업비트, 해킹 54분 만에 출금 막았지만···6시간 뒤 ‘늑장 신고?’

[사진=디파짓포토스]

[이뉴스투데이 김진영 기자] 국내 1위 가상자산거래소 업비트에서 지난달 발생한 해킹 시도로 1000억개가 넘는 코인이 단 54분 만에 외부 지갑으로 빠져나간 것으로 확인됐다. 가상자산 시장이 커지는 속도에 비해 해킹·보안 사고에 대한 규제·제재 체계가 사실상 부재해, 대규모 사고 시 이용자 피해가 고스란히 노출될 수 있다는 우려가 커지고 있다.

7일 국회 정무위원회 소속 강민국 의원이 금융감독원에서 제출받은 ‘업비트 비정상 출금사고 현황’에 따르면 이번 해킹은 지난달 27일 오전 4시 42분부터 5시 36분까지 약 54분 동안 진행됐다. 이 시간 동안 솔라나 계열 24종 코인 1040억6470만개(약 445억원)가 외부 지갑으로 전송됐다. 초당 약 3212만개, 금액으로는 1370만원어치가 빠져나간 셈이다.

피해 규모는 코인별로 큰 편차를 보였다. 개수 기준으로는 봉크(BONK)가 99% 이상(1031억여개)을 차지했지만, 금액 기준으로는 솔라나(SOL) 유출액이 189억8822만원(42.7%)으로 가장 컸다. ‘펏지펭귄’, ‘오피셜트럼프’ 등 일부 밈코인도 수십억원의 손실을 기록했다.

업비트는 사고 인지 18분 뒤인 오전 5시에 긴급회의를 소집했고, 5시 27분에는 솔라나 계열 자산 입출금을 중단했다. 오전 8시 55분에는 모든 자산 입출금을 차단했다. 그러나 금감원 첫 신고는 오전 10시 58분, 해킹 인지 시점으로부터 6시간 이상이 지난 후였다.

한국인터넷진흥원(KISA)·경찰·금융위원회 신고 역시 모두 동일 행사(두나무–네이버파이낸셜 합병식) 이후에 이뤄지면서 “보고를 의도적으로 늦춘 것 아니냐”는 의혹도 제기됐다. 강민국 의원은 “국내 1위 거래소가 대규모 해킹을 겪고도 신고까지 6시간이 걸린 것은 심각한 문제”라며 “솔라나 계열 코인만 유출된 구조적 원인과 업비트 결제계정 방식에 대한 정밀 조사가 필요하다”고 지적했다.

그러나 현재로서는 강도 높은 제재가 어려울 가능성이 크다. 현행 가상자산법(1단계법)에 해킹·전산 사고에 대한 제재 규정이 없고, 전자금융거래법 역시 적용 대상에 가상자산사업자가 포함되지 않기 때문이다. 금감원 역시 현장 점검을 진행 중이나, “제재 권한에 한계가 있다”는 입장을 밝힌 바 있다.

다만, 가상자산사업자는 고객 자산의 80% 이상을 콜드월렛에 보관해야 한다는 조항이 있어 업비트의 자산 관리 적정성은 점검할 수 있다. 하지만 해킹 사고 자체에 대한 제재 근거는 미흡해, 보고 지연 여부조차 현행법상 문제 삼기 어렵다는 지적도 나온다.

한편, 금융당국은 향후 예정된 가상자산 2단계 입법에서 해킹·전산 사고 발생 시 사업자에게 배상 책임을 부과하고, IT 보안·안전성 확보 의무를 강화하는 방안을 검토하고 있다.