[비즈한국] 금융권을 덮친 보안 사고가 가상자산 업계로 번지면서 금융소비자 보호에 비상이 걸렸다. 빗썸과 고팍스에서 고객·임직원의 개인정보가 유출된 데 이어 가상자산 거래소 프라뱅에서 실제 금전 피해가 발생하면서다. 여기에 글로벌 최대 가상자산 거래소인 바이낸스에서도 대규모 보안 사고가 발생해 투자자의 불안이 커지고 있다. 금융당국은 긴급 점검과 현장 조사에 착수하고 가상자산 업계의 보안 수준을 기존 금융회사 수준으로 강화하겠다는 방침을 밝혔다.
10월 29일 빗썸에 따르면 외부 공격으로 고객 6444명과 임직원 715명의 개인정보가 유출됐다. 고객 중 5600명의 개인정보는 암호화됐으나 844명의 정보는 암호화되지 않은 상태로 노출됐다. 유출된 항목은 이름, 전화번호, 이메일 주소, 주민등록번호, 운전면허번호, 계좌번호, 신분증 사본 등이다.
빗썸은 사고 경위에 관해 “10월 27일 사내 모바일 그룹웨어시스템인 다우오피스에 외부 비인가자가 접근해 일부 개인정보가 유출된 사실을 확인했다. 임직원 정보 유출을 확인한 후 추가 조사 과정에서 고객 정보가 포함된 것을 알게 됐다”고 설명했다. 더불어 외부 공격을 받은 시스템은 거래소 계정이나 가상자산과 분리된 내부 업무 시스템이라고 밝혔다. 빗썸은 사고 이후 태스크포스(TF)팀을 구성해 보안 점검 등의 사후 대응에 나선 상태다.
이재원 빗썸 대표는 “이번 사고를 계기로 개인정보 취급과 보관 방식, 사내 시스템을 포함한 보안 관리 체계 전반을 원점에서 재점검하겠다”며 “외부 전문 기관의 점검과 내부통제 강화를 통해 취약점을 개선하고 유사한 사고가 재발하지 않도록 근본적인 대책을 마련하겠다”고 밝혔다.
빗썸에 앞서 가상자산 거래소인 고팍스(운영사 스트리미)와 프라뱅에서도 보안 사고가 발생했다. 고팍스는 10월 16일 고객 7명, 전·현직 임직원 2명의 개인정보가 유출됐다고 알렸다. 고팍스에 따르면 9월 초부터 비정상적인 계정 접근과 개인정보 조회가 이뤄졌으며 회사가 이를 인지한 것은 10월 초다. 이후 10월 26일에도 개인정보가 추가로 유출된 것으로 나타났다. 고팍스는 27일 “원화 및 가상자산의 비정상적인 출금이나 자산 손실은 확인되지 않았다”고 밝혔다.
프라뱅의 경우 실제 금전 피해로 이어져 논란이 일고 있다. 프라뱅은 “10월 24일 외부 비인가자 접근으로 인해 침해사고가 발생했다. 거래소 핫월렛(온라인과 연결된 디지털 지갑)에서 비정상적인 출금을 탐지한 직후 거래소 시스템의 전면 점검을 진행한 결과 보안 취약점이 발견됐다”며 “현재 파악한 피해 자산은 약 1억 원 규모다. 피해 자산을 정확히 파악해 전액 회사 자산으로 보전하는 조치를 취할 예정”이라고 밝혔다. 프라뱅은 10월 26일부터 회원 자산 보호를 위해 서비스를 잠정 중단한 상태다. 금융감독원도 사고 신고 이후 피해 규모와 경위를 확인하기 위해 프라뱅의 현장 검사에 나섰다.
이런 가운데 글로벌 최대 가상자산 거래소인 바이낸스에서도 보안 사고가 발생하면서 가상자산 투자자의 금전 피해 우려가 커지고 있다. 한국시간으로 10월 30일 오전 6시 24분경 바이낸스는 “보안 문제를 인지했으며 적극 조사 중”이라고 공지했다. 이날 오전 국내 가상자산 거래소에서도 일제히 바이낸스에 보안 문제가 발생했다며 출금에 유의할 것을 안내했다.
이후 오전 11시 25분경 바이낸스는 “초기 조사 결과, 보안 사고는 손상된 개발·운영 담당 엔지니어의 노트북이 해킹되면서 공격자가 접근한 것으로 보인다. 블록체인 지갑의 개인키가 유출된 증거는 찾지 못했다”며 “사고 영향 규모는 약 63억 달러(약 8조 4000억 원)다. 블록체인 파트너와 협력해 약 30억 달러(약 4조 원)의 자산을 동결했다. 이용자 자산 보호 기금(SAFU)과 회사 자금을 통해 모든 손실을 보상할 것”이라고 밝혔다.
한편 은행과 증권사 등 전통 금융권에 이어 가상자산 업계에서도 보안 사고가 잇따르자 금융당국이 긴급 점검에 나섰다. 지금까지 실제 금전 피해는 없었으나 코인 거래소인 프라뱅에서 자산 유출이 발생하면서 소비자 보호에 비상이 걸린 상태다. 28일 유영준 금융위원회 디지털금융정책관은 금감원, 금융보안원, 디지털자산거래소 공동협의체(DAXA), 빗썸과 긴급 점검 회의를 개최했다.
금융당국은 현장 조사에 착수하고 사고 원인 파악을 위해 관계기관 간 정보 공유 및 협력을 진행 중이다. 2차 피해가 발생한 경우 전액 배상 등 소비자 보호 조치가 이뤄질 수 있도록 유출 업체를 관리·감독한다는 계획도 밝혔다.
금융위는 “가상자산업권 등 전자금융거래법을 적용받지 않는 업권에 대해서도 은행과 같은 금융사 수준으로 보안 조치를 강화할 것”이라며 “사고 발생 시 신속하게 대비할 수 있도록 다각도로 방안을 추진하겠다”고 밝혔다. 더불어 미래에셋생명·자산운용, 대신증권 등 정보 유출 사고가 발생한 제2금융권 금융회사를 대상으로도 사고 조사와 피해자 보호 조치에 나선다고 덧붙였다.