반복된 공공기관 가상자산 유출 사고…정부, 보유·관리 가이드라인 마련

복구구문 분산 관리…콜드월렛 보관 의무화

사고 발생 시 국정원·경찰청·KISA 즉시 통보

정부세종청사 재정경제부 .ⓒ연합뉴스

검찰청에서 압수한 비트코인 300억원이 피싱 사이트에 접속한 사이 탈취되고, 경찰청이 USB에 보관하던 비트코인 21억원이 분실되는 사고가 잇따르자 정부가 공공분야 가상자산 관리체계 개편에 나섰다.

재정경제부는 10일 관계부처 합동으로 ‘공공분야 가상자산 보유·관리체계 개선방안’을 발표하고 즉시 시행에 들어갔다. 수사·징세 과정에서 압수·압류한 가상자산이 늘어나는데도 내부 관리 규정이 없거나 구체성이 부족한 기관이 대부분이어서 사고가 반복됐다는 판단에서다.

전수조사 결과 지난 6일 기준 중앙정부가 보유한 가상자산은 780억원으로 집계됐다. 검찰청 234억원, 국세청 521억원, 경찰청 22억원, 관세청 3억원이다.

대부분 수사·징세 과정에서 압수·압류를 통해 취득한 것이다. 몰수 처분이 나면 즉시 현금화해 국고에 귀속하는 것이 원칙이어서 잔액은 수시로 변동된다.

공공기관의 경우 적십자사·서울대병원 등이 기부금으로 수령한 3억6000만원을 보유 중이다.

이번 개선방안의 핵심은 취득부터 보관·관리·점검·사고대응까지 전 단계에 걸친 체계적 관리 시스템 마련이다.

가상자산 유출 사고의 주된 원인이 복구구문(지갑 분실·도난 시 통제권을 복구하는 정보) 관리 소홀이었던 만큼 이를 두 명 이상이 분할해 확인하도록 의무화했다.

국세청의 경우 보도자료 배포 과정에서 복구구문에 대한 이해 부족으로 해당 정보가 외부에 노출돼 400만 PRTG(수백만원 추정)가 탈취된 바 있다.

직접보관 시에는 인터넷 연결이 차단된 콜드월렛 보관을 원칙으로 하고, 외부 전문기관에 위탁하는 경우에도 다중서명 체계를 적용해 단독 출고를 막도록 했다.

가상자산을 압수·압류할 때는 현장에서 즉시 기관 명의 지갑으로 전송하는 것을 기본 원칙으로 명시했다. 기부받은 가상자산은 수령 즉시 처분해 리스크를 차단하도록 했다.

사고 대응 체계도 구체화했다. 해킹 등 외부 사고가 발생하면 국정원·경찰청·한국인터넷진흥원(KISA)에 즉시 통보하고, 중앙정부는 재정경제부, 공공기관은 주무부처와 재정경제부, 지방정부는 행정안전부에 보고하는 체계를 갖췄다.

가이드라인을 위반해 분실·탈취가 발생할 경우 공무원 징계령에 따라 견책에서 파면까지 가능하며, 사안에 따라 형사 고발도 병행한다.

전담조직은 기관별 가상자산 보유 규모에 따라 자율적으로 신설하거나 지정하도록 했다. 가상자산 관리 담당자를 대상으로 한 정기교육과 유출 사고 대응 모의훈련은 연 1회 이상 실시하도록 의무화했다. 재정경제부는 중앙정부와 공공기관에, 행정안전부는 지방정부에 가이드라인을 배포했다.

재경부 관계자는 “가상자산이 새로 생겨나는 영역이다 보니 기존 압수물과 다른 특성이 있다는 점이 뒤늦게 인지됐고, 그 과정에서 사고도 발생했다”며 “기관 명의 지갑 생성·이전, 전담 조직 설치, 보안 조치 강화 등 이번에 규정된 내용들이 모두 새로 마련된 것인 만큼 각 기관이 가이드라인을 충실히 이행해 추가 사고 방지를 당부드린다”고 말했다.