거래소 해킹 뉴스 뜰 때, 내 코인 옮길지 확인하는 순서
11월 들어 플라이빗을 비롯한 중소 가상자산거래소에서 해킹과 개인정보 유출이 잇따랐다. 거래소 선택이 자산 안전과 직결되는 만큼, 내가 쓰는 거래소의 신고·인증, 자산 보관 방식, 사고 시 보상 체계를 순서대로 확인해야 한다. 세 가지를 점검하면 자산을 그대로 둘지, 다른 거래소나 개인 지갑으로 옮길지 스스로 정할 수 있다.
지금 중소 거래소에서 벌어지는 일
11월 12일 코인마켓 거래소 플라이빗(운영사 한국디지털거래소)에서 고객 40명의 개인정보가 유출됐다. 뚫린 곳은 거래 시스템이 아니라 사내 그룹웨어였다. 조세당국의 정보 제공 요청 이메일에 첨부돼 있던 명단이 외부 비인가 접근으로 노출됐고, 성명·주민등록번호·연락처에 일부 납세 정보까지 담겼다. 거래소는 내부 시스템 침입은 없었고 고객 자산은 안전하다며 해외 IP를 차단하고 경찰에 수사를 의뢰했다.
한 곳의 일이 아니다. 비슷한 시기 프라뱅은 핫월렛에서 약 1억원어치 자산을 탈취당하고 서비스를 멈췄고, 빗썸은 그룹웨어를 통해 고객과 임직원 수천 명의 개인정보가 유출됐다. 다만 사고의 성격은 구분해야 한다. 자산이 직접 빠져나간 경우(프라뱅)와 개인정보만 노출된 경우(플라이빗·빗썸)는 위험의 결이 다르다. 그래서 자산을 옮길지 정하기 전에, 내 거래소가 어느 수준인지부터 세 단계로 확인하는 게 순서다.
1단계: 합법 사업자이고 보안 인증을 받았는가
Photo by DrawKit Illustrations on Unsplash
가장 먼저 볼 것은 이 거래소가 금융정보분석원(FIU)에 신고된 사업자인지다. 특정금융정보법상 FIU 신고 없이 내국인을 상대로 영업하는 거래소는 불법이고, 신고 수리된 명단은 FIU 홈페이지에서 직접 확인할 수 있다.
신고의 전제 조건이 ISMS(정보보호 관리체계) 인증이다. 가상자산사업자는 일반 기업보다 강화된 수백 개 항목으로 심사받고, 그중 콜드월렛과 핫월렛의 안전성이 핵심이다. 다만 플라이빗처럼 인증을 받은 거래소도 그룹웨어 같은 주변 시스템이 뚫릴 수 있다. ISMS는 최소선이지 완벽한 보증이 아니다.
원화로 코인을 사고파는 원화마켓이라면 선택지는 업비트·빗썸·코인원·코빗·고팍스 다섯 곳으로 사실상 정리돼 있다. 코인마켓만 운영하는 중소 거래소는 실명계좌 없이 코인 간 거래만 되는 구조라 성격이 다르다.
2단계: 내 자산이 어디에 보관되나
2024년 7월 시행된 가상자산이용자보호법은 보관 방식에 최소선을 세웠다. 거래소는 이용자 가상자산 경제적 가치의 80% 이상을 인터넷과 분리된 콜드월렛에 매일 유지해야 한다. 시행 전 70%였던 기준을 끌어올린 것으로, 비중이 높을수록 해커가 온라인으로 건드릴 수 있는 자산이 줄어든다.
공격의 입구는 인터넷에 연결돼 거래에 쓰이는 핫월렛이다. 프라뱅 사고도 핫월렛에서 났다. 법은 이 핫월렛 보관분을 기준으로 일정 비율 이상을 보험이나 준비금으로 대비하게 하고, 거래소는 매월 말일 기준으로 산정해 다음 달 10일까지 조치하도록 돼 있다. 투자자가 매번 비율 수치를 확인하긴 어려우니, 거래소가 보관 방식과 보험·준비금 현황을 공지나 약관에 밝히는지를 보면 된다. 이런 정보를 찾기 어렵다면 그 자체가 신호다.
3단계: 사고가 나면 얼마나 돌려받나
오해가 가장 많은 지점이다. 법이 보험과 준비금을 요구한다고 피해 전액이 자동 보장되는 것은 아니다. 재원은 핫월렛 보관분 기준으로 산정한 한도 안에서 움직이고, 그 이상 피해가 나면 결국 거래소의 자력 변제 능력에 달린다.
금융당국은 소비자 피해 시 전액 배상 등 보호 조치가 이뤄지도록 관리·감독하겠다고 밝혔다. 하지만 이는 행정적 방침이지 예금자보호처럼 일정액을 국가가 보장하는 제도가 아니다. 은행 예금과 코인 거래소 잔고는 보호 구조가 근본적으로 다르다. 자본력이 작은 중소 거래소에 큰 금액을 장기간 방치하는 것이 보상 측면에서 가장 불리한 이유다.
그대로 둘까, 옮길까
세 단계를 지나왔다면 아래 기준으로 정리된다. 하나라도 '아니오'면 이전을 검토할 때다.
- FIU 신고·ISMS 인증 사업자인지 홈페이지에서 확인했는가
- 콜드월렛 보관과 보험·준비금 현황을 거래소가 공개하는가
- 맡긴 금액이 사고 시 감당 가능한 규모인가
- 당장 거래하지 않고 보관만 할 자산인가
자주 거래하는 소액이라면 신고·인증된 거래소라는 전제에서 그대로 둬도 무리는 없다. 반대로 거래 없이 장기 보유할 큰 금액이라면, 자본력과 보안 체계가 상대적으로 검증된 원화마켓으로 옮기거나 개인 지갑(콜드월렛)으로 분산하는 쪽이 현실적이다. 개인 지갑은 거래소 리스크에서 벗어나는 대신 분실·복구 책임을 스스로 져야 하니, 복구 문구 보관에 자신 없다면 신중해야 한다. 이미 개인정보가 유출된 거래소를 썼다면, 자산 이전과 별개로 그 정보를 악용한 사칭 연락에도 대비해야 한다.