24시간 감시 못하면 입출금 제한…금융당국, 코인 거래소 보안 고삐 죈다

금융위, 가상자산업권 긴급 보안대책 마련…선제적 입출금 차단 허용

상시 감시체계 구축 요구·핫월렛 최소화…금융회사 수준 보안규율 추진

(서울=연합인포맥스) 이규선 기자 = 금융당국이 24시간 보안 감시체계를 갖추지 못한 가상자산거래소에 대해 모니터링이 가능한 시간에만 입출금하도록 한다.

해킹이 의심된다면 실제 침해사고가 확인되기 전이라도 거래소가 선제적으로 입출금을 차단할 수 있도록 허용한다.

금융위원회는 12일 신진창 부위원장 주재로 '가상자산업권 보안 대책회의'를 열고 이 같은 내용의 보안 강화 방안을 논의했다.

금융위는 연중무휴로 운영되는 가상자산시장 특성을 고려해 사업자가 24시간 모니터링 및 대응체계를 갖추도록 주문했다. 담당 인력을 상시 배치하고 비정상적인 대규모 거래 등 침해 징후를 발견하면 즉각 통제에 나서야 한다.

상시 모니터링체계를 운영하기 어려운 사업자는 해당 체계가 정상적으로 운영될 수 있는 시간에만 입출금을 처리하도록 했다. 이 경우 이용자에게 입출금 가능 시간을 사전에 안내하고 충분한 인력을 배치해 고객 요청에 적시에 대응해야 한다.

이에 따라 보안 인력이 부족한 중소형 거래소는 입출금 운영시간을 제한하거나 추가 인력을 확보해야 할 전망이다.

해킹 의심 단계에서의 선제적인 입출금 차단도 허용된다.

현행 가상자산이용자보호법은 정당한 사유 없이 가상자산사업자가 이용자 입출금을 막지 못하도록 규정한다. 해킹사고 발생이 명백한 경우에만 차단이 가능하다.

이로 인해 이상거래 등 해킹 징후가 나타나도 사고 발생이 확인되기 전까지 입출금을 중단할 수 있는지 불분명하다는 업계 지적이 제기돼 왔다.

금융위는 이러한 문제를 해결하고자 일정 조건 아래 선제적으로 입출금을 차단할 수 있도록 비조치 의견서를 발급하기로 했다. 사고 여부를 확인하는 동안 이용자 자산이 추가로 빠져나가는 사태를 막기 위한 조치다.

이용자 자산 보관 방식도 한층 강화된다.

현행 가상자산업감독규정상 사업자는 이용자 가상자산의 80% 이상을 인터넷과 분리된 콜드월렛에 보관해야 한다. 현재 전체 사업자의 콜드월렛 보관 비중은 95%를 웃돌아 법정 기준을 크게 상회한다.

금융위는 여기서 나아가 온라인에 연결된 핫월렛 보관 자산을 거래 지원에 필요한 최소한으로 유지하고 복수의 핫월렛에 자산을 분산하는 방안도 검토하도록 했다.

아울러 해킹 피해 보상을 위한 보험 보상한도와 준비금 적립액도 충분히 확충하도록 요구했다.

중장기적으로는 가상자산사업자의 보안 규율을 일반 금융회사 수준으로 끌어올린다.

현재 가상자산사업자는 일반 금융회사와 달리 전자금융거래법상 보안 규율을 적용받지 않는다. 금융위는 제정을 준비 중인 디지털자산법을 통해 사업자에게 금융회사에 준하는 정보기술(IT) 안전성 확보 의무와 손해배상책임을 부과할 방침이다.

법 제정 전이라도 비상 대응 가이드라인을 활용해 정보처리시스템 취약점 분석·평가, 기술적·관리적 보안 조치, 침해사고 발생 시 금융당국 보고체계 등을 선제적으로 갖추도록 할 계획이다.

보안 사각지대에 놓인 중소형 거래소에 대한 지원도 확대한다.

현재 가상자산사업자 28곳 중 금융보안원 사원으로 가입한 곳은 원화마켓 거래소 5곳에 불과하다.

금융위는 나머지 사업자의 금융보안원 가입을 추진하고, 가입 사업자에는 침해 위협 정보 공유와 보안 취약점 점검, 전문교육 등을 제공할 예정이다.

가입이 어려운 사업자에게는 별도 보안 점검을 지원하고, 거래 검증 강화와 월렛 접근 통제 등을 반영해 기존 가상자산거래소 특화 보안 점검 기준을 연내 개선하기로 했다.

신 부위원장은 "일부 사업자들의 보안에 대한 인식은 아직도 제도화 이전에 머물러 있다"며 "가상자산사업자는 이용자의 자산을 수탁하여 보관하고 관리한다는 점에서 전통적인 금융회사와 동일한 수준의 보안체계를 갖출 필요가 있다"고 강조했다.

이어 "가상자산업계의 최고 수준의 보안 강화는 입법만을 기다릴 수 없는, 한시도 미룰 수 없는 문제"라며 업계의 적극적인 대응을 당부했다.

kslee2@yna.co.kr