가상자산거래소도 금융사 수준 보안 의무화…해킹 의심 땐 입출금 즉시 차단

금융위, '가상자산업권 보안 대책회의' 열고 비상 대응 가이드라인 마련
상시 감시 체계 미비 시 입출금 시간 제한...중소 거래소 금보원 가입 추진

가상자산사업자에게도 금융사 수준의 보안 의무가 부여된다. 사진은 빗썸라운지 모습. 연합뉴스

가상자산사업자에게 기존 금융사 수준의 정보기술(IT) 안전성 확보 의무가 부여되고, 해킹 사고가 의심되는 단계에서도 거래소가 선제적으로 입출금을 차단할 수 있는 길이 열린다.

금융위원회는 12일 신진창 부위원장 주재로 '가상자산업권 보안 대책회의'를 열고 가상자산사업자의 침해사고 현황과 보안 강화 조치사항을 논의했다.

회의에는 금융감독원, 금융보안원, 디지털자산거래소 공동협의체(DAXA)를 비롯해 두나무·빗썸·코인원·디지털엑스·스트리미 등 원화마켓 거래소 5곳과 한국디지털거래소·포블게이트·해피블록·가디언홀딩스 등 코인마켓 거래소 4곳, 한국디지털에셋(KODA)·한국디지털자산수탁(KDAC) 등 보관업자 2곳이 참석했다.

신진창 금융위 부위원장은 회의에서 가상자산업계의 잇따른 정보유출과 침해사고 현황을 지적하며 "일부 사업자들의 보안에 대한 인식은 가상자산시장의 성장과 업계에 대한 기대와 달리 제도화 이전에 머물러 있다"고 말했다.

이어 "가상자산사업자는 이용자의 자산을 수탁해 보관하고 관리한다는 점에서 전통적인 금융회사와 동일한 수준의 보안체계가 필요하다"고 촉구했다.

금융당국은 현재 준비 중인 '디지털자산법(안)'에 디지털자산업자(현 가상자산사업자)가 금융사에 준하는 IT 안전성 확보 의무와 손해배상 책임을 갖추도록 하는 내용을 담을 예정이다.

다만 법 제정에 시간이 걸리는 만큼, 입법 이전에 현 단계에서 즉시 이행할 수 있는 '가상자산사업자 보안사고 비상 대응 가이드라인'을 먼저 시행하기로 했다.

가이드라인에 따라 가상자산사업자는 24시간 거래가 이뤄지는 시장 특성에 맞춰 담당 인력을 상시 배치하고 비정상적인 대규모 거래 등 사고 발생이 의심될 때 즉각 통제 조치를 시행해야 한다.

상시 모니터링과 대응 체계를 운영하기 어려운 사업자는 해당 체계가 정상 작동하는 시간에만 입출금을 처리해야 하며, 이를 이용자에게 사전 안내하고 인력을 배치해 입출금 요청에 적시 대응해야 한다.

이용자 자산 보호를 위한 콜드월렛(인터넷과 분리해 보관하는 가상자산 지갑) 관리 기준과 보상 재원도 강화된다. 현재 가상자산업감독규정상 사업자의 콜드월렛 의무 보관 비중은 80%이며 전체 사업자의 실제 보관 비중은 95% 이상을 기록하고 있다.

당국은 여기에 더해 온라인에 연결된 핫월렛 보관 물량을 거래 지원에 필요한 최소 수량으로 유지하고, 복수의 핫월렛에 분산 보관하는 방안을 제시했다. 해킹 피해 발생 시 원활한 보상이 이뤄지도록 보험 보상한도와 준비금 적립액도 확충하도록 했다.

또한 전자금융거래법상 금융사에 적용되는 기준에 맞춰 정보기술·정보보호 인력과 시설 확충, 기술적·관리적·물리적 안전성 기준 마련, 정보처리시스템 및 정보통신망 취약점 분석·평가 및 보완 조치를 수행하도록 했다.

침해사고가 발생하거나 외부의 비정상적 접근 시도 등 침해 가능성이 발견되면 금융당국에 즉시 알리는 사고 보고체계도 구축한다.

특히 해킹 사고 확산을 막기 위한 선제적 입출금 차단 조치도 허용된다. 현행 가상자산이용자보호법은 정당한 사유 없는 입출금 차단을 금지하고 해킹 사고 발생이 명백한 경우에만 차단을 허용하고 있어, 이상거래 등 해킹 의심 단계에서 선제적 차단이 가능한지 불명확하다는 업계의 지적이 있었다.

금융당국은 바이낸스 해킹 사례 등에서 확인되듯 신속한 차단 조치가 피해 최소화에 결정적인 점을 고려해, 일정 조건 아래 해킹이나 침해사고가 의심되는 경우 선제적으로 입출금을 차단할 수 있도록 '비조치 의견서'를 발급하기로 했다.

중소 가상자산사업자의 보안 역량을 끌어올리기 위한 금보원 사원 가입 확대와 보안 점검 지원도 추진된다.

현재 기준, 전체 28개 가상자산사업자 가운데 금보원 사원 가입을 마친 곳은 이용자 규모와 회비 부담 등의 이유로 5개 원화마켓 거래소에 그치고 있다.

당국은 나머지 사업자들도 이용 규모 등을 고려해 추가 가입을 추진하고 침해 위협 정보 공유, 보안 취약점 점검, 금융보안 전문교육 등을 제공할 방침이다. 사원 가입이 어려운 사업자에게는 중소금융사 수준으로 취약요인 탐색과 경보체계, 보안조치 등을 지원한다.

한편, 특정금융정보법상 정보보호관리체계(ISMS) 인증 외에 전자금융거래법상 취약점 분석·평가 대상에서 제외돼 있던 가상자산사업자의 외부 점검 공백을 메우기 위해, 올해 말까지 '가상자산거래소 특화 보안 점검 기준'을 개선해 배포할 계획이다.

클라우드 위주 운영과 핫월렛 탈취 위협 등 기존 금융회사와 다른 업무 환경을 반영해 거래 검증 강화, 월렛 접근 통제, 가상자산 컴플라이언스, 블록체인, 스마트 컨트랙트 분야 등을 점검 기준에 별도로 마련한다.

금보원은 사원기관을 대상으로 직접 보안 점검을 수행하고, 직접 점검이 어려운 사업자는 특화 기준을 활용해 자체 점검하거나 정보보호전문업체를 통해 점검을 진행하게 된다.