도와 세계비즈의 10월 31일 보도에서는 바이낸스 침입 경로가 확정되지 않은 상태였다. 비즈한국이 전한 바이낸스 초기 조사는 엔지니어 노트북 해킹을 통해 공격자가 접근한 것으로 보인다며 “블록체인 지갑의 개인키가 유출된 증거는 찾지 못했다”고 밝혔다. 세계비즈는 블록체인 분석업체 TRM랩스와 체이널리시스가 북한 연계 조직의 소행일 가능성에 무게를 뒀다고 전했다(세계비즈). 분석업체의 판단이며 확정된 결론은 아니다.
당국 대응은 어디까지 왔나: 열린 회의, 밝힌 방침, 남은 일정
당국 조치에는 이미 열린 회의, 발표된 방침, 아직 열리지 않은 회의가 섞여 있다. 주체도 금융위원회와 금융감독원으로 나뉜다. 순서대로 정리하면 다음과 같다.
- 4일 전 금융권 긴급 점검회의(개최). 머니투데이 10월 4일 보도에 따르면 금융위원회는 이억원 위원장 주재로 회의를 열었고, 가상자산 업계에서는 디지털자산거래소 공동협의체(DAXA·닥사) 관계자가 참석했다. 당국은 가상자산 업계에도 보안 취약점과 이상 징후 여부를 확인하고 조치하라고 주문한 것으로 전해졌다(머니투데이).
- 28일 긴급 점검 회의(개최). 비즈한국은 유영준 금융위원회 디지털금융정책관이 금감원·금융보안원·닥사·빗썸과 긴급 점검 회의를 열었다고 전했다. 뉴시안은 당국이 28일 긴급점검 회의에서 전자금융거래법이 적용되지 않는 업권에도 주요 금융회사 수준의 보안조치를 적용하겠다는 방침을 밝혔다고 보도했다(뉴시안).
- 거래소 사업자 긴급 소집(개최). 뉴스웨이 3일 보도에 따르면 금융위는 ‘전날 오전’ 국내 거래소 사업자들을 불러 콜드월렛 보관 비중 확대, 입·출고 상시 모니터링, 추가 보안 대응인력 확보를 주문하고 준비금 추가 적립 등을 당부했다(뉴스웨이).
- 5일 전수 점검 방침(발표). 연합뉴스에 따르면 금융위원회는 5일 가상자산사업자와 전자금융업자를 포함한 전 금융권을 대상으로 외부 접점과 보안 관리 전반의 내부통제 운영 실태를 전수 점검하겠다고 밝혔다(연합뉴스).
- 19일 CISO 대응회의(예정). 금감원이 여는 회의로, 참석 대상은 국내 모든 가상자산사업자의 정보보호 최고책임자다.
두 번째 항목의 ‘은행 수준’이라는 말은 비즈한국이 전한 금융위 표현에서 나온다. 금융위는 “가상자산업권 등 전자금융거래법을 적용받지 않는 업권에 대해서도 은행과 같은 금융사 수준으로 보안 조치를 강화할 것”이라고 밝혔다(비즈한국). 이것이 법 개정인지 다른 방식인지는 두 보도에 나오지 않는다.
금융권 전체의 점검 결과도 참고가 된다. 뉴시안에 따르면 당국이 금융회사 555곳을 대상으로 12개 항목의 보안 체크리스트를 점검한 결과 23.4%인 130곳에서 일부 미흡사항이 발견됐다(뉴시안). 최신 보안패치 미적용, 기술지원이 끝난 노후 전산시스템 관리 미흡, 24시간 보안관제체계 미구축 등이 지적됐다. 이 555곳에 가상자산사업자가 몇 곳 들어 있는지는 뉴시안 보도에 나오지 않는다.
앞선 회의 보도에는 참석자가 협회·닥사·거래소 사업자 등의 단위로 적혔다. 19일 회의는 커스터디 업체까지 포함한 모든 가상자산사업자의 CISO를 대상으로 명시했다는 점이 다르다는 것이 이 글의 해석이다. 금융권 전체 흐름은 금융권 해킹 대응 가동…2만8천 기업에 보안점검 권고와 함께 읽을 만하다.
콜드월렛 비율 80%가 말해 주는 것과 말해 주지 않는 것
연합뉴스 표현을 빌리면 콜드월렛은 인터넷과 분리된 지갑, 핫월렛은 인터넷과 연결된 지갑이다(연합뉴스). 프라뱅의 자산 탈취는 핫월렛에서 일어났고, 고팍스는 보유자산 전량을 콜드월렛으로 옮기는 중이다.
뉴스웨이는 금융당국이 주문한 콜드월렛 보관 비율이 기준치인 80%보다 높아질 것으로 전망했다. 민병덕 더불어민주당 의원이 금감원에서 받은 자료로, 보도 시점 기준 ‘올해 9월 말’ 비율은 업비트 99.17%, 빗썸 94.76%, 코인원 85.00%, 디지털엑스 82.79%, 고팍스 80.54%였다(뉴스웨이).
