업비트 ‘코인 1천억 개’ 해킹 상황 들여다보니 늑장 신고 확실 ; 네이버와 합병 행사 8분 후 금감원 알렸다

가상자산 거래소 업비트를 운영하는 두나무가 해킹 시도를 즉각 인지해 놓고서도 이에 대한 공지와 신고는 한참 뒤에 한 사실이 드러났다. 

국회 정무위원회 소속 강민국 의원실이 금융감독원에서 제출받은 자료에 따르면, 업비트에 대한 해킹 시도는 11월27일 오전 4시42분부터 오전 5시36분까지 총 54분간 이뤄졌다. 

이 시간 동안 1초당 약 3천200만 개(약 1천370만 원어치)의 코인이 외부 지갑으로 전송됐다. 해킹된 가상자산 규모는  24종 1040억6470만여 개(약 445억 원어치)에 달했다.

업비트는 해킹 시도를 인지한 지 18분 만인 오전 5시 긴급회의를 열었다. 이어 5시27분 솔라나 계열 디지털자산 입출금을, 8시55분에는 모든 디지탈자산의 입출금을 각각 중단했다.

하지만 해킹 사실을 금융감독원에 처음 보고한 시점은 해킹 사고 인지 이후 6시간이 지난 오전 10시58분이었다. 

한국인터넷진흥원(KISA)에는 11시57분에 보고했고, 자사 홈페이지에는 낮 12시33분에 공지했다.  

이날 두나무와 네이버파이낸셜 합병 기자회견은 10시50분에 끝났다. 이 때문에 두나무가 행사 이후로 사고 신고와 공지를 의도적으로 미룬 게 아니냐는 의혹이 제기됐다. 

하지만 해킹 사고에 대한 책임을 두나무에 묻는 일은 쉽지 않을 전망이다. 전자금융거래법은 보안 관련 사고에 대해 전자금융업자의 무과실 책임까지 인정하지만 가상자산사업자는 적용 대상이 아니다. 지난해 제정된 가상자산이용자보호법에도 해킹 사고 등 관련 조항은 없다.

이찬진 금융감독원장은 1일 열린 기자간담회에서 “가상자산이용자보호법상 제재에는 한계가 있다”면서도 “업비트에서 발생한 해킹은 그냥 넘어갈 수 없는 사안”이라고 강조했다.

그러면서 “가상자산 2단계 입법 추진 과정에서 문제점을 보완하겠다”고 약속했다. 

금감원은 사고 경위를 확인하기 위해 업비트에 대한 현장검사를 진행 중이다. 

이승열 기자 / wanggo@huffpost.kr