지난 2월 빗썸의 비트코인 오지급 사고 이후 국내 가상자산 거래소들이 내부통제 체계를 강화한 것으로 나타났다. 업비트가 2022년부터 운영해 온 '5분 단위 자동 잔고대사 시스템'을 나머지 주요 거래소 3곳도 사고 이후 도입하면서, 장부상 잔고와 실제 보유량을 실시간에 가깝게 점검하는 체계를 갖췄다. 거래소들은 다중 승인과 지급용 계정 분리 등을 통해 보상 지급 과정의 오류를 방지하고 있다고 설명했다.

사고 이후에도 이벤트·에어드롭 등 이용자에 대한 가상자산 지급은 이어지고 있다. 업비트는 올해 2월부터 9월 중순까지 약 83억원어치의 코인을 이벤트·에어드롭·보상 등으로 지급한 것으로 집계됐다.

지급용 계정 분리하고 다중 승인 거쳐…보유량 초과 지급 차단
8일 송언석 국민의힘 의원실이 각 가상자산 거래소(업비트·코인원·디지털엑스·고팍스)로부터 제출받은 자료에 따르면 거래소들은 빗썸 비트코인 오지급 사고 이후 5분 잔고대사 시스템·다중 승인 체계·보상 지급용 계정 분리 등 내부 통제 시스템을 모두 재정비한 것으로 파악됐다.

앞서 금융당국은 지난 2월 빗썸의 비트코인 오지급 사고 직후 거래소들을 긴급 점검하면서 수작업이 필요한 이벤트 보상 등 '고위험거래'의 통제 장치가 부족하다고 지적했다.

빗썸 오지급 사고란 빗썸이 지난 2월 6일 이벤트 보상금 지급 과정에서 '원' 대신 '비트코인' 단위를 입력해 62만 원어치 비트코인 대신 62만개의 비트코인을 잘못 지급한 사고를 말한다. 실제로 존재하지 않는 장부 상 비트코인이 지급돼 큰 파장을 일으켰으며, 부실한 보상 지급 절차도 도마 위에 올랐다.

당시 빗썸 외 다른 거래소들도 사전 지급 계획과 실제 지급 내용을 자동으로 검증하는 시스템이 미비했고, 다중 승인 체계도 충분히 갖추지 못했다는 지적을 받았다. 하지만 현재는 관련 시스템을 모두 정비한 것으로 파악됐다.

업비트는 수작업 이벤트 지급 시 2인 이상의 승인을 거치며, 이 절차는 당국의 제도 개선 요청 이전부터 운영해 왔다고 밝혔다. 특히 보상 지급 업무의 핵심 기능을 3개 팀으로 나눠 수행·검증하며, 지급 예정 수량을 미리 확보해 전용 계정에 반영한 뒤 해당 계정의 보유량 안에서만 지급하는 방식을 유지하고 있다.

코인원도 사전 승인된 수량을 업무용 계정으로 옮긴 뒤 그 범위에서 이용자에게 지급한다고 답했다. 시스템 상 '지급 요청'과 '지급 승인'을 분리하고, 승인이 완료된 뒤 지급하도록 운영하고 있다.

디지털엑스는 수작업 지급에 2인 이상 승인 절차를 적용하며 실제 보유량을 초과하는 지급은 시스템 상 차단한다고 밝혔다. 고팍스는 보상 지급 시 상위 직책자와 최상위 직책자의 검토·승인을 거치고, 실제 보유량을 넘는 지급은 실패 처리하도록 구현했다고 설명했다.

사고 당사자인 빗썸은 이번 의원실 자료 제출 요구에 응하지 않았다.

잔고대사 주기는 모두 5분…빗썸 사고 이후 모두 자동화
빗썸 오지급 사고가 실제 보유하지 않은 장부 상 비트코인이 잘못 지급된 사고였던 만큼, 장부 상 수량과 실제 보유량을 시시각각 비교·대조하는 게 중요하기 때문이다.

우선 업비트는 이미 2022년 11월 5분 단위 자동대사 시스템을 구축했다.

이외 거래소들은 빗썸 오지급 사고 이후에 해당 시스템을 구축한 것으로 나타났다. 디지털엑스는 올해 3월 9일, 코인원은 6월 1일 구축을 완료했다고 답했다. 고팍스는 8월 26일부터 5분 단위 자동대사 시스템을 구동했다.

불일치가 발견될 경우 대응하는 방식에는 차이가 있었다.

업비트는 자동 탐지·경보 후 담당 부서가 입출금 진행 상황과 네트워크 상태를 확인하고, 이상 징후에 따라 입출금 중단과 거래 중단 검토 등 단계적 조치를 취한다고 설명했다. 단, 정상적인 입출금 처리 과정에서도 일시적 차이가 발생할 수 있어 불일치만으로 거래·출금을 자동 중단하지는 않는다고 밝혔다.

코인원은 불일치 감지 시 담당자에게 실시간 알림을 보내고 원인을 파악한 뒤 거래·출금 관련 조치를 진행한다고 답했다. 또 디지털엑스는 대규모 불일치 등을 인지하면 해당 종목의 거래를 차단한다고 설명했다.
에어드롭 이벤트는 지속…업비트 83억·코인원 28억원치 지급

수작업을 거치는 에어드롭(코인 무상 지급) 이벤트는 오지급 사고 이후에도 꾸준히 이어지고 있다.

업비트가 올해 2월 1일부터 9월 17일까지 이벤트·에어드롭·보상 등으로 이용자에 코인을 지급한 건수는 총 49건이다. 규모는 총 82억 7920만 원어치다.

코인원은 이벤트를 더 자주 열었다. 2월부터 8월 말까지 이벤트, 에어드롭 등으로 코인을 수작업 지급한 건수는 150건이다. 다만 지급 규모는27억 6520만 원으로 업비트에 비해 적었다.

디지털엑스(구 코빗)는 같은 기간 수작업 지급 104건, 3억 221만 원을 보고했다. 또 고팍스는 23건이었으며, 총 13억 2047만 원어치 코인을 지급했다.

자료를 제출하지 않은 빗썸도 에어드롭 이벤트는 이어가고 있다. 빗썸은 지난달 28일 2억 1000만원 상당의 쿼크에이아이(Q), 이달 2일 2억 6000만원 상당의 탈루스(US), 이달 6일 1억 3000만원 상당의 베드록(BR) 에어드롭 이벤트를 여는 등 최근 열흘 동안에만 세 건의 에어드롭 이벤트를 공지했다.

hyun1@news1.kr