다섯 곳 모두 80%를 웃돌았다. 다만 이 수치는 자산을 어디에 보관하는지를 보여 주는 지표여서, 이번 사고들의 원인을 설명하는 자료로 읽지는 않는 것이 이 글의 판단이다. 빗썸 사례는 거래소 지갑이 아니라 사내 그룹웨어를 통한 유출이었다.
경인방송은 최근 침해 사례들이 그룹웨어, 외부 연계 솔루션, 웹 애플리케이션 등 상대적으로 방어가 취약한 외곽 시스템을 우회 공격 경로로 삼는 것이 특징이라고 짚었다(경인방송). 세계비즈는 업계에서 개인키 보호만으로 대형 해킹을 막기 어렵다는 지적이 나온다고 전했다(세계비즈).
보관 체계를 두고는 뉴스웨이 보도에 서로 다른 목소리가 함께 실렸다(뉴스웨이).
- 거래·보관 분리론: 한 커스터디 업체 관계자는 “거래와 보관을 분리하고 보관부터 이동·승인까지 전 과정을 관리하는 체계가 정착돼야 한다”고 말했다.
- 외부 위탁 위험: 위탁업체 인프라나 승인 절차가 공격받을 수 있다는 반론이 있다. 2024년 7월 인도 거래소 와지르엑스에서 외부 지갑 인프라 업체 리미널의 서비스를 이용하던 다중서명 지갑에서 약 2억3500만달러가 탈취됐다.
- 다중 승인의 한계: 한 보안업계 관계자는 “여러 사람이 승인하더라도 실제 거래 내용과 목적지를 확인하지 못하면 다중 승인 체계 역시 무력화될 수 있다”고 조언했다.
- 비용 부담: 한 거래소 업계 관계자는 “돈을 벌지 못하는 사업자가 고비용을 지속적으로 감내하기는 어렵다”고 했다.
- 쏠림 관측: 해킹이 잦아질수록 자금력이 큰 중앙화 거래소로 자산이 집중될 수 있다는 관측도 나온다.
이 논쟁은 이해관계자마다 다르게 읽힌다는 것이 이 글의 해석이다. 대형 거래소에는 손실 보전 능력을 보여 줄 기회가, 수익성이 낮은 중소형 사업자에게는 비용 부담이, 이용자에게는 거래소를 고르는 기준의 변화가 걸려 있다.
이용자라면 지금 무엇을 확인하면 되나
- 이용 중인 거래소의 공지를 직접 연다. 고팍스는 이달 6일 입·출금과 매매를 중단했다고 연합뉴스가, 프라뱅은 10월 26일부터 서비스를 잠정 중단했다고 비즈한국이 전했다. 지금 재개됐는지는 각 거래소 공지로 확인해야 한다.
- 유출 항목을 확인한다. 비즈한국이 전한 빗썸 유출 항목은 이름, 전화번호, 이메일 주소, 주민등록번호, 운전면허번호, 계좌번호, 신분증 사본 등이다(비즈한국). 고객별로 어느 항목이 빠져나갔는지는 이 보도에 나오지 않는다.
- 사칭 연락을 경계한다. 경인방송이 인용한 보안업계 관계자는 유출된 이름·계좌번호·연락처·고유식별정보가 조합되면 “금융사 임직원 사칭 피싱이나 스미싱 등 심각한 2차 피해로 이어질 수 있다”고 말했다(경인방송).
- 보상 약속의 단계를 구분한다. 바이낸스는 이용자 자산 보호 기금(SAFU)과 회사 자금으로 모든 손실을 보상하겠다고 밝혔다. 금융당국은 2차 피해가 생기면 전액 배상 등 소비자 보호 조치가 이뤄지도록 유출 업체를 관리·감독하겠다는 계획을 밝혔다(비즈한국). 프라뱅 보전과 당국의 관리·감독은 보도 시점에 예정·계획 단계였다.
- 19일 이후 당국 발표를 본다. 회의 결과가 공개될지, 어떤 조치로 이어질지는 아직 알려지지 않았다.
아직 확인되지 않은 것
- 19일 회의의 결론. 연합뉴스는 실태 점검과 예방·대응 방안이 논의될 것으로 ‘전해졌다’고만 썼다.
- 고팍스 협박 메일의 실체. 발신자와 요구 내용, 입·출금과 매매의 재개 시점이 보도에 나오지 않는다.
- 고팍스 추가 유출 규모. 연합뉴스와 비즈한국 모두 추가 유출이 있었다고 적었지만 인원은 적지 않았다.
- 프라뱅 보전의 이행. 비즈한국 보도 시점에는 ‘예정’이었다.
- 빗썸 844명의 의미. 매체마다 같은 집단을 가리키는지 단정할 수 없다.
- 공격 주체. 뉴시안은 금융권 침해사고와 관련해 “공격 주체가 동일한지는 확인되지 않았다”고 전했다(뉴시안).
- 바이낸스 침입 경로. 세계비즈는 10월 31일 보도에서 “침입 경로는 아직 확인되지 않았다”고 썼다(세계비즈).
- 5일 전수 점검의 세부. 기간과 방법, ‘은행 수준’ 보안의 적용 방식은 보도에 나오지 않는다.
