[딜사이트 박관훈 기자] 금융당국이 가상자산사업자에 금융사 수준의 보안 의무를 지우기로 했다. 디지털자산법 제정 전이라도 가이드라인을 통해 24시간 상시 모니터링, 콜드월렛 비중 상향, 준비금 확충을 즉시 요구하고, 해킹이 의심되는 단계에서도 거래소가 입출금을 막을 수 있도록 허용했다.

금융위원회는 12일 정부서울청사에서 신진창 부위원장 주재로 ‘가상자산업권 보안 대책회의’를 열었다. 회의에는 금융감독원과 금융보안원이 참석했다. 원화마켓 거래소 5곳(두나무·빗썸·코인원·디지털엑스·스트리미), 코인마켓 사업자 4곳, 보관업자 2곳(KODA·KDAC), 디지털자산거래소 공동협의체(DAXA)도 자리했다.

금융위는 디지털자산법(안)을 통해 디지털자산업자(현 가상자산사업자)가 금융회사에 준하는 IT 안전성 확보 의무와 손해배상책임을 지도록 할 방침이다. 다만 입법에 시간이 걸리는 만큼 ‘가상자산사업자 보안사고 비상대응 가이드라인’을 먼저 적용한다.

가이드라인에 따라 사업자는 24시간 상시 모니터링·대응체계를 갖추고, 비정상적인 대규모 거래 등 사고가 의심되면 즉시 통제 조치를 해야 한다. 상시 대응체계를 운영하기 어려운 사업자는 체계가 정상 운영되는 시간에만 입출금을 처리하고 이를 이용자에게 미리 알려야 한다.

콜드월렛(인터넷과 분리해 보관하는 지갑) 비중도 최대한 높이도록 했다. 현재 가상자산업감독규정상 의무 보관비중은 80%다. 전체 사업자의 실제 보관비중은 95% 이상으로 이미 기준을 웃돈다. 그럼에도 금융위는 핫월렛에 두는 이용자 자산을 거래지원에 필요한 최소 수량으로 줄이고, 여러 핫월렛에 나눠 보관하는 방안을 고려하라고 요구했다. 해킹 피해 보상을 위한 보험 보상한도와 준비금 적립액도 늘려야 한다.

전자금융거래법상 금융회사에 적용되는 수준의 안전성 기준을 마련하고 정보처리시스템의 취약점을 분석·평가해 보완해야 한다. 침해사고가 발생하거나 외부의 비정상적 접근 시도가 발견되면 금융당국에 신속히 보고해야 한다.

현행 가상자산이용자보호법은 정당한 사유 없는 입출금 차단을 금지하고, 해킹 발생이 명백한 경우에만 차단을 허용한다. 이 때문에 이상거래 등 해킹이 의심되는 단계에서 선제적으로 차단해도 되는지 불명확하다는 업계 의견이 있었다.

금융위는 신속한 차단이 이용자 피해를 줄이는 데 결정적이라고 보고, 해킹이나 침해사고가 의심되면 사업자가 선제적으로 입출금을 차단할 수 있도록 ‘비조치 의견서’를 발급하기로 했다.

가상자산사업자 28곳 가운데 금융보안원 사원으로 가입한 곳은 원화마켓 거래소 5곳뿐이다. 금융위는 중소 거래소의 침해사고 발생 현황을 고려해 나머지 사업자의 추가 가입을 추진한다. 가입한 사업자에는 침해 위협 정보 공유, 보안 취약점 점검, 금융보안 전문교육을 제공한다. 가입이 어려운 사업자에는 중소금융사 수준으로 취약요인 탐색, 경보체계, 보안조치를 지원한다.

현재 가상자산사업자는 전자금융거래법상 취약점 분석·평가 대상이 아니다. 특정금융정보법상 ISMS(정보보호 관리체계) 인증 외에는 별도의 보안 점검 의무도 없다. 금융보안원은 사원기관인 사업자를 직접 점검한다. 직접 점검하지 못하는 사업자에는 ‘가상자산거래소 특화 보안 점검 기준’을 제공해 자체적으로 또는 정보보호전문업체를 통해 점검받도록 한다.

신진창 금융위원회 부위원장은 “가상자산사업자는 이용자의 자산을 수탁해 보관하고 관리한다는 점에서 전통적인 금융회사와 동일한 수준의 보안체계를 갖출 필요가 있다”고 말했다. 이어 “사고가 발생한 회사뿐 아니라 전체 사업자가 이용자들의 비판을 뼈아프게 받아들여야 한다”고 강조했다.