[위클리크립토] 빗썸 사내 그룹웨어 해킹, 고객 개인정보 유출 外

[IT동아 한만혁 기자] 디지털자산(가상자산)과 블록체인은 금융, 경제를 넘어 산업 전반에 많은 영향을 끼치고 있습니다. 스테이블코인은 국경을 넘는 결제 수단으로 자리 잡고 있으며, 블록체인 기술은 산업 전반의 인프라로 확장되고 있습니다. [위클리크립토]는 빠르게 변하고 있는 디지털자산·블록체인 업계의 주요 소식을 전합니다.

빗썸 사내 그룹웨어 해킹, 고객 개인정보 유출

디지털자산 거래소 빗썸의 사내 모바일 그룹웨어 ‘다우오피스’에 외부 비인가자가 침입해 고객과 임직원의 개인정보가 외부로 유출됐다. 그룹웨어는 직원들이 메시지, 결재, 파일 공유 등 일상 업무에 쓰는 협업 시스템이다.

빗썸에 따르면 외부 비인가자의 침입은 10월 27일 오전 11시 28분부터 낮 12시 27분까지 약 1시간 동안 이어졌다. 빗썸은 낮 12시 14분 비정상 접근을 처음 인지한 뒤 공격자의 접근 경로를 차단하고 모바일 그룹웨어 사용을 전면 중단했다. 이어 같은 날 오후 11시 39분 한국인터넷진흥원에, 다음 날 오전 0시 48분 개인정보보호위원회에 각각 신고했다.

이번 사고로 정보가 유출된 고객은 총 6444명이다. 그중 5600명의 정보는 외부에서 접근이 불가능한 디지털저작권관리(DRM) 방식으로 암호화해 실제 개인정보가 노출되지 않았다는 것이 빗썸의 설명이다. 단 나머지 844명은 개인정보가 그대로 노출됐다. 항목은 이름, 휴대폰 번호, 이메일 주소, 주민등록번호, 운전면허번호, 계좌번호, 신분증 사본 등이며, 유출 범위는 고객마다 다르다. 이와 함께 임직원 715명의 개인정보도 빠져나갔다. 빗썸은 개인정보가 유출된 고객에게 개별 안내를 진행하고 있다. 빗썸 홈페이지의 공지사항에서도 개인정보 유출 여부를 직접 확인할 수 있다.

빗썸은 직원들이 업무 과정에서 그룹웨어에 저장한 고객 정보가 공격자에게 노출된 것으로 보고 있다. 다만 그룹웨어는 거래소 계정과 보유 자산을 관리하는 시스템과 분리돼 있어, 거래소 서비스나 고객 데이터베이스가 직접 침해된 정황은 확인되지 않았다고 설명했다.

이재원 빗썸 대표는 “고객 여러분께 심려와 불안을 끼쳐드린 점에 대해 깊이 사과드린다”라며 “개인정보가 유출된 고객에게 2차 피해가 확인될 경우 피해 구제와 보상에 최선을 다하겠다”라고 말했다.

이번 사고는 거래소의 핵심 시스템이 아닌 내부 업무망이 뚫렸다는 점에서 가볍게 넘길 일이 아니다. 디지털자산 거래소는 그동안 지갑과 거래 시스템 보안에 많은 공을 들여왔지만, 공격자는 상대적으로 관리가 느슨한 업무용 시스템을 노렸다. 주민등록번호와 신분증 사본 같은 민감한 정보가 업무용 협업 도구에 남아 있었다는 사실 자체도 문제다. 고객 정보를 다루는 업무 방식부터 다시 점검해야 한다.

대응 속도도 아쉽다. 빗썸은 사고 당일 관계기관에 신고했지만, 회원 대상 공지는 사고를 인지한 뒤 이틀이 지나서야 나왔다. 주민등록번호와 계좌번호까지 유출된 만큼 명의 도용이나 피싱 같은 2차 피해 가능성이 있음에도 빠르게 대응하지 못한 점은 상당히 아쉬운 대목이다. 금융권 전반을 노린 공격이 잇따르는 지금, 거래소 보안은 더 이상 지갑만의 문제가 아니다. 업무망과 외부 소프트웨어까지 아우르는 보안 체계를 갖춰야 이용자 신뢰를 지킬 수 있을 것이다.

