2025년 가을, 국내 가상자산 시장을 강타한 한 사건은 '해킹의 계절'이 도래했음을 경고했다. 국내 최대 거래소 업비트가 약 445억 원 상당의 가상자산을 탈취당한 해킹 공격을 받았다. 공격은 11월 27일 새벽, 불과 54분 만에 솔라나(SOL) 계열 자산을 중심으로 자행되었으며, 그 배후에는 북한의 라자루스 해킹 조직이 의심된다. 이 사건은 2019년 동일 조직에 의한 업비트 해킹 이후 6년 만의 일이었다.
업비트는 공격을 인지한 지 18분 만인 오전 5시 긴급회의를 소집하고, 오전 8시 55분에는 모든 가상자산 입출금을 중단하는 신속한 대응으로 추가 피해 확산을 차단했다. 또한, 야마토통기계 피해 자산에 대해 전액을 자체 충당해 이용자 피해가 없도록 조치했다고 밝혔다.
신속했지만 드러난 법적 공백
그러나 이번 사태는 가상자산 보안과 규제의 근본적인 허점을 드러냈다. 금융당국 관계자에 따르면, 현행 '가상자산 이용자 보호 등에 관한 법률'(1단계법)에는 해킹 사고 발생 시 거래소에 어떠한 제재를 가할 수 있는 릴게임오션파라다이스 직접적인 근거 조항이 존재하지 않는다. 보고 의무 조항 역시 명시되어 있지 않아, 업비트가 해킹 인지 후 6시간 이상이 지나서야 당국에 보고한 '늑장 신고'에 대해 제재를 논하기조차 어려운 상황이다.
이에 금융당국은 예정된 '가상자산 2단계 입법'을 통해 대규모 해킹 사고를 막지 못했을 때 거래소의 배상 책임을 부과하는 방안을 검토 중이 온라인골드몽 다. 또한, 이미 1단계 법에서 도입된 고객 자산의 80% 이상을 인터넷과 차단된 콜드월렛(cold wallet)에 보관해야 하는 의무 조항이 제대로 이행되었는지도 점검할 계획이다.
감추어지는 위험-해외 재단 해킹의 사각지대
국내 거래소보다 더 심각한 정보의 사각지대에 놓인 것은 수많은 해외 거래소와 해외 프로젝트 재단들 바다이야기게임 이다. 이들 재단은 빈번한 해킹 피해를 공식적으로 발표하거나 신고하지 않고 덮어두는 경우가 많다. 사용자 예치금을 보호하기 위한 엄격한 감독과 규제 프레임워크가 적용되는 국내 거래소와 달리, 많은 해외 재단은 투명성과 책임 소재가 모호한 구조로 운영되고 있는 경우가 많다.
2025년 3월 유통량 공시 오류 등으로 논란을 일으켰던 가상화폐 바다신2릴게임 위믹스 운영사가 최근 90억원에 가까운 해킹 피해를 입고도 나흘 뒤에야 이를 공지해 은폐 논란이 커지고 있다. 위메이드 측은 이를 부인하며, 시장 불안 해소 대책을 내놨지만 이미 해커들은 해킹한 위믹스 코인을 전량 매도했다. 피해는 정보의 비대칭에 있던 코인 투자자들이 컸다.
최근 재단 해킹 사례로는 2025년 12월 5일, '충전 돼지'라는 충전 임대 서비스 기반의 PiggyCell 프로젝트가 있다. 해당 재단이 해킹을 당해 해커가 대량의 코인을 매도하면서, 토큰 가격은 95% 급락하는 충격을 겪었다. 이처럼 재단의 핵심 지갑이 뚫리면 프로젝트 자체의 존립을 위협할 수 있는 신뢰 손상과 경제적 손실이 직접적으로 투자자에게 전가될 수 밖에 없다.
문제는 이러한 해외 재단에 대한 국내 법률의 실효적 제재가 현실적으로 거의 불가능하다는 점이다. 한국 법원의 판결을 강제할 국제적인 집행 체계가 미비하며, 재단의 실체를 파악하기도 어렵다. 따라서 피해 회복을 위한 법적 소구는 요원한 경우가 대부분이다.
해외 거래소 역시 해킹을 당한 이후 대외적으로 공지를 하지 않고 쉬쉬하는 경우가 많다. 해킹을 당했다는 소문이 나면 뱅크런이 발생하기 때문에 내부적으로 처리하는 경우가 많다. 2025년 바이빗 거래소 해킹 이후 많은 중국계 거래소가 해킹을 당했다. 하지만 대부분의 거래소는 뱅크런 이슈를 피하기 위해 해킹 사실을 숨기는데 급급했다. 한국 금융 당국은 이런 거래소가 발견될 경우 트래블룰에 따라 입출금을 차단하고 피해를 최소화해야할 것이다.
