오경석 두나무 대표. 두나무 제공


해킹 시도 54분 만에 코인 1천억개가 두나무가 운영하는 가상자산거래소 업비트에서 외부로 빼돌려진 것으로 나타났다. 대규모 해킹사고가 발생했는데도 업비트는 두나무·네이버파이낸셜 합병 기자회견을 마친 뒤 사고 인지 이후 무려 6~10시간 이후에 금융당국 등에 보고 및 공지를 한 것으로 확인됐다. 그럼에도 업비트를 제재하거나 배상을 강제할 제도가 현행법상 없어 ‘제도 공백’ 우려가 커지고 있다.
7일 국회 정무위원회 소속 강민국 의원실이 금융감독원에서 받은 바다이야기게임 자료를 보면, 지난달 27일 오전 4시42분부터 오전 5시36분까지 총 54분간 솔라나 계열 24종 코인 1040억6470만여개(약 445억원어치)가 업비트에서 알 수 없는 외부 지갑으로 빠져나갔다. 피해 코인은 봉크(BONK)가 1031억2238만여개(99.1%·15억2621만원)로 가장 개수가 많았고, 솔라나(SOL)가 189억8822만원(42.7%) 메이저릴게임사이트 으로 가장 금액이 컸다.
업비트는 해킹 시도를 인지한 지 18분 만인 오전 5시 긴급회의를 열고 오전 5시27분과 오전 8시55분에 각각 솔라나 네트워크 계열 및 모든 디지털자산 입출금 중단 조처를 취했다. 그러나 해킹 사실 보고 시간은 금감원 오전 10시58분, 한국인터넷진흥원(KISA) 오전 11시57분, 경찰 오후 1시16분, 금융위 게임몰 원회 오후 3시였다. 공지는 두나무·네이버파이낸셜 합병 기자회견이 끝난 오전 10시50분 이후에 이뤄졌다. 합병 기자회견 이후로 공지와 신고를 모두 미룬 것으로 보인다.



네이버·네이버파이낸셜·두나무 경영진이 지난달 27일 경기 성남시 ‘네이버 1784’에서 공동 기자회견을 바다이야기비밀코드 하고 있다. 왼쪽부터 박상진 네이버파이낸셜 대표, 최수연 네이버 대표, 이해진 네이버 이사회 의장, 송치형 두나무 회장, 오경석 두나무 대표. 네이버 제공


그러나 가상자산사업자의 해킹 사고에 대한 제재·배상 규정은 현행법상 없는 상황이다. 금감원이 업비트를 현장 점검 중이지만 중징계는 어려울 것이 바다이야기무료머니 라는 관측이 많다. 전자금융거래법은 전자금융업자에게 관련 사고에 대한 무과실 책임까지 인정하지만 가상자산사업자는 적용 대상이 아니다. 지난해 제정돼 시행 중인 ‘가상자산 이용자보호법’(1단계법)에도 해킹 사고 등 관련 조항은 없다.
현재 마련 중인 ‘가상자산 2단계 입법안’에 대규모 해킹 사고 등에 대해 가상자산 사업자에게 배상 책임을 부과하는 방안이 검토되고 있다. 이찬진 금감원장은 최근 기자간담회에서 “(업비트 해킹 사고 관련) 제재 부분에 상대적으로 한계가 있다. 안전성에 대한 신뢰, 시스템 보안이 가상자산 시장의 생명이다. 가상자산 2단계 입법에서 이 부분을 강화하고 있다”고 말했다.
김진철 기자 nowhere@hani.co.kr