디지털자산 과세 유예 논의 본격화

2027년 1월 시행을 앞둔 디지털자산 과세를 두고 네 번째 유예 논의가 본격화됐다. 디지털자산 과세는 디지털자산을 양도하거나 빌려주고 얻은 1년치 소득에서 250만 원을 공제한 뒤, 남은 금액에 지방소득세를 포함해 22%의 세율을 매기는 제도다. 2020년 말 소득세법 개정으로 도입됐지만 시행은 세 차례 미뤄졌다.

더불어민주당과 정부는 10월 28일 국회에서 가상자산 과세 당정협의회를 열었지만 유예 여부를 결정하지 못했다. 조승래 국회 재정경제기획위원장은 이 자리에서 고시가 이뤄지면 정부의 과세 선언으로 받아들여질 수 있다며, 과세 여부를 결론 내기 전에 고시부터 미뤄야 한다는 의견을 내놨다. 김민석 더불어민주당 대표는 과세를 일정 기간 유예하는 방향이 바람직하다는 의견이 많았다고 전했다.

국세청은 당초 10월 30일까지 과세 세부 기준을 담은 고시안을 확정할 계획이었다. 고시안에는 소득금액 계산 방법, 취득가액 산정 방식, 필요경비 인정 범위 등 실제 세금 계산에 필요한 기준을 담을 예정이었다. 하지만 국세청은 당정이 시행 시기와 보완 사항을 추가로 논의하기로 한 만큼, 고시 공개 시점은 논의 상황을 종합적으로 고려해 결정하겠다고 밝혔다.

더불어민주당은 10월 30일 국회에서 두나무, 빗썸, 디지털엑스, 코인원, 스트리미(고팍스) 등 5개 원화 거래소 대표와 간담회를 열고 업계 의견을 들었다. 권칠승 더불어민주당 정책위의장은 시장의 불확실성을 더 이상 방치하는 것은 시장과 투자자 모두에게 큰 비용을 초래할 것이라며 당의 입장을 조속히 정리하겠다고 밝혔다. 또한 예정대로 과세해야 한다는 원칙론과 함께, 해외 거래소와 개인 간 거래 추적의 한계, 과세 인프라 부족, 국내 이용자 이탈 우려도 검토해야 한다고 설명했다.

유예 방식을 두고는 여러 안이 나와 있다. 더불어민주당은 시행일을 2028년 등 특정 시점으로 늦추는 방안과 디지털자산기본법 시행에 맞추는 방안을 검토하고 있으며, 11월 중 고위당정을 열어 결론을 낼 계획이다. 박민규 더불어민주당 의원은 10월 15일 특정 연도를 못 박지 않고 국가 간 거래정보 교환이 실제로 시작된 뒤 과세하도록 하는 소득세법 개정안을 대표발의했다. 민병덕 더불어민주당 의원은 10월 30일 열린 토론회에서 디지털자산기본법으로 거래 기준을 세우고 과세 자료 확보를 함께 추진하겠다면서 기한 없는 유예는 답이 아니라고 언급했다.

디지털자산 과세 시기에 대한 논의가 유예 쪽으로 기울고 있다. 문제는 유예 자체가 아니라 이러한 유예가 반복된다는 점이다. 세 차례 유예되는 동안 해외 거래소 거래정보 확보, 손실 이월공제 같은 핵심 과제는 여전히 풀리지 않았다. 과세 기준이 정해지지 않은 상태가 길어질수록 투자자와 거래소의 혼란만 커진다. 이제는 단순히 새로운 시행일만 내놓을 것이 아니라 그때까지 무엇을 갖출지도 구체적으로 명시해야 할 것이다.

바이낸스 해킹 의혹, 대규모 자산 유출 정황

글로벌 디지털자산 거래소 바이낸스에서 대규모 자산이 외부로 빠져나간 정황이 포착돼 해킹 의혹이 제기됐다. 한국 시간 10월 30일 새벽 바이낸스가 운영하는 핫월렛(인터넷에 연결된 전자지갑)에서 많은 자산이 처음 보는 주소로 이동한 것이 발단이다.

바이낸스는 공식 SNS 계정을 통해 잠재적인 보안 문제에 관한 보고를 인지하고 있으며 보안팀이 적극적으로 조사하고 있다고 밝혔다. 이용자 자금은 안전하다고 강조했고, 검증된 정보가 확보되는 대로 공식 채널을 통해 알리겠다고 덧붙였다. 바이낸스는 예방 차원에서 여러 네트워크의 출금을 일시 중단했다. 허이 바이낸스 공동 CEO는 안전이 확인될 때까지 출금을 멈추겠다고 밝혔다.

