암호화폐 번번이 뚫리는데 정부는 여전히 '나 몰라라'

지난 20일 서울 중구의 가상화폐 거래소 빗썸 지점 앞에서 한 시민이 거래 현황판 앞을 지나고 있다. 국내 최대 가상화폐(암호화폐) 거래소인 빗썸은 리플을 비롯해 자사가 보유한 가상화폐 350억원어치를 도난당했다고 밝혔다. [연합뉴스]

'은행 수준의 보안'을 갖췄다고 자신해온 국내 최대 규모의 암호화폐(가상화폐) 거래소 빗썸마저 해커들의 공격에 무릎을 꿇었다. 국내에서만 벌써 다섯번째다. 

국내 거래소들이 속수무책으로 당하면서 피해액도 1000억원을 훌쩍 넘어섰다. 하지만 정부는 금융업이 아니라는 이유를 앞세워 여전히 '모르쇠'로 일관하고 있다.

21일 관련업계에 따르면 빗썸은 지난 20일 해커들의 공격으로 총 350억원에 달하는 암호화폐를 탈취당했다고 한국인터넷진흥원에 신고했다. 하지만 진흥원은 아직까지 그 원인을 밝혀내지 못하고 있다.

사실 거래소 해킹은 어제 오늘의 일이 아니다. 지난해 4월 야피존이 50억원의 피해를 입은 뒤 같은해 9월 코인이즈가 21억원, 12월 유빗(옛 야피존)이 170억원 상당의 암호화폐를 탈취당했다. 지난 10일에도 코인레일이 400억원어치의 피해를 봤다.

관련기사

• 350억원 도난당한 빗썸, 해킹 시점 '늑장 공지' 의혹
• 열흘 만에 또…빗썸, 350억원 규모 해킹 당해

이처럼 하루에 수천억원이 오가는 암호화폐 시장에서 사건·사고가 끊이지 않고 있지만 정부는 여전히 '방관자' 입장에서 사태를 지켜만 보고 있다. 최종구 금융위원장도 지난 5월 "비트코인을 금융자산으로 인정할 계획이 없다"고 다시 한번 못박았다. 정부가 암호화폐를 자산으로 인정하는 순간 모든 책임을 떠안을 수 있다는 부담감 때문이다.

하지만 전문가들은 정부가 더 이상 모호한 태도를 유지하면 안된다고 강조했다. 유빗과 코인레일, 이번 빗썸 해킹 모두를 막을 수 있었던 '인재'(人災)로 보고 있기 때문이다.

올 1월부터 업계 차원의 자율규제가 이뤄지고 있지만 고객자산-거래사이트자산 분리보관 및 보유자산 70% 콜드월렛(인터넷이 연결되지 않은 서버) 의무보관 등을 준수하는지 여부를 확인할 길이 없다. 빗썸·업비트·코인원·코빗 등 대형거래소 4곳은 정부차원의 보안인증인 ISMS(정보보호관리체계) 인증획득 의무기업이지만 여전히 버티고 있다.

정보기술(IT)업계 관계자는 "가상화폐 거래소들은 전자상거래법과 정보통신망법을 적용받는다"면서 "이는 전자금융감독규정을 적용받는 금융권보다 요구받는 보안수준이 느슨할 수밖에 없다"고 지적했다. 결국 이들 거래소가 '전자금융감독규정'을 적용받았다면 피해를 예방할 수 있었다는 이야기다.

전자금융감독규정을 보면 정보기술 부문 인력은 총 임직원수의 100분의5 이상, 정보보호인력은 정보기술부문 인력의 100분의5 이상을 충족해야 한다. 정보보호예산도 정보기술부문 예산의 100분의7 이상 확보할 것을 권고하고 있다. 특히 정보보호를 위한 물리적 망분리도 필수사항 중 하나다.

실제로 은행들은 2014년부터 물리적 망분리를 시작해 2015년말 완료했고, 카드와 보험 등 제2금융권은 2016년말에 작업을 끝냈다. 망분리를 하는 이유는 외부 침입을 막기 위해서다. 외부용 시스템은 인터넷에 연결돼 있지만 내부 업무용 시스템은 이를 차단, 해커들의 침입으로부터 내부 전산시스템을 보호한다.

IT업계 관계자는 "대형 거래소들의 경우 해킹 예방을 위해 많은 예산을 투입하고 있지만 금융권 수준에 미치지 못한다"면서 "영세한 업체들은 보안강화를 위해 투자할 만한 자금 여유가 없어 정부의 조치가 없을 경우 같은 사건은 반복해서 일어날 것"이라고 지적했다.