62조 원 오지급 사태, 예고된 인재였다
국내 가상자산 거래소 빗썸에서 발생한 62조 원 규모의 비트코인 오지급 사태는 단순한 전산 오류를 넘어 근본적인 내부 통제 실패를 드러냈습니다. 지난 2월 6일, 빗썸은 ‘랜덤박스’ 이벤트 당첨금을 지급하는 과정에서 화폐 단위를 ‘원’이 아닌 ‘비트코인’으로 잘못 선택하는 실수를 저질렀습니다. 이로 인해 249명의 고객에게 총 62만 개의 비트코인이 오지급되었고, 당시 시세로 환산하면 약 61조 원에 달하는 천문학적인 금액이었죠. 일부 고객이 이를 즉시 매도하면서 비트코인 가격이 16% 급락하는 등 시장에 큰 혼란을 야기했습니다.
더 충격적인 건 이번이 첫 사고가 아니라는 점입니다. 빗썸의 이재원 대표는 국회 질의에서 “아주 작은 규모의 건을 2건 더 확인했다”고 답변했습니다. 문제의 근원은 시스템 구조에 있었습니다. 빗썸은 운영 시스템을 고도화하는 과정에서 대규모 자산 이동 시 필수적인 ‘다중 결재’ 기능을 누락했습니다. 또한, 경쟁사들은 5분 단위로 실시간으로 자산을 점검하는 반면, 빗썸은 하루에 한 번만 장부와 실제 보유량을 대조하는 낙후된 시스템을 운영해왔습니다. 이러한 실시간 검증 체계의 부재가 사고 발생 후 20분이라는 골든타임을 놓치게 만든 결정적 원인으로 지목되고 있죠.
오지급을 악용한 스미싱, 2차 피해 기승
빗썸 사태의 여파는 금융 사기 범죄로까지 이어지고 있습니다. 사고 이후 ‘보상금 지급’을 빙자한 스미싱 문자가 급증하면서 금융위원회와 금융감독원이 소비자경보 ‘주의’ 단계를 발령했습니다. 사기범들은 빗썸을 사칭해 “오지급 피해 보상금을 신청하세요”라는 내용과 함께 악성 URL 링크를 포함한 문자를 대량 발송하고 있습니다. 금융당국은 빗썸이 아직 보상금 지급을 위한 개별 안내를 한 적이 없으며, 앞으로도 URL 링크를 포함해 안내하지 않을 것이라고 강조했습니다. 따라서 ‘보상’, ‘피해사실 조회’ 등의 키워드가 포함된 메시지는 100% 사기로 의심해야 합니다.
이 악성 링크를 클릭하면 개인정보와 금융정보를 탈취하는 악성 앱이 설치될 위험이 큽니다. 일단 설치되면 사기범은 휴대폰에 저장된 모든 정보에 접근할 수 있을 뿐만 아니라, 발신번호를 변작해 빗썸 고객센터로 위장한 후 통화까지 가로챌 수 있습니다. 피해를 입었다면 즉시 휴대전화를 비행기 모드로 전환하거나 초기화해야 하며, 경찰청(112)이나 금융감독원(1332)에 신고한 후 관련 금융기관에 지급 정지를 요청해야 합니다. 스미싱이 의심된다면 한국인터넷진흥원(KISA)의 ‘보호나라’ 서비스에서 URL 안전 여부를 확인할 수 있습니다.
규제 공백 드러낸 사태, 실시간 감시 기술 도입 논의
이번 사태는 가상자산 거래소에 대한 현재의 규제 체계가 얼마나 취약한지를 여실히 보여줬습니다. 빗썸은 이미 사업자 갱신 시기를 1년 이상 넘겼음에도, 현행 특정금융정보법(특금법)상 이번 오지급 사고를 근거로 사업자 갱신을 불허하기는 어려운 상황입니다. 법상 불수리 요건이 정보보호 관리체계 미비 등에 국한되어 있기 때문이죠. 이는 가상자산을 정식 금융자산으로 인정하지 않고 자금세탁 방지에만 초점을 맞춘 규제의 한계를 드러냈습니다.
이를 타개하기 위한 기술적 대안이 활발히 논의되고 있습니다. 더불어민주당 민병덕 의원은 ‘지급 의무제(PoL)’ 도입을 촉구했습니다. PoL은 거래소가 보유한 자산보다 많은 자산을 지급하지 못하도록 실시간으로 확인하고, 위반 시 지급을 차단하는 시스템입니다. 오현옥 한양대 교수는 이 시스템 구현에 ‘영지식증명’ 기술을 활용할 것을 제안했습니다. 이 기술은 거래소의 총 자산 건전성은 검증하되, 개별 고객의 잔고나 거래 내역은 노출하지 않아 정보 유출 위험을 방지합니다. 기존 시스템을 크게 변경하지 않고 검증 레이어만 추가하면 돼 비교적 신속한 도입이 가능하다는 장점도 있습니다. 금융당국도 거래소의 실시간 지급 능력을 모니터링하기 위해 관련 기술 도입을 검토 중인 것으로 알려졌습니다. 한편, 디지털자산기본법 입법 논의도 가속화될 전망으로, 사고 재발 방지를 위한 제도적 보완이 이어질 것으로 보입니다.