바이낸스는 아직 이번 자산 이동을 해킹으로 규정하지 않았다. 무단 유출인지 여부, 발생 경위, 최종 피해 규모도 공개하지 않았다. 다만 자오창펑 바이낸스 창업자는 개인 SNS에서 해킹으로 보인다며, 더 이상 경영에 관여하지 않지만 주주로서 이용자 자금이 전액 보전될 것으로 기대한다고 밝혔다.

이번 해킹 의혹에 대해 블록체인 분석 기업 체이널리시스는 유출 규모를 약 59억 달러(약 7조 8960억 원)로 추산했다. 블록체인 보안 기업 블록에이드는 이더리움, 아비트럼, 아발란체 네트워크에서 발생한 약 33억 달러(약 4조 4164억 원) 규모의 의심 유출을 조사하고 있다고 밝혔다. 블록에이드는 공격자가 개인키를 직접 빼내기보다 바이낸스의 거래 승인 시스템을 악용했을 가능성도 제기했다.

스테이블코인 발행사들은 피해 확산을 막기 위해 관련 자산 동결에 나섰다. 테더는 15억 달러(약 2조 74억 원) 이상의 테더(USDT)를 동결했다고 밝혔고, 서클은 약 8억 2300만 달러(약 1조 1014억 원) 규모의 USDC를 동결한 것으로 전해졌다.

의혹이 확산되면서 시장도 흔들렸다. 비트코인은 장중 4% 안팎 하락해 7만 9000달러(약 1억 573만 원) 아래로 내려갔다. 해킹으로 최종 확인되면 2025년 2월 바이비트에서 발생한 약 15억 달러(약 2조 74억 원) 규모의 탈취 사건을 넘어 역대 최대 규모가 될 수 있다.

코인원, 3년간 보이스피싱 피해금 75억 원 환급 지원

디지털자산 거래소 코인원이 최근 약 3년간 보이스피싱 등 전기통신금융사기 피해금 약 75억 원의 환급을 지원했다고 10월 27일 밝혔다. 서울경찰청, 카카오뱅크 등 수사기관 및 금융사와 협력한 결과로, 환급 건수는 총 495건이다.

코인원은 2023년 10월부터 2026년 9월까지 서울경찰청과 협력해 피해자를 찾아 약 24억 7000만 원(83건)을 직접 돌려줬다. 서울경찰청이 수천 개 계좌의 거래내역과 자금 흐름을 추적해 피해자를 확인하면, 코인원이 피해금 산정과 반환 절차를 지원하는 방식이다. 이를 통해 2024년 가상자산 이용자보호법 시행 이전부터 거래소에 오랫동안 남아 있던 피해금도 대부분 피해자에게 돌아갔다.

2024년 10월부터는 실명계좌 제휴 은행인 카카오뱅크와 별도의 협력 체계를 운영했다. 양사는 피해금 확인과 반환을 위한 전용 연락망을 두고, 카카오뱅크의 피해환급 절차를 거쳐 약 50억 1000만 원(412건)을 피해자에게 돌려줬다.

그동안 디지털자산 거래소는 통신사기피해환급법상 금융회사에 포함되지 않아, 피해자 정보를 확인하고 피해금을 돌려주는 공식 절차가 없었다. 피해 신고를 받고 계정을 묶어 자금 유출을 막더라도 피해자에게 돌려주기는 어려웠고, 환급이 늦어지면 소멸시효 등으로 권리 구제가 더 힘들어졌다. 10월 1일 개정 통신사기피해환급법이 시행되면서 거래소도 금융회사처럼 피해 방지와 피해 구제 의무를 지게 됐다. 코인원도 기존 금융회사 협력 방식에서 거래소가 직접 피해구제 절차를 진행하는 방식으로 전환했다.

보이스피싱 조직은 범죄 자금을 디지털자산으로 바꿔 빼돌리곤 한다. 거래소가 범죄 자금의 통로가 될 수도, 피해를 되돌리는 관문이 될 수도 있다는 의미다. 코인원 사례는 법적 근거가 없던 시기에도 거래소가 수사기관, 은행과 손잡으면 피해금을 돌려줄 수 있음을 보여준다. 이제는 법이 거래소에 의무를 부여했다. 남은 과제는 실행이다. 거래소마다 피해 신고 접수부터 환급까지의 절차와 기간을 표준화하고, 이용자가 쉽게 찾아볼 수 있도록 공개해야 한다. 이용자 보호 역량은 이제 수수료나 상장 종목만큼 중요한 거래소의 경쟁력이다.

IT동아 한만혁 기자 (mh@itdonga.com)