실제 자산 피해로 번진 해킹
가상자산 거래소 프라뱅에서 지난 24일 핫월렛 비정상 접근으로 약 1억 원어치 가상자산이 빠져나갔습니다. 핫월렛은 고객 입출금에 바로 대응하려고 인터넷망에 연결해 둔 지갑인데요. 개인정보 유출을 넘어 실제 자산 피해가 현실화된 사례라는 점에서 파장이 큽니다.
프라뱅은 26일 서비스를 잠정 중단하고 피해 규모를 확인한 뒤 회사 자산으로 보전하겠다고 밝혔습니다. 고객 공지는 29일에 이뤄졌습니다. 같은 시기 빗썸은 18일 서버 보안 미흡을 인정한 뒤 9일 만에 직원용 모바일 업무 시스템이 침입당했습니다. 이 과정에서 고객 800여 명과 임직원 700여 명의 개인정보가 유출된 것으로 조사됐고, 주민등록번호와 계좌번호, 신분증 사본까지 포함된 것으로 전해집니다.
보안 점검서 드러난 구멍
두 거래소는 사전 보안 점검에서 이미 미흡한 부분을 지적받았습니다. 금융감독원은 프라뱅 자체 점검에서 3개 항목을 ‘미흡’, 6개 항목을 ‘부분 적정’으로 평가했습니다. 빗썸도 외부 접속 통로 제거와 접근 권한 관리, 보안 업데이트 등에서 미흡 판정을 받았는데요. 점검 이후에도 같은 취약점이 해소되지 않으면서 당국 감독이 도마에 올랐습니다.
배경에는 소규모 거래소의 열악한 보안 투자 환경이 있습니다. 금융정보분석원과 금감원의 상반기 실태조사에 따르면 코인마켓 거래소 12곳은 평균 직원 24명, 영업이익 202억 원 적자를 기록했습니다. 반면 5대 원화 거래소는 직원 347명, 영업이익 1,018억 원을 냈습니다. 인력과 투자 여력이 부족한 중소 거래소가 자동화된 공격에 취약해질 수밖에 없는 구조입니다. 거래소 맞춤 보안기준이 마련됐지만 금융보안원 종합점검 신청은 0건에 그쳤다는 점도 과제로 남습니다.
확산되는 2차 피해 우려
이번 사건은 은행과 증권사를 넘어 가상자산 업계 전반으로 해킹이 번지는 흐름을 보여줍니다. 최근 금융권 해킹 사태 이후 AI를 활용한 자동화 공격이 확산하면서 피해 범위도 넓어지고 있습니다. 마이리얼트립 등 플랫폼에서도 개인정보 유출이 확인됐고, 해커가 빼낸 데이터를 다크웹에서 판매한 사례도 보고됐습니다.
고객정보가 유출된 만큼 직원 사칭이나 보상 빙자 사기 같은 2차 피해 우려도 나옵니다. 금융위원장은 이르면 다음 달 5일 AI 보안위협 대응 금융권 간담회를 열어 대응 체계를 점검할 예정입니다. 거래소의 자체 보안 강화와 함께 중소 사업자에 대한 정보 공유와 지원이 병행돼야 재발을 막을 수 있다는 지적이 나옵니다.