[IT동아 한만혁 기자] 디지털자산(가상자산)과 블록체인은 금융, 경제를 넘어 산업 전반에 많은 영향을 끼치고 있습니다. 스테이블코인은 국경을 넘는 결제 수단으로 자리 잡고 있으며, 블록체인 기술은 산업 전반의 인프라로 확장되고 있습니다. [위클리크립토]는 빠르게 변하고 있는 디지털자산·블록체인 업계의 주요 소식을 전합니다.

국감서 윤곽 드러난 원화 스테이블코인, 과세는 유예 공방

10월 6일 시작된 국회 국정감사(국감)에서 디지털자산 제도화가 주요 쟁점으로 다뤄졌다. 한국은행과 국세청 국감에서 원화 스테이블코인 발행 방식, 디지털자산 과세를 둘러싼 질의가 잇따랐다.

먼저 원화 스테이블코인 발행 방식의 윤곽이 드러났다. 신현송 한국은행 총재는 10월 12일 국회 재정경제기획위원회 국감에서 스테이블코인 발행에 기본적으로 찬성한다며, 발행 주체에 대해서는 은행 주도 컨소시엄 형태로 정부와 합의했다고 밝혔다. 은행 주도 컨소시엄은 은행이 컨소시엄 지분의 ‘50%+1주’를 보유하는 구조다. 핀테크 업계는 이런 구조가 혁신을 가로막을 수 있다며 반대하지만, 한국은행과 금융당국은 통화 정책, 금융 안정을 이유로 은행이 과반 지분을 보유하는 구조를 고수하고 있다.

10월 13일 국세청 국감에서는 내년 1월 시행을 앞둔 디지털자산 과세가 화두였다. 임이자 국민의힘 의원은 스테이킹(예치 후 보상 수령), 에어드롭(무상 지급), 하드포크(블록체인 분할), 디파이(탈중앙화 금융) 등 다양한 거래 유형의 과세 기준이 불분명하다며 1년 추가 유예를 주장했다. 이에 임광현 국세청장은 11월을 목표로 과세 시스템 시범운영을 추진하겠다며, 국회가 시행 시기를 정하면 차질 없이 집행하겠다고 답했다. 현재 국회에는 송언석 국민의힘 의원의 과세 폐지 법안과 김상훈, 정성국 국민의힘 의원의 2~3년 유예 법안이 계류돼 있다.

이번 국감을 통해 디지털자산 제도화의 방향을 가늠할 수 있었다. 하지만 방향이 잡혔다고 해서 제도가 곧바로 시행되는 것은 아니다. 스테이블코인 발행 규정을 담을 디지털자산기본법은 아직 정부안조차 국회에 제출되지 않았다. 제출 시점도 불분명하다. 국회 정무위원회가 11월 법안심사소위원회에서 심사를 시작해 올해 안에 법을 통과시키겠다고 했지만, 정부안 없이는 기존 의원안을 되풀이 검토하는 데 그칠 수밖에 없다. 디지털자산 과세 역시 거래 유형별 기준조차 확정되지 않았다는 점에서 준비 부족도 드러났다. 제도의 방향을 정했다면 이제는 구체적인 일정을 제시할 때다. 규제 불확실성이 길어질수록 국내 기업과 투자자는 해외로 눈을 돌릴 수밖에 없다.

거래소까지 번진 개인정보 유출

금융권을 겨냥한 해킹 피해가 디지털자산 거래소까지 번졌다. 금융위원회가 10월 14일 진행한 ‘2차 긴급 상황대응 회의’에서 발표한 내용에 따르면, 인공지능(AI)을 쓴 것으로 보이는 해킹 공격의 피해 금융회사는 기존 11곳에서 16곳으로 늘었다. 새어 나간 개인정보는 이름, 연락처, 주민등록번호 등 10만 건가량으로 집계됐다. 다만 현재까지 계좌번호, 카드번호 등 곧바로 금전 피해와 연결되는 정보의 유출은 드러나지 않았다.

이번에 새로 피해가 확인된 곳 중 디지털자산 관련 기업은 고팍스를 운영하는 스트리미, 코인마켓 거래소 프라뱅 2곳이다. 연쇄 해킹이 시작된 뒤 디지털자산 거래소가 피해 기관으로 이름을 올린 것은 이번이 처음이다. 스트리미 측은 현재까지 확인된 고객 자산 피해는 없다고 밝혔다. 금융위원회는 모든 금융사 보안 체계를 다시 살펴보고 대형 금융사의 보안 취약점 점검도 1년에 2회 이상으로 늘릴 계획이다.

