코인 보안 ‘최고 수준’ 내건 금융위, 이름값 할까

금융위, 콜드월렛 확대·24시간 대응체계 강화 주문

보관 비율 넘어 출금 승인·서명 절차 통제 필요

지원 확대 맡은 금융보안원도 정보 유출로 재점검

금융위원회가 12일 콜드월렛 비중 확대 등 가상자산업권 보안 강화 방침을 밝혔지만, 실질적인 피해 예방을 위해서는 출금 승인·서명 통제와 보안체계 검증이 병행돼야 한다는 지적이 나온다. 해당 이미지는 AI로 제작됨.

금융당국이 잇따른 가상자산업권 침해사고에 ‘최고 수준’의 보안 강화를 주문했다.

하지만 콜드월렛 보관 비중은 이미 의무 기준을 웃돌고, 일부 거래소는 상시 관제와 긴급 출금 차단 장치까지 갖췄다.

당국은 금융회사 수준의 보안체계를 대안으로 내세웠지만, 정작 지원을 맡을 금융보안원도 정보 유출 사고를 겪었다.

보관 비율을 높이고 점검을 늘리는 조치가 실제 방어력으로 이어지는지, ‘최고 수준’이라는 선언보다 작동 여부를 따져야 한다는 지적이 나온다.

금융위원회는 12일 신진창 부위원장 주재로 가상자산업권 보안 대책회의를 열고 침해사고 예방과 대응체계 강화 방안을 논의했다.

신 부위원장은 “가상자산사업자는 이용자의 자산을 수탁하여 보관하고 관리한다는 점에서 전통적인 금융회사와 동일한 수준의 보안체계를 갖출 필요가 있다”며 보안에 대한 인식을 근본적으로 전환할 것을 촉구했다.

금융위는 24시간 모니터링·대응체계 구축과 콜드월렛 비중 확대, 보험·준비금 확충을 주문했다.

디지털자산법으로 금융회사에 준하는 IT 안전성 확보 의무와 손해배상책임을 부과하고, 입법 전에도 비상대응 가이드라인을 통해 보안을 강화한다는 구상이다.

콜드월렛은 자산을 인터넷과 분리해 보관하는 방식이다.

비중을 높이면 온라인 공격에 대한 노출을 줄일 수 있다.

다만 금융위에 따르면 전체 사업자의 콜드월렛 보관 비중은 이미 95% 이상으로 의무 기준인 80%를 웃돈다.

윤승식 타이거리서치 센터장은 “콜드월렛 비중 확대는 자산 보관 측면의 1차 안전판일 뿐, 출금 승인 권한이나 서명 인프라 자체가 탈취되는 공격까지 막기에는 한계가 분명하다”고 말했다.

개인키를 안전하게 보관하는 것과 그 키로 어떤 거래에 서명하도록 할 것인지는 별개라는 설명이다.

최형규 DSRV 리서치센터장은 최근 데일리안과의 인터뷰에서 “서명 전에 요청의 정당성을 검증하는 단계와, 전송 전에 다시 확인하는 자동 차단 장치가 함께 있어야 한다”고 설명했다.

블록체인 보안기업 서틱(CertiK)은 자산·체인별 핫월렛 보유 한도를 제안했다.

고객 예치금 대비 비율과 예상 출금 수요, 거래소 재무·복구 역량에 따른 절대 손실 상한 중 가장 엄격한 기준을 적용하자는 취지다.

금융위원회가 12일 콜드월렛 비중 확대 등 가상자산업권 보안 강화 방침을 밝혔지만, 실질적인 피해 예방을 위해서는 출금 승인·서명 통제와 보안체계 검증이 병행돼야 한다는 지적이 나온다. ⓒ금융위원회

금융위도 핫월렛 잔액을 거래지원에 필요한 최소한으로 유지하고 복수 월렛에 분산 보관하는 방안을 제시했다. 거래 검증과 월렛 접근 통제를 반영한 보안점검 기준도 연내 개선한다.

상시 대응이 어려운 사업자는 모니터링과 대응이 가능한 시간에만 입출금을 처리하도록 했다. 이용자에게 사전 안내하고 충분한 인력을 배치해 요청에 적시에 대응해야 한다.

일부 거래소는 이미 출금 차단 체계를 운영하고 있다.

빗썸은 “출금을 긴급 차단하는 ‘킬버튼’을 365일 즉시 가동할 수 있다”고 설명했다. 디지털엑스도 “이상거래탐지시스템(FDS)이 이상 징후를 감지하면 출금을 자동 차단하고, 야간·휴일에도 담당 조직이 즉시 대응한다”고 밝혔다.

다만 장치를 갖추는 것과 실제 사고에서 작동하는 것은 별개다. 업계에서는 탐지·차단 기능의 실효성을 객관적으로 검증해야 한다고 지적한다.

금융위도 외부 보안 전문기관의 종합 점검을 확대할 방침이다.

현재 가상자산사업자는 전자금융거래법상 취약점 분석·평가 대상이 아니며, 금융위에 따르면 ISMS 인증 외에는 별도 점검 의무가 없다.

이를 보완하기 위해 블록체인·월렛·스마트 컨트랙트 등 업권 특성을 반영한 보안점검 기준을 제공할 예정이다.

금융보안원을 통한 점검·대응 지원도 늘린다. 현재 28개 가상자산사업자 중 금융보안원 사원으로 가입한 곳은 5개 원화마켓 거래소뿐이다.

추가 가입을 추진해 위협정보 공유와 취약점 점검 등을 지원하고, 가입이 어려운 사업자에도 취약요인 탐색과 경보체계 등을 제공할 계획이다.

다만 지원을 확대할 금융보안원 역시 최근 자체 정보 유출 사고를 겪었다. 지난 9일 상시평가 시스템에서 정보 유출을 확인한 뒤 사고 원인과 피해 범위를 조사하고 있다.

금융보안원에 따르면 해당 시스템은 평가용 행정자료 제출 창구로, 금융회사 보안정보를 수집하거나 고객 금융거래를 처리하지 않는다.

이번 사고가 보안지원 기능의 침해로 확인된 것은 아니지만, 자체 보안체계 재점검과 업권 지원 확대를 병행해야 하는 상황이다.

보안점검과 별개로 사고 의심 단계에서 신속하게 대응할 수 있도록 규제상 불확실성을 줄이는 조치도 마련했다.

금융위는 해킹이 의심될 때 선제적으로 입출금을 차단할 수 있도록 비조치 의견서를 발급하기로 했다.

사고가 명백해지기 전에도 차단이 허용되는지 불분명하다는 업계 의견을 반영했다.

가상자산 업계 관계자는 “사고 의심 단계부터 대응할 수 있도록 불확실성을 줄인다는 점에서 의미가 있다”며 “콜드월렛 확대와 핫월렛 잔액 관리, 거래 검증, 신속한 차단이 함께 작동해야 실제 피해 예방으로 이어질 것”이라고 말했다.

또 다른 관계자는 “취약점을 찾아도 고치지 않으면 같은 위험이 반복될 수 있다”며 “점검·인증 여부보다 지적된 문제를 개선하고 재검증하는 과정이 중요하다”고 강조했다.