24시간 감시·콜드월렛 확대…보험·준비금 확충 추진
금융회사 수준 보안체계 요구…안전성 의무·배상책임 법제화
가상자산거래소에서 해킹 징후가 포착되면 실제 사고 확인 전이라도 선제적으로 입출금을 차단할 수 있게 된다. 금융당국은 디지털자산법 제정에 앞서 24시간 감시와 콜드월렛 확대 등을 담은 비상대응 가이드라인을 마련하고, 거래소가 금융회사에 준하는 보안체계를 갖추도록 할 방침이다.
금융위원회는 12일 신진창 부위원장 주재로 가상자산업권 보안 대책회의를 열고 침해사고 대응 방안을 논의했다. 금융감독원과 금융보안원, 디지털자산거래소공동협의체(DAXA), 두나무·빗썸·코인원·디지털엑스·스트리미 등 주요 사업자가 참석했다.
금융위는 해킹 의심 단계에서도 사업자가 선제적으로 입출금을 차단할 수 있도록 비조치 의견서를 발급하기로 했다. 현행 가상자산이용자보호법은 정당한 사유 없는 입출금 차단을 금지하고, 해킹사고 발생이 명백한 경우 등에 차단을 허용한다. 이상거래 등 해킹 의심 단계에서 차단할 수 있는지 불명확하다는 업계 의견을 반영해 일정 조건 아래 선제 조치가 가능하도록 규제 불확실성을 해소한다.
‘가상자산사업자 보안사고 비상대응 가이드라인’도 마련한다. 사업자는 24시간 거래되는 시장 특성에 맞춰 담당 인력을 상시 배치하고, 비정상적인 대규모 거래 등 사고 징후가 나타나면 즉시 통제조치를 취해야 한다. 상시 대응이 어려운 사업자는 감시·대응체계가 정상 가동되는 시간에만 입출금을 처리하고 이를 이용자에게 사전 안내해야 한다.
이용자 자산의 콜드월렛 보관 비중도 최대한 높인다. 콜드월렛은 인터넷과 분리해 보관하는 지갑이다. 감독규정상 의무 보관 비중은 80%이며 전체 사업자의 실제 보관 비중은 95% 이상이다. 인터넷에 연결된 핫월렛에는 거래에 필요한 최소한의 자산만 두고 여러 지갑에 분산하는 방안도 고려하도록 했다. 피해 보상이 원활하도록 보험 보상한도와 준비금 적립액도 충분히 확보하도록 한다.
법 제정 전이라도 금융회사에 준하는 IT 안전성 기준을 마련하도록 할 계획이다. 사업자는 거래 시스템 운영에 필요한 인력·시설과 보안조치를 갖추고, 시스템·통신망의 취약점을 분석해 보완해야 한다. 사고가 발생하거나 외부의 비정상적 접근 시도 등 침해 가능성이 발견되면 신속히 금융당국에 알리는 보고체계도 구축하도록 했다.
금융보안원의 지원도 확대한다. 현재 28개 가상자산사업자 가운데 금융보안원에 가입한 곳은 5개 원화마켓 거래소뿐이다. 나머지 사업자도 이용 규모 등을 고려해 가입을 추진하고 위협 정보공유와 취약점 점검, 전문교육 등을 지원한다. 가입이 어려운 사업자에는 중소 금융회사 수준의 취약요인 탐색과 경보·보안조치를 제공한다.
금융보안원은 거래 검증 강화와 월렛 접근 통제 등을 반영해 거래소 특화 보안 점검기준을 연내 개선한다. 현재 사업자는 전자금융거래법상 취약점 분석·평가 대상이 아니며 정보보호관리체계(ISMS) 인증 외에는 별도 점검 의무가 없다. 금융보안원이 가입 사업자를 점검하고, 직접 점검하기 어려운 곳에는 자체 점검이나 정보보호전문업체 점검에 활용할 기준을 제공한다.
신 부위원장은 5일 기준 국내 거래소의 가상자산 시가총액이 약 66조원, 거래 가능 이용자 수가 중복 포함 1000만 명을 넘었다며 시장 성장에 걸맞은 보안 수준을 주문했다. 그는 “일부 사업자들의 보안에 대한 인식은 아직도 제도화 이전에 머물러 있다”며 “전통적인 금융회사와 동일한 수준의 보안체계를 갖출 필요가 있다”고 강조했다.
금융위는 향후 디지털자산법에 금융회사 수준의 IT 안전성 확보 의무와 손해배상책임을 담을 예정이다. 신 부위원장은 보안 강화를 입법 때까지 미룰 수 없다며 상시 모니터링·보고체계 구축과 콜드월렛 비중 상향, 준비금 확충 등을 즉시 시행해달라고 당부했다.