개인정보 유출 사고가 잇따르자 빗썸은 10월 정보보호 캠페인으로 ‘유출된 개인정보를 악용한 2차 사기’ 피해 예방 캠페인을 시작했다. 빗썸에 따르면 사기범들은 ‘정보가 유출돼 보상 대상’이라거나 ‘보안 점검을 위해 계정 확인이 필요하다’라는 문구로 접근한다. 이때 이름, 휴대폰 번호, 이메일 주소, 이용 서비스명, 과거에 쓰던 비밀번호 일부까지 제시해 신뢰를 얻은 뒤 피싱 사이트 접속, 원격제어 앱 설치, 자금 이체를 유도한다. 여기에 속으면 신분증, 계좌 정보까지 추가 유출될 수 있다. 이는 다른 서비스 계정 탈취나 대환대출을 빙자한 선입금 요구로 이어질 수 있다.

빗썸은 상대방이 개인정보를 알고 있다는 사실이 공식 연락의 증거가 될 수 없다고 강조했다. 문자나 이메일, 메신저로 연락받더라도 링크를 누르지 말고, 평소 쓰던 공식 앱이나 홈페이지에서 직접 확인해야 한다. 비밀번호는 다른 서비스와 겹치지 않게 설정하고, 개인정보보호위원회와 한국인터넷진흥원이 운영하는 ‘털린 내 정보 찾기 서비스’로 아이디와 비밀번호의 불법 유통 여부를 확인하는 것이 좋다. 로그인 후 한 번 더 인증을 거치는 ‘2채널 인증’과 ‘해외 IP 접속 차단’ 기능, 키보드 입력 보호와 피싱 차단을 지원하는 프로그램을 활용하는 것도 좋은 방법이다.

해킹이 은행과 저축은행을 거쳐 거래소까지 닿았다. 고객 자산은 지켰더라도 개인정보가 새어 나간 이상 2차 피해로 이어질 수 있다. 유출된 정보는 시간이 지나도 사라지지 않고 정교한 맞춤형 사기의 재료가 된다. 디지털자산은 한 번 빠져나가면 되찾기 어렵다는 점에서 2차 피해의 파급력이 더 크다. 거래소는 보안 투자와 함께 이용자가 실제로 보호 기능을 쓰도록 이끄는 데까지 책임져야 한다. 이용자 역시 각별한 주의가 필요하다.

미신고 해외 거래소 27곳, 국내 접속 막힌다

금융위원회 금융정보분석원(FIU)은 방송미디어통신심의위원회가 10월 6일과 7일 두 차례 심의를 거쳐 미신고 해외 거래소의 인터넷 사이트 27건에 대해 국내 접속 차단을 결정했다고 10월 13일 밝혔다.

국내에서 내국인을 대상으로 디지털자산 관련 영업을 하려면 ‘특정 금융거래정보의 보고 및 이용 등에 관한 법률(특금법)’에 따라 FIU에 신고해야 한다. 신고 없이 영업하면 5년 이하의 징역 또는 5000만 원 이하의 벌금에 처해질 수 있다. 해외 사업자라도 국내 이용자를 대상으로 영업하면 특금법이 똑같이 적용된다.

이번 결정으로 미신고 사업자에 대한 차단 범위는 모바일 앱에서 웹사이트까지 넓어졌다. FIU 요청에 따라 구글과 애플 앱마켓에서는 이미 미신고 사업자 앱의 국내 신규 설치와 업데이트가 막혀 있다. 차단 대상에는 쿠코인, 폴로닉스, 비트마트 등 국내 이용자에게 익숙한 해외 거래소가 포함됐다.

금융당국이 미신고 사업자의 서비스를 차단하는 이유는 이용자 보호를 위함이다. 미신고 사업자는 보안 요건을 갖추지 않아 개인정보 유출이나 해킹에 노출될 수 있고, 범죄 자금 은닉이나 자금세탁 통로로 악용될 위험도 있다. 거래대금만 받고 디지털자산을 지급하지 않거나 과도한 수수료를 물리는 사례도 있다.

FIU는 앞으로도 유관기관과 긴밀하게 협조해 미신고 사업자 적발 강화, 신규 적발 업체 및 대체 사이트에 대한 신속한 심의 요청, 신고 사업자 명단 및 수사기관 통보 불법업체 명단 공개·안내 강화 등을 통해 불법 행위에 단호하게 대응할 계획이다.

그동안 미신고 거래소는 앱 설치만 막혔을 뿐 웹사이트로는 얼마든지 접속할 수 있었다. 이번 조치는 그 빈틈을 메웠다는 데 의의가 있다. 특히 이번에는 피해가 확인되기 전 불법 영업을 적발한 즉시 접속을 차단했다. 단 주소를 바꾸거나 우회 접속하는 방식으로 영업을 이어갈 가능성은 남아 있는 만큼 이용자의 주의가 필요하다. FIU 홈페이지에 공개된 신고 사업자 명단을 확인하고, 높은 리워드나 원금 보장 등 허위, 과장 광고는 의심해야 한다.

IT동아 한만혁 기자 (mh@itdonga.com)