필요한 것은 트래블룰과 특금법을 통한 사전 차단
이러한 법적 공백을 메우기 위해선 사후 구제보다 사전 차단이 중요하다. 이미 국내 거래소는 '특정금융정보법'(특금법)에 따른 신고 의무자로 지정되어 자금세탁 방지(AML) 의무를 지며, '트래블룰(Travel Rule)'을 통해 100만 원 이상의 가상자산 이동 시 송수신자 정보를 교환하고 있다. 이 제도는 불법 자금 흐름을 추적하고 차단하는 핵심 장치다.
정책적으로는 이 같은 프레임워크를 해외 재단과의 거래에까지 확대 적용할 필요가 있다. 한국 금융당국은 특금법과 트래블룰 적용 대상을 명확히 하고, 이 기준을 충족하지 않는 해외 재단이나 거래소와의 거래에 대해서는 국내 거래소를 통해 한국인의 입출금 및 거래를 원천적으로 제한하는 방안을 강구해야 한다. 이는 국제적 협력과 표준화를 전제로 한 도전이지만, 국내 투자자를 보호하기 위한 필수적인 조치로 보인다.
개인 투자자가 지켜야 할 5가지 보안 가이드
법과 제도가 완비되기를 기다리는 동안, 개인 투자자가 스스로 자산을 지키기 위해 실천할 수 있는 보안 원칙은 다음과 같다.
첫째. 자산을 한곳에 모아 두지 말라
특정 거래소에 전체 자산을 보관하는 것은 FTX 파산 사태에서 보듯 극단적인 위험을 초대한다. 거래소 해킹이나 운영 중단 시 자산이 장기간 동결되거나 회수 불가능할 수 있다.
둘째. 규제 사각지대의 플랫폼을 경계하라
트래블룰 등 국제 기준을 준수하지 않거나, 평판이 좋지 않은 해외 거래소에서의 거래는 자금세탁에 연루될 리스크와 함께, 해킹 시 어떠한 보호도 받기 어렵다.
셋째. 계정 보안을 최대한 강화하라
국내외 거래소를 이용할 경우, 2단계 인증(2FA)을 반드시 활성화하고, OTP(일회용 비밀번호)나 생체인증 방식을 사용해야 한다. AI를 활용한 정교한 피싱 공격이 증가하는 만큼, 이메일과 문자 메시지의 링크를 함부로 클릭해서는 안 된다.
넷째. 콜드월렛을 적극 활용하라
장기 보유 목적의 대형 자산은 레저(Ledger), 트레저(Trezor) 같은 하드웨어 지갑과 같은 콜드월렛에 안전하게 보관하는 것이 최선의 방어책이다. 이는 인터넷 연결이 차단된 상태에서 개인키를 보관해 온라인 해킹 위협으로부터 완전히 안전하게 만든다.
다섯째. 거래 내역을 스스로 증명하라
자신의 거래 내역, 입출금 기록, 계정 잔고 등을 정기적으로 스크린샷이나 CSV 파일로 저장하고, 안전한 곳에 보관해야 한다. 만일의 사고 시 보상을 요구하거나 피해 규모를 증명하는 결정적 자료가 될 수 있다.
프로젝트 재단이 책임져야 할 보안 원칙
투자자들의 신뢰를 받는 프로젝트 재단은 그에 상응하는 안전 의무를 져야 한다.
핫월렛과 콜드월렛을 철저히 분리하라
즉시 필요한 운영 자금을 제외한 기금의 대부분은 반드시 콜드월렛에 보관해야 한다. 이는 국내 법률이 거래소에 요구하는 기준(80% 이상)보다도 더 엄격하게 적용되어야 할 원칙이다.
다중서명(Multi-Sig)을 도입하라
재단 지갑에서 대규모 자산이 이동하려면 여러 관리자의 독립적인 승인을 받도록 시스템을 구축해야 한다. 이를 통해 내부자의 일탈이나 단일 계정 침해로 인한 자산 유출 위험을 근본적으로 낮출 수 있다.
재단과 거래소는 해킹 이후 신뢰 회복에 모든 것을 걸어야 한다. 피해가 발생했을 때, 스마트 컨트랙트를 교체하는 기술적 조치로 일을 끝내서는 안 된다. 피해 규모를 투명하게 공개하고, 피해자 보상 계획을 신속하게 수립하며, 재발 방지를 위한 보안 체계의 총체적인 개편을 단행하는 것이 프로젝트를 구하는 유일한 길이다.
맺으며
업비트 해킹 사태는 북한과 같은 국가 차원의 조직적 공격이 여전히 현존하며, 법적 규제는 이를 막기엔 역부족임을 보여주었다. 동시에 해외 재단의 불투명한 해킹 사례들은 규제 사각지대의 위험을 적시한다. 이 '해킹의 계절'을 맞아, 투자자 개인의 적극적인 보안 실천과 더불어, 당국의 트래블룰·특금법 기반의 선제적 차단 장치 마련이 시급하다. 기술의 진화에 맞서 안전을 지키는 전쟁은 이제 모든 전선에서 동시에 치러져야 한다. 기자 admin@slotnara.info