54분간 펼쳐진 초고속 해킹
국내 최대 가상자산 거래소 업비트에서 지난달 27일 새벽, 54분이라는 짧은 시간 동안 약 445억 원 상당의 가상자산이 유출되는 대규모 해킹 사건이 발생했습니다. 해커는 솔라나(Solana) 네트워크 계열의 코인 24종, 총 1천억 개 이상을 외부 지갑으로 전송했는데요, 1초당 약 3,200만 개의 코인이 빠져나가는 초고속 이체가 이뤄졌습니다. 이 사건은 단순한 금전적 피해를 넘어, 가상자산 거래소의 보안 시스템 전반에 대한 근본적인 의문을 제기하는 계기가 되고 있습니다.
업비트는 사고 발생 약 18분 후인 오전 5시에 이상 거래를 감지하고 솔라나 네트워크 입출금을 즉시 중단하는 조치를 취했습니다. 그러나 이미 상당량의 자산이 유출된 후였습니다. 더욱 논란이 된 것은 보고 시점이었습니다. 업비트 운영사 두나무는 해킹을 인지한 지 6시간이 지난 오전 10시 58분에야 금융감독원에 유선 보고를 했고, 공식 문서 보고는 11시 45분에 이뤄졌습니다. 당시 두나무와 네이버파이낸셜의 합병 행사가 오전 10시 50분에 종료된 점과 맞물리며, 사실 은폐를 위한 '늑장 신고' 의혹까지 불러일으켰습니다.
피해 최소화를 위한 총력전
사고 직후 업비트의 가장 급선무는 고객 자산을 보호하는 것이었습니다. 업비트는 유출된 고객 자산 약 386억 원을 회사 자산으로 전액 보전해 고객 개인에게 금전적 피해가 가지 않도록 했습니다. 동시에 자산 회수를 위한 추적 작업에 돌입했죠. 자체 개발한 온체인 자동 추적 시스템(OTS)을 활용해 자금 이동 경로를 파악하고, 관련 주소를 블랙리스트로 지정해 국내외 거래소에 동결을 요청했습니다.
그 결과, 사고 발생 5시간 만에 23억 원을 동결하는 데 성공했고, 지속적인 협력을 통해 현재까지 총 26억 원 규모의 유출 자산을 동결했습니다. 업비트는 이 동결 자산의 안전한 회수를 위한 법적 절차도 진행 중이라고 밝혔습니다. 또한 자산 회수율을 높이기 위해 '회수 기여 보상 프로그램'을 가동했습니다. 전 세계 거래소나 보안 전문가 등이 유출 자산 추적 및 동결에 기여하면, 최종 회수액의 10%를 보상금으로 지급하겠다는 계획입니다.
드러난 규제의 공백과 향후 과제
이번 사건은 가상자산 산업의 급성장 뒤에 숨겨진 법적·제도적 허점을 적나라하게 보여줬습니다. 현행 전자금융거래법은 은행 등 전통 금융권을 대상으로 하고 있어, 업비트 같은 가상자산 사업자에게는 해킹 사고 시 명확한 제재나 배상 책임을 묻기 어렵습니다. 지난해 시행된 가상자산이용자보호법에도 관련 조항이 포함되지 않았죠. 이로 인해 금융당국은 현장 점검을 통해 원인을 조사하고 있지만, 사업자에 대한 직접적인 제재 근거를 마련하기에는 한계가 있는 상황입니다.
이러한 규제 공백을 해소하기 위해 금융당국은 '가상자산 2단계 입법안'을 준비 중입니다. 입법안에는 가상자산 사업자가 해킹이나 전산 사고 시 고의나 과실 유무와 관계없이 무과실 배상 책임을 지도록 하는 조항과, 안정성·신뢰성 확보 의무 위반 시 과징금을 부과할 수 있는 제재 근거가 담길 전망입니다. 업비트 해킹 사건은 이러한 입법 추진에 박차를 가하는 계기가 될 수 있습니다.
한편, 이번 해킹이 왜 솔라나 네트워크 코인에만 집중됐는지에 대한 구조적 분석도 필요합니다. 일각에서는 솔라나 플랫폼 자체의 기술적 취약점을 지목하기도 하고, 업비트 내 해당 코인의 결제 계정 관리 방식에 문제가 있었을 가능성도 제기되고 있습니다. 정확한 원인 규명은 유사 사고 재발 방지를 위한 가장 기본적인 첫걸음이 될 겁니다. 업비트는 사고 후 모든 디지털자산 지갑을 교체하고 보안 시스템을 전면 강화한 뒤, 지난 6일 입출금 서비스를 재개했습니다. 하지만, 손상된 신뢰를 회복하는 일은 기술적 보완보다 훨씬 오래 걸리는 과제일 것입니다.