금융권에서 잇따라 발생한 침해사고에 가상자산 거래소 고팍스 운영사 스트리미와 코인마켓 거래소 프라뱅이 포함됐다. 가상자산사업자(VASP) 갱신신고 수리 지연으로 경영 정상화가 지연된 원화거래소와 소규모 코인마켓 사업자에서 사고가 확인되며 가상자산 업계의 '약한 고리'가 공격자들의 표적이 됐다는 지적이 나온다.

금융위원회는 14일 '제2차 긴급 상황 대응 회의'를 열고 신한은행 침해사고 전후로 총 16개 사에서 사고 발생을 확인했다고 밝혔다. 가상자산사업자(VASP)는 스트리미와 프라뱅이 명단에 포함됐다.

당국은 침해경로와 공격방식을 조사하고 있다. 동일한 공격 주체가 관여했는지, 인공지능(AI)을 활용했는지도 확인하고 있다. 금융위가 공개한 정보 유출 규모 약 10만 건은 16개 사 전체 수치다. 두 가상자산사업자의 개별 유출 규모는 공개되지 않았다.

두 거래소는 경영 정상화와 거래량 확보라는 과제를 안고 있다. 먼저 고팍스는 세계 최대 가상자산 거래소 바이낸스가 인수했지만, 사업자 갱신 신고 심사가 길어지며 경영 정상화에 어려움을 겪고 있다.

바이낸스는 지난 2023년 2월 고팍스의 지분을 인수했다. 이후 임원 변경 신고 수리가 지연되다가 지난해 10월 금융정보분석원(FIU)이 신고를 수리했다. 지분 인수 이후 약 2년 8개월 만에 인수 관련 절차가 마무리된 셈이다.

그러나 임원 변경신고와 사업자 갱신 신고는 별개다. 고팍스는 현재 5대 원화거래소 중 빗썸과 함께 갱신 신고 수리를 받지 못한 상태다.

갱신 신고는 가상자산사업자가 신고 유효기간 이후에도 영업을 이어가기 위해 거치는 절차다. 업계에서 갱신 신고 지연이 장기적인 사업 로드맵에 차질을 줄 수 있다는 이야기가 나오는 배경이다.

특정금융정보법에 따른 신고 유효기간은 수리일로부터 3년이다. 사업자는 유효기간이 끝나기 45일 전까지 FIU에 갱신 신고를 해야 한다. 고팍스는 갱신 절차를 마친 뒤 바이낸스 시스템과의 통합 등 후속 작업을 추진해야 하는 상황이다.

가상자산 예치 서비스 '고파이'의 미상환 문제도 남아 있다. 고파이는 가상자산을 예치하면 이자를 지급하는 서비스다. 지난 2022년 글로벌 거래소 FTX 파산 여파로 상환이 중단되며 이용자에게 예치금을 돌려주지 못했다. 바이낸스 인수 이후에도 예치금 상환과 사업자 갱신 등 해결해야 할 과제가 남은 것이다.

프라뱅은 고팍스와 달리 지난해 1월 가상자산사업자 갱신 신고 수리 첫 사례로 이름을 올렸다. 다만 원화로 가상자산을 사고파는 원화마켓과는 사업 구조가 다른 코인마켓 거래소다.

원화마켓은 은행의 실명확인 입출금계정을 통해 원화를 입금하고 가상자산을 매매할 수 있다. 반면 코인마켓은 원화 거래를 지원하지 않고 가상자산끼리 교환한다. 주요 수익원인 거래 수수료도 원화가 아닌 가상자산으로 받아 원화 거래소에 비해 사업 규모가 작다.

프라뱅은 갱신신고 수리 당시 영업을 일시 중단한 상태였다. 당시 회사 측은 가상자산 이용자보호법에 맞춰 이상거래 탐지 시스템을 구축하느라 2024년에는 영업하지 않았다고 설명했다. FIU는 현장검사 없이 서류 심사로 갱신 신고를 수리했다.

이번에는 갱신 신고가 지연된 사업자뿐 아니라 심사를 통과한 사업자 중에서도 침해사고가 확인됐다. 신고 수리 여부와 별개로 실제 운영 과정에서 외부 접근을 통제하고 취약점을 지속 관리해야 한다는 지적이다.

금융위는 금융권 보안 체계와 관리시스템 전수점검을 추진할 계획이다. 외부와 연결되는 전산 접점을 목록화하고 인증·접근통제 권한을 엄격히 관리하도록 할 방침이다. 최고경영자(CEO)와 정보보호최고책임자(CISO) 등의 책임 범위도 명확히 한다.

중소형 금융회사 등에 대한 보안 지원도 검토한다. 금융보안원이 업권 협회·중앙회와 함께 AI 기반 공동 보안관제 시스템 구축을 검토하고, 외부에 노출된 시스템을 공격자 관점에서 점검하는 방안 등을 추진한다.

신진창 금융위 사무처장은 "수차례에 걸쳐 전수점검과 관리 강화를 주문했음에도, 금융회사에서 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분"이라고 지적했다.

한 가상자산 업계 관계자는 "사업 규모가 작거나 경영 정상화가 지연되더라도 보안 관리는 매우 중요한 사안"이라며 "개별 사업자가 충분한 대응 역량을 갖추기 어렵다면 정보 공유와 공동 보안관제 등의 지원도 필요하다"고 말했다.

chsn12@news1.kr