가상자산거래소에서 인공지능(AI)은 새로운 경쟁력이자 위험 요인으로 떠올랐다. 투자 판단과 주문을 돕는 AI 서비스가 확산되는 한편, AI를 활용한 사이버 공격도 정교해지고 있다. 거래소들은 AI 기반 이상거래 탐지로 대응하고 있지만 기술 도입만으로 이용자 자산의 안전을 담보하기는 어렵다. 딜사이트는 거래소의 AI 활용 실태와 보안투자 현황, 금융사기 예방체계를 분석해 기술 혁신의 성과와 한계를 살펴본다. [편집자 주]

[딜사이트 조은지 기자] 가상자산거래소들이 보안에 수백억원을 투입하고 이용자 자산 대부분을 인터넷과 분리된 콜드월렛에 보관하고 있지만, 인공지능(AI)을 활용한 사이버 공격까지 막을 수 있을지는 별개 문제다. AI가 피싱과 신원 위조, 계정탈취 등 기존 공격 수법을 빠르게 고도화하면서 보안의 무게중심도 자산 보관에서 접근권한 관리와 사전 탐지·차단으로 확대되고 있다. 특히 탈취된 가상자산은 여러 지갑을 거쳐 빠르게 이동할 수 있어 사고 이후 복구보다 침입 단계에서 공격을 차단하는 역량이 중요해지고 있다.

20일 가상자산업계에 따르면 업비트·빗썸·코인원·디지털엑스·고팍스 등 국내 원화거래소들은 최근 금융당국이 전달한 보안 점검 체크리스트를 토대로 자체 시스템을 점검했다. 디지털자산거래소 공동협의체(DAXA)는 지난 4일 금융위원회와 금융감독원이 개최한 금융권 긴급 보안점검 회의에 가상자산 업권 대표로 참석했다. 거래소들은 점검 과정에서 확인된 미흡 사항을 보완하고 8일까지 점검 결과를 당국에 제출하는 일정으로 대응했다.

◆AI가 키운 공격 속도…사람·계정부터 노린다

최근 보안 위협의 특징은 AI가 전혀 새로운 공격방식을 만들어내기보다 기존 피싱과 사회공학, 계정탈취 등의 속도와 정교함을 끌어올리고 있다는 점이다.

블록체인 분석업체 TRM랩스의 '2026 AI 범죄 활용지수'에 따르면 가상자산 범죄에서 AI 활용 수준을 나타내는 지수는 2024년 28점에서 올해 54점으로 상승했다. 전 세계 가상자산 해킹 건수도 올해 상반기 201건으로 전년 동기 83건의 두 배를 넘어섰다. AI 활용 확대와 별도로 해킹 시도와 피해 위험도 커지고 있는 셈이다.

특히 대형 사고에서는 개인키와 계정정보 탈취, 사회공학 공격 등 인프라 접근권한을 빼앗는 방식이 주요 위험으로 꼽혔다. AI는 딥페이크와 가짜 신원 생성, 피싱 메시지 작성, 취약점 탐색 등을 보다 빠르고 정교하게 만드는 데 활용되고 있다.

거래소 입장에서는 외부 침입뿐 아니라 이용자 계정과 내부 접근권한까지 동시에 관리해야 하는 셈이다. 가상자산 거래는 24시간 이뤄지고 외부 지갑으로 즉시 출고할 수 있어 인증정보나 개인키가 탈취되면 피해자산이 짧은 시간 안에 여러 지갑으로 분산될 가능성도 있다.

◆보안에 243억 쓴 업비트…공개 수준은 제각각

사이버 공격이 고도화되는 가운데 거래소들의 정보보호 투자 규모도 커지고 있다. 2026년 한국인터넷진흥원(KISA) 정보보호 공시에 따르면 업비트 운영사 두나무는 지난해 정보보호에 243억4000만원을 투입했다. 전체 IT 투자액 2103억3000만원의 11.6%다. 정보보호 전담인력은 43.9명으로 2021년 9.9명에서 네 배 이상 늘었다.

