가상자산 시장의 신뢰, 보안의 실효성에서 시작된다 [기고]

[황석진 동국대 국제정보보호대학원 교수] 최근 세계 최대 가상자산거래소인 바이낸스를 비롯해 국내외 거래소에서 해킹과 개인정보 유출 사고가 잇따르고 있다. 가상자산 시장이 제도권 금융으로 편입되고 산업 규모가 확대되는 상황에서 반복되는 보안사고는 시장의 신뢰를 흔드는 요인이다. 특히 거래소들이 정보보호 투자 확대와 보안체계 강화를 지속적으로 강조해 왔다는 점에서, 이러한 노력이 실제 사고 예방과 고객 자산 보호로 얼마나 이어지고 있는지 냉정하게 평가할 필요가 있다.

가상자산거래소는 고객 자산을 직접 보관하고 이전하는 핵심 금융 인프라다. 블록체인 거래는 원칙적으로 되돌리기 어렵고, 탈취된 자산이 여러 지갑과 해외 거래소로 이동하면 추적과 회수가 쉽지 않다. 따라서 거래소의 보안 사고는 단순한 전산장애나 개인정보 유출을 넘어 고객의 직접적인 재산 피해로 이어질 수 있다.

그동안 국내 거래소들은 콜드월렛 보관 비중을 높이고 정보보호 예산과 인력을 확대해 왔다. 금융당국도 관련 규제를 정비하고 보안점검을 강화해 왔다. 이러한 노력은 긍정적으로 평가할 수 있다. 그러나 보안투자가 증가하고 각종 인증과 점검이 이루어지는 상황에서도 사고가 반복된다면, 이제는 투자 규모나 규정 준수 여부보다 보안체계가 실제로 작동하고 있는지를 따져봐야 한다.

최근 바이낸스 사고에서 주목할 부분도 단순히 해커의 공격 기술이 뛰어났다는 사실이 아니다. 공개된 사고 분석에 따르면 사회공학적 기법을 통한 임직원 접근, 업무용 시스템 침해, 내부 권한 악용 등 여러 단계의 공격이 연계된 것으로 알려졌다. 이는 외부 공격자가 정상적인 업무 권한을 탈취하거나 악용할 경우 기존 보안장치가 충분한 방어력을 발휘하지 못할 수 있음을 보여준다. 특히 이상 징후를 탐지하더라도 비정상적인 자산 이전을 즉시 차단하지 못한다면 보안체계의 실효성에는 의문이 제기될 수밖에 없다.

금융당국이 강조하는 콜드월렛 역시 마찬가지다. 콜드월렛은 외부 공격 위험을 줄이는 중요한 수단이지만 그 자체로 고객 자산의 안전을 보장한다고 할 수 없다. 콜드월렛에서 핫월렛으로 자산을 이동하는 승인 절차나 관리자 권한이 침해된다면 보관 방식만으로 사고를 막기 어렵다. 결국 중요한 것은 콜드월렛 보관 비율이라는 수치보다 자산 이전과 승인 과정에 대한 통제가 얼마나 독립적이고 안전하게 작동하는가이다.

더욱 우려되는 부분은 보안점검과 실제 보안 수준 사이의 간극이다. 금융당국의 점검이 서류 확인이나 자체점검 결과에 의존한다면 규정 준수 여부는 확인할 수 있어도 실제 공격에 대응할 수 있는지는 검증하기는 한계가 있다. 특히 거래소의 지갑 운영체계, 개인키 관리, 관리자 접근 권한, 출금 승인 절차 등 핵심 위험에 대한 전문적인 기술 검증이 필요하다. 점검 횟수를 늘리는 것보다 기존 점검에서 발견하지 못한 취약점이 무엇인지 분석하고 개선 여부를 확인하는 것이 중요하다.

거래소 경영진의 인식도 달라져야 한다. 정보보호 예산 확대와 사고 대비 재원 확보는 필요하지만, 이를 보안 수준의 핵심 지표로 내세우는 데는 한계가 있다. 사고 이후 고객 피해를 보상할 수 있다는 사실과 사고 자체를 예방할 수 있다는 사실은 엄연히 다르다. 보상 능력이 충분하더라도 반복되는 사고로 훼손된 시장의 신뢰까지 회복할 수 있는 것은 아니다.

이제는 실전형 침투테스트와 공격 시뮬레이션을 통해 실제 방어력을 검증하고, 관리자 권한 분리와 다중승인, 비정상 출금 자동 차단 및 긴급 대응체계를 강화해야 한다. 아울러 탈취 자산의 신속한 이동에 대응하기 위해 거래소와 금융정보분석원(FIU), 수사기관, 블록체인 분석기관 간 정보공유와 국제 공조도 확대해야 한다. 해킹 대응은 정보보호뿐 아니라 자금세탁방지와 금융안보의 관점에서도 접근해야 한다.

금융당국 역시 사고가 발생할 때마다 긴급점검과 보안 강화 대책을 발표하는 사후 대응 방식에서 벗어나야 한다. 반복되는 사고의 공통 원인을 분석하고, 개선 조치가 실제로 이행되었는지 검증하는 예방 중심 감독체계가 필요하다. 거래소의 자율적인 보안 노력만으로는 한계가 있는 만큼 감독당국의 전문성과 기술적 검증 역량도 함께 강화되어야 한다.

반복되는 해킹을 언제까지 공격자의 기술이 뛰어났기 때문이라고 설명할 수는 없다. 공격 기술이 고도화되고 있다는 사실은 분명하지만, 이를 전제로 고객 자산을 보호할 책임은 거래소에 있으며, 보호체계가 제대로 작동하는지 검증할 책임은 감독당국에 있다.

결국 지금 필요한 것은 또 하나의 보안 강화 선언이 아니다. 기존 보안투자와 감독체계가 실제 사고 예방에 얼마나 효과적이었는지 객관적으로 평가하고 확인된 한계를 개선하는 것이다. 보안에 투자했다는 사실이 안전하다는 증거가 될 수 없으며, 규정을 준수했다는 사실이 사고에 대한 책임까지 면제해 주는 것은 아니다. 가상자산 시장의 지속가능한 성장은 거래 규모나 기술 혁신이 아니라, 이용자가 신뢰할 수 있는 자산보호 체계를 얼마나 확실하게 구축하느냐에 달려 있다.