서울 강남구 업비트 본사 앞. 서울신문 DB


사고 전과 비슷한 콜드월렛 비중핫월렛·개인키 관리 대책은 공백책임·배상 규정 부재로 불안 지속
국내 1위 가상자산(암호화폐) 거래소 업비트가 445억원 규모의 해킹 사고 이후 내놓은 재발 방지책을 두고 실효성 논란이 일고 있다. 핵심 대책으로 내세운 ‘가상자산 콜드월렛 99% 보관’이 사고 이전에도 이미 유지되던 수준이어서다. 특히 정작 해킹이 발생한 ‘핫월렛’에 대한 구체적 대응책은 빠져 있다는 지적도 나온다. 콜드월렛은 온라인과 연결되지 않아 안전한 가상자산 금고이고, 핫월렛은 언 알라딘게임 제든 편하게 거래하기 위해 온라인에 연결한 가상지산 지갑을 뜻한다.
21일 서울신문이 이헌승 국민의힘 의원실을 통해 금융감독원에서 확보한 ‘5대 가상자산 거래소 콜드·핫월렛 보관 비율 및 금액’ 자료에 따르면 업비트는 올해 9월과 사고가 발생한 지난달 콜드월렛 비중을 99%로 끌어올렸다. 콜드월렛 비중을 80% 이상 유지하도록 한 ‘가상자 바다이야기무료머니 산이용자보호법’이 시행된 지난해 7월 이후 98% 수준을 유지해 왔다.
다른 거래소들과 비교해도 업비트의 보관 비율은 이미 최상위권이다. 같은 기간 콜드월렛 비중은 빗썸(88~95%), 코인원(82~84%), 코빗(83~85%), 고팍스(81~83%) 수준이었다. 가상자산 업계에 정통한 한 관계자는 “온라인에 연결된 자산을 줄여 안전성을 손오공릴게임예시 강화하겠다는 업비트의 의도는 알겠지만 콜드월렛 비중을 늘리고 핫월렛 비중을 지나치게 낮추면 단기간에 출금 수요가 몰릴 경우 대응 속도가 떨어질 수도 있다”고 말했다.



사고가 직접적으로 발생한 핫월렛 해킹 대책이 부실하다는 우려도 나온다. 사고의 본질은 자산 접근 권한을 좌우하는 릴게임바다신2 ‘개인키’ 관리 구조에 있는데 누가, 어떤 절차로 접근 권한을 갖는지에 대한 설명이 빠져 있다는 지적이다. 이헌승 의원실이 5대 거래소에 개인키 관리 체계를 질의한 결과 고팍스를 제외한 4개 거래소는 개인키 접근 인원 규모, 권한 분리 여부, 다중 승인 적용 여부, 이상 접근 탐지 방식 등에 대해 “보안상 이유로 공개할 수 없다”고 답했다.
바다이야기무료머니 이와 관련해 업비트 관계자는 업비트 관계자는 “개인키 관리 등 구체적인 보안 대책을 공개할 경우 오히려 공격 설계의 단서가 될 수 있어 세부 사항을 밝히 어렵다”며 “어떤 보안 체계도 100% 완벽할 수 없다는 전제 아래, 만일의 상황에서도 피해 확산을 최소화하기 위해 콜드월렛 중심의 자산 운용 구조를 선택했다”고 설명했다. 이어 “이용자의 입·출금 편의성과 실시간 거래 안정성을 유지해야 하는 거래소 운영 측면에서 상당한 시스템 설계와 운영 리소스를 감수해야 하는 결정”이라며 “앞으로 핫월렛 비율을 더 낮춰서 상시적으로 0%대를 유지한다는 데 의미가 있다”고 밝혔다.



비트코인 모형이 놓인 바닥에 코인 시세 그래프가 비치는 모습. 연합뉴스


다만 제도적 공백은 여전히 불안을 키우는 요인이다. 가상자산 거래소는 전자금융거래법 적용 대상이 아니어서 해킹 사고와 관련한 직접적인 제재나 무과실 책임을 묻기 어렵다. 금융당국도 현행 가상자산이용자보호법을 근거로 위반 여부를 들여다보는 수준에 머물러 있다. 이 법은 콜드월렛 보관 비율 등 최소한의 자산 보호 기준을 담고 있지만, 해킹 사고 발생 시 사업자의 책임 범위와 배상 방식까지 포괄적으로 규정하진 않았다.
황석진 동국대 국제정보보호대학원 교수는 “콜드월렛 비중을 높이는 것만으로는 내부자 위험이나 개인키 통제 문제를 해결할 수 없다”며 “핵심은 개인키 접근 권한 관리와 내부 통제, 다중 승인 같은 구조적 통제 체계 마련”이라고 말했다. 이어 “사고가 반복될 경우를 대비해 책임 주체와 피해 보상 원칙을 명확히 하는 제도 정비가 필요하다”고 지적했다.
김예슬 기자