빗썸은 지난해 정보보호에 123억6920만원을 투자했다. 전체 IT 투자액 1307억1619만원의 9.5% 수준이다. 전담인력은 42.2명으로 전년 31.8명에서 32.7% 증가했다. 정보보호 투자액은 전년보다 16.2% 늘었지만 전체 IT 투자액에서 차지하는 비중은 11.2%에서 9.5%로 낮아졌다.

고팍스 운영사 스트리미는 정보보호 투자액 7억1078만원, IT 투자액 대비 비중 13.4%, 전담인력 4명을 공시했다. 스트리미는 의무대상이 아니지만 자율적으로 관련 정보를 공개하고 있다.

반면 코인원과 디지털엑스는 올해 KISA 정보보호 공시에서 투자액과 전담인력 규모가 공개되지 않았다. 현행 제도는 가상자산사업자를 일괄적으로 공시 의무대상에 포함하지 않고 사업분야와 상장 여부·매출액, 이용자 수 등을 기준으로 적용하기 때문이다.

코인원 관계자는 “코인원이 공시 진행은 하지 않았지만 보안 투자나 정보보호 인력은 타사 대비 비율도 높은 편이다”고 전했다.

거래소별 정보보호 투자 규모와 인력 현황을 동일한 기준으로 비교하기 어려운 구조인 셈이다. 더욱이 공개된 투자액과 전담인력만으로 AI 기반 공격에 대한 실제 탐지·차단 역량까지 확인하기는 어렵다.

공시 사각지대는 향후 줄어들 가능성이 있다. 과학기술정보통신부는 정보보호 공시 의무대상을 코스피·코스닥 상장사와 정보통신망법상 정보보호관리체계(ISMS) 인증 의무기업까지 확대하는 시행령 개정을 추진 중이다. 기존 공시 제외 대상이던 금융·전자금융사업자 등의 예외도 없애는 내용이 포함됐다.

◆콜드월렛 80% 넘어도…핫월렛 공격은 남는다

이용자 자산 보호를 위한 기본 장치도 이미 마련돼 있다. 가상자산이용자보호법에 따라 사업자는 이용자 가상자산 경제적 가치의 80% 이상을 인터넷과 분리된 콜드월렛에 보관해야 한다.

2025년 금융감독원 제출자료에 따르면 업비트는 98~99% 수준을 콜드월렛에 보관했고 빗썸은 88~95%, 코인원 82~84%, 당시 코빗 83~85%, 고팍스는 81~83% 수준이었다.

그러나 콜드월렛 보관 비중이 높다고 공격 경로까지 차단되는 것은 아니다. 인터넷에 연결된 핫월렛은 물론 이용자 계정과 내부 시스템 접근권한도 공격 대상이 될 수 있다. AI를 활용한 피싱이나 직원 사칭으로 인증정보를 빼앗는 공격에는 자산 격리와 별도의 탐지·차단 체계가 필요하다.

사고 이후 피해를 배상하기 위한 장치도 갖추고 있다. 올해 2월 기준 5대 원화거래소 가운데 고팍스는 배상책임보험에 가입했고 업비트·빗썸·코인원·디지털엑스는 준비금 적립 방식을 택했다. 현행법상 원화거래소는 콜드월렛 보관분을 제외한 이용자 가상자산 경제적 가치의 5% 이상 또는 최소 30억원 중 큰 금액을 보험·공제나 준비금 형태로 확보해야 한다.

보험과 준비금은 사고 발생 이후 피해를 배상하기 위한 수단이라는 점에서 사전 공격 차단과는 역할이 다르다. 거래소들이 정보보호 투자와 자산 격리, 배상 재원을 갖추고 있더라도 AI로 정교해진 공격을 얼마나 빠르게 탐지하고 막아낼 수 있는지는 별도로 검증해야 하는 이유다.

업계 관계자는 “AI가 피싱과 신원 위조, 취약점 탐색 등 기존 공격을 빠르게 고도화하는 만큼 실제 침입을 얼마나 빨리 발견하고 계정·지갑 접근을 차단할 수 있는지가 중요해지고 있다”고 전했다.