디센터 Decenter

암호화폐가 급격하게 확산되고, 그 재화의 가치를 알아본 수많은 사람들은 장래성이 있는 각종 알트코인을 분석하고 매수하는 등 투자에 박차를 가했다. 암호화폐 그 자체에 대한 직접투자뿐 아니라 관련 사업들에 대한 투자 역시 존재했다.

암호화폐 거래소, 황금알을 낳는 거위?

과거 암호화폐 붐이 일었을 당시, 거래소를 오픈한다고 하면 묻지도 따지지도 않고 수많은 투자자가 투자금을 댔다. 이용자만 꾸준히 확보 할 수 있다면 지속적인 수수료 수익의 창출이 가능한 거래소 사업은 마치 황금알을 낳는 거위와 같았다.

거래소를 오픈하는 데에는 두 가지 이점이 있다. 하나는 가격이 급등하고 있는 재화를 취급한다는 점이고, 다른 하나는 설령 사업이 망하더라도 있던 돈 탈탈 털어먹고는 법망을 빠져나갈 구멍이 매우 컸다는 점이다. 우리가 뉴스로 흔히 접한 해킹 피해사례가 바로 이런 구멍이 되고는 했다.

빈번한 거래소 해킹사례

최근 3년간 거래소를 포함한 국내 암호화폐(가상자산) 취급업소에서 발생한 해킹 사고는 총 8건으로 나타났다. 이 중 암호화폐 유출 피해가 7건이었으며, 1건은 개인정보 유출 피해였다.

2017년 4월 발생한 코인빈(구 유빗·야피존) 해킹사고는 약 55억 원의 경제적 피해를 입혔고, 같은 해 12월 또다시 발생한 해킹사고로 약 170억 원의 피해를 발생시켰다. 2018년 6월에는 코인레일이 해킹을 당해 당시 약 500억 원의 피해를 끼치기도 했고, 같은 달 빗썸 해킹사고에서는 350억 원의 피해가 발생했다. 이들 모두를 합치면 총 1,200억 원 규모로, 표면적으로 발생한 피해 금액만 따지더라도 어마어마한 수준에 달한다.

2019년에는 유독 암호화폐 거래소의 해킹사건이 많이 일어났다. 지난 11월 27일 국내 최대 거래소 업비트에서 580억 원 상당의 이더리움이 해킹당하는 사건이 발생했다. 2019년 4월과 5월에는 빗썸과 바이낸스에서 각각 1,300만 달러와 4,070만 달러 상당의 암호화폐가 해킹으로 도난당했다.

해킹 이후 거래소는 유저들에게 일정 수준의 피해보상을 약속한다. 해킹피해를 사실을 고지한 시점부터 거래소는 내부 재정으로 보상금을 충당해야 한다. 중소형 거래소의 경우 재정 부담이 더 심해진다. 결국 유저들의 출금 절차는 지연되고, 거래소 파산에 이르게 되는 결과로 이어지기 십상이다. 즉, 해킹 피해금원에 따른 손해가 일반 이용자들에게 던져지는 꼴이다.

암호화폐 거래소 해킹사건은 내부 소행과 외부 해커의 침입으로 나뉘어 지지만, 공통으로 허술한 보안이 원인이었다는 사실은 부인하기 어렵다. 정보보호관리체계인증(ISMS)를 취득한 암호화폐 거래소에서까지 위와 같은 해킹피해가 발생했다는 점은 애초에 거래소 해킹을 막는다는 것이 불가능한 것이 아닌가 하는 의구심으로 이어지기에도 충분하다.

취약한 보안체계를 강화할 방안도 마뜩잖아 보인다.

과연 해킹인지?

위와 같은 허술한 보안체계에서 과연 위 사례들이 전부 해킹으로 인한 피해사례인지 여부는 더욱 불분명하다. 그 원인이 명확히 밝혀지지 아니한 상황에서는 내부자의 소행으로 인한 금원 빼돌리기일 가능성을 전적으로 배제할 수 없기 때문이다.

심지어 어떤 거래소와 관련된 사례에서는 약 500개의 비트코인이 증발했다는 이유로 일정한 보상을 약속했다. 그러나 위 비트코인이 증발한 이유가 해킹인지 담당자의 관리 소홀로 인한 분실인지도 확실히 알 수 없는 상황에서 무조건 이용자들이 위 보상금 이외의 손해를 떠안게 됐다. 이로 인한 손해배상청구소송이 진행될 예정에 있기도 하다.

거래소의 자체적인 데이터베이스나, 기타 장부 관련 증거 및 자료들은 전부 거래소 측에서 보유하고 있다. 위와 같은 해킹으로 인한 피해의 인과관계를 따져, 이러한 책임을 거래소 측에 귀속시키기란 정녕 쉽지 않은 일이다.

긍정적 판례나와…공동대처가 가장 강력한 대응방안

암호화폐 해킹 사건을 둘러싸고 그간 거래소 책임을 묻지 않았던 법원이 처음으로 이용자에 대한 손해배상책임을 인정했다. 거래소 코인원을 상대로 한 손해배상청구 소송에서 이용자의 손을 들어 준 것이다.

이는 곧 해킹 피해 사실을 고지하고 이에 대한 보상조치를 다 하는 것만이 거래소가 부담하여야 할 책임의 전부가 아니라 해킹을 예방하기 위한 보안 조치 등 투자자 보호조치에 총력을 기울여야 할 책임이 있음을 어느 정도 인정한 판결이 된다는 점에서 의미가 있다. 물론 적용되는 법령에 차이가 없는 한, 위와 같은 손해를 인정받기 위해 입증책임을 부담해야 하는 이용자 측의 어려움은 여전하겠지만 말이다.

위와 같은 거래소 해킹피해 사례들은 공동으로 대처하는 것이 가장 강력한 대응방안이다. 증거들은 갈기갈기 쪼개져 나누어져 있을 가능성이 있다. 다수가 모여 증거를 취합하다 보면 그 속에서 반드시 거래소의 고의 내지는 과실을 입증할 수 있는 자료들이 보이게 될 확률이 높기 때문이다.

/법률사무소 해내 강성신 변호사/ 김대규 변호사