[IT동아 한만혁 기자] 가상자산 거래소 업비트가 지난 11월 27일 445억 원 규모의 가상자산이 외부 전자지갑으로 비정상 출금되는 해킹 사고를 당했습니다. 54분 만에 솔라나 계열 가상자산 1040억 6470만 4384개가 유출됐습니다. 업비트는 해킹 사고 발생 사실을 처음 인지한 시점에서 6시간이 지난 후 금융당국에 신고했습니다. 이에 늑장 신고 논란이 제기됐습니다. 업비트는 해킹 여부 확인에 시간이 걸린 것이라며 해킹 여부 확인 즉시 신고했다고 해명했습니다.

해킹 인지 6시간 만에 금융당국 신고

업비트는 11월 27일 오전 4시 42분 가상자산이 비정상 출금된 사실을 인지했습니다. 이후 오전 5시 27분 솔라나 네트워크 계열 가상자산 입출금을 중단하고, 오전 8시 55분에는 모든 가상자산 입출금을 차단했습니다.

업비트는 비정상 출금 사실을 처음 인지한 시점에서 약 6시간이 지난 오전 10시 58분 금융감독원에 해킹 사고를 유선으로 보고했습니다. 문서 보고는 오전 11시 45분에 이뤄졌습니다. 한국인터넷진흥원(KISA)에는 오전 11시 57분, 경찰에는 오후 1시 16분, 금융위원회에는 오후 3시에 각각 신고했습니다. 일반 회원 대상 해킹 사고 공지는 오후 12시 33분에 게재했습니다. 최초 인지 시점에서 약 8시간이 지난 후입니다.

이날 업비트를 운영하는 두나무는 네이버파이낸셜과의 합병 관련 기자간담회를 진행했습니다. 행사는 10시 50분경 종료됐습니다. 이에 행사가 끝날 때까지 금융당국 보고와 홈페이지 공지를 의도적으로 미룬 것 아니냐는 의혹이 제기됐습니다.

이에 대해 업비트는 해킹 여부 확인에 시간이 걸렸을 뿐 해킹 확인 즉시 금융당국에 보고했다고 해명했습니다.

업비트는 11월 27일 4시 42분 비정상 출금을 탐지했지만, 이를 해킹 사고로 확정하기까지 면밀한 검증 절차를 거쳐야 하기 때문에 불가피하게 일정 시간이 소요됐다는 전했습니다. 충분한 검증 없이 해킹 사고로 간주하고 조치하게 되면 또 다른 피해와 혼란을 야기할 수 있기 때문이라는 설명입니다. 이와 함께 2019년 해킹 피해를 입은 가상자산 거래소는 해킹 발생 이후 10시간만에 공지했고, 올해 해킹을 당한 게임사와 유통사는 1~2일 이후 신고했다고 덧붙였습니다. 업비트 관계자는 “네이버파이낸셜과의 합병 기자간담회와 상관없이 신속하고 신중하게 대응했다”라고 강조했습니다.

현행법상 늑장 신고로 보기 어렵다

업비트의 대응은 현행법 기준으로도 늑장 신고로 보기 어렵습니다. ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법)’에 따라 기업은 해킹 사고 인지 후 24시간 이내에 KISA에 신고해야 합니다. 업비트는 사고 발생 당일 오전 11시 57분에 KISA에 신고했습니다.

또한 ‘금융기관 검사 및 제재에 관한 규정’에 따라 금융회사는 해킹이나 전산 사고로 이용자에게 피해가 발생한 경우 이를 인지 또는 발견한 날의 다음 영업일(익영업일)까지 금융정보교환망(FINES)으로 보고해야 합니다. 가상자산사업자는 법률상 금융회사에 해당하지 않기 때문에 해당 규정을 적용하기 어렵습니다. 하지만 업비트는 사고 당일 오전 10시 58분과 오전 11시 45분 금융감독원에 유선과 문서로 각각 신고함으로써 규정을 준수했습니다.

가상자산사업자 관련 현행 규제인 ‘가상자산 이용자 보호 등에 관한 법률(가상자산이용자보호법)’에는 해킹 사고 관련 규제가 없는 상태입니다. 이상거래가 의심되는 경우 지체 없이 금융감독원과 금융위원회에 신고해야 한다는 규정이 있지만, 여기서 이상거래는 미공개 중요 정보 이용, 시세 조종, 사기적 부정거래 등 불공정거래 행위로 인한 비정상적인 가격 및 거래량 변동을 의미합니다. 해킹 사고와 직접적인 관련은 없죠.

해킹 사고 관련 규제 보완 필요

이번 논란을 계기로 현행 가상자산 규제의 문제점이 다시 한번 드러났습니다. 가상자산사업자의 해킹 사고 관련 규정이 없는 것은 명백한 규제 공백입니다. 이에 업계는 해킹 사고 인지 즉시 금융당국 보고 및 이용자 고지 등 구체적인 신고 절차와 신고 기한에 대한 명확한 규제가 필요하다고 지적합니다. 가상자산사업자의 보안 수준 향상, 정기적인 점검 등 해킹 사고 예방을 위한 제도적 장치도 마련해야 한다는 주장도 나옵니다.

물론 가상자산 2단계 법안에 해킹이나 전산 사고 관련 규제가 포함될 전망입니다. 하지만 올해 안에 발의할 예정이던 법안은 아직 정부안조차 나오지 않은 상황입니다. 국회의 논의를 거쳐 공포, 시행되려면 적지 않은 시간이 걸릴 것으로 예상됩니다. 현행 규제의 문제점이 확인된 만큼 좀 더 속도를 내야 할 것입니다.

IT동아 한만혁 기자 (mh@itdonga.com)