금융보안원이 마련한 가상자산 거래소 특화 평가기준에 따른 종합 보안점검을 받은 사업자가 한 곳도 없는 것으로 확인됐다. 사업자들이 신청하지 않아 점검이 실시되지 않은 것이다.

가상자산 거래소에서 개인정보 유출에 이어 고객자산 탈취까지 발생하면서, 거래소들이 전문 점검 수단을 적극 활용해 시스템 전반의 취약점을 진단하고 보완할 필요가 있다는 지적이 나온다.

해킹 예방 위해 월렛 등 특화 기준 신설…점검 신청한 가상자산사업자 없어
20일 금융권에 따르면 금융보안원이 지난해 말 신설한 '가상자산 거래소 취약점 분석·평가 기준'으로 종합점검을 받은 가상자산사업자는 지난 19일 기준 0곳으로 파악됐다.

취약점 분석·평가는 전산시스템과 운영환경에 잠재된 보안 위협을 찾아 개선하는 사전 예방 활동이다. 특히 '종합점검'은 공개용 홈페이지뿐 아니라 서버와 네트워크 점검, 애플리케이션(앱) 등 여러 분야의 취약점 분석·평가와 모의해킹을 아우른다.

금융보안원은 지난해 12월 '2026년도 취약점 분석·평가 기준' 개정을 발표하면서 가상자산 거래소 대상 평가 기준을 신설했다. 기존 전자금융기반시설을 운영하는 금융회사와 업무환경이 달라 거래소 특성을 반영한 기준이 필요하다는 판단이다. 최근 논란이 되는 AI 해킹도 기존 시스템의 취약점을 활용한다는 점에서 분석·평가의 범위에 포함된다.

신설 분야는 △가상자산 컴플라이언스 △블록체인 △월렛 △스마트 콘트랙트다. 클라우드 중심의 운영환경과 핫월렛 탈취 등의 보안 위협을 고려해 평가한다. 자금세탁방지(AML)와 내부통제를 비롯해 노드 운영 보안, 콜드·핫월렛 분리, HSM 사용, 코드 감사 등을 종합적으로 들여다본다.

당시 박상원 금융보안원장은 "해킹 취약 요소를 사전에 점검하고 금융소비자가 안전하게 서비스를 이용하는 신뢰 기반을 강화할 수 있을 것"이라고 밝혔다.

그러나 금융보안원에 따르면 해당 기준을 적용한 종합점검은 지난 19일까지 사업자 신청이 없어 실시되지 않았다.

그중 가상자산 거래소 고팍스 운영사 스트리미는 금융보안원의 '공개용 홈페이지 점검'을 받았다. 다만 외부에 공개된 웹페이지를 대상으로 한 점검으로, 서버·네트워크·앱 등을 함께 살피는 종합점검과는 범위가 다르다. 고팍스 침해사고가 발생한 영역은 당시 파악으로는 공개용 홈페이지 점검 범위 밖이었던 것으로 전해졌다.

개인정보 넘어 고객자산 탈취까지…"전문 진단 적극 활용해야"
이런 상황에서 최근 금융권에서 발생한 침해사고는 가상자산 거래소로 확산하고 있다. 금융위원회는 지난 14일 금융권 해킹 관련 제2차 긴급 상황 대응 회의에서 고팍스 운영사 스트리미와 프라뱅 등을 포함해 침해사고가 확인된 금융회사가 16곳으로 늘었다고 밝혔다.

고객자산 탈취 피해도 발생했다. 지난 9일 고객 약 20명의 개인정보 유출 사실을 공지한 프라뱅에서는 지난 24일 핫월렛의 비정상적인 출금이 탐지됐다. 핫월렛은 인터넷에 연결돼 가상자산 입출금에 활용되는 지갑이다. 현재까지 파악된 피해 자산은 약 1억 원이다.

대형 거래소 빗썸에서도 지난 28일 사내 모바일 그룹웨어 침해 사실이 확인됐다. 침해된 시스템은 다우기술의 '다우오피스'로, 거래소 서비스와 물리적으로 분리된 네트워크망을 사용해 고객자산에는 영향이 없다. 다만 임직원과 협력업체 직원 정보 수백 건이 유출된 것으로 추정돼 피해 범위를 조사하고 있다.

금융보안원 종합점검을 받지 않은 것이 이번 사고로 이어졌다고 보기는 어렵다. 다만 최근 보안 사고가 잇따르며 이미 마련된 전문 점검 수단을 활용해 취약점을 사전에 식별하고 보완할 필요가 있다는 주장이 제기된다.

황석진 동국대 국제정보보호대학원 교수는 "가상자산 거래소는 기존 금융사들과 달리 현물 자산을 직접 보관해 더 엄격한 보안 잣대가 있어야 한다"며 "보안 분야에 상당한 노하우를 갖고 있는 곳에서 점검 수단이 있다면 적극적으로 받을 필요가 있다"고 말했다.



chsn12@news1.kr