코인 해킹 책임 누구에게…금융위, 무과실 배상 명문화 검토
디지털자산기본법 정부안에 거래소 해킹 손해배상과 입증책임을 명문화하는 방안이 담긴다. 무과실 배상 도입 여부를 놓고 당국과 거래소가 맞서는 이유를 짚었다.
코인이 해킹당하면 누가 물어주나
금융위원회가 디지털자산기본법 정부안에 거래소의 해킹 손해배상 책임과 입증책임을 명문화하는 방안을 검토하고 있습니다. 현행법에는 사고가 터졌을 때 누가 어디까지 책임지는지 정한 조항이 없습니다. 이용자가 거래소의 과실을 스스로 증명해야 하는 구조여서 피해 회복이 사실상 막혀 있었습니다. 전자금융거래법처럼 무과실 배상을 적용할지가 최대 쟁점으로 떠올랐습니다.
목차
제도 공백은 왜 이렇게 오래 방치됐나
2024년 7월 시행된 가상자산 이용자 보호법은 자산 분리 보관과 콜드월렛 의무 비율, 보험·준비금 확보까지 규정했습니다. 그런데 정작 사고가 난 뒤의 배상 절차는 비워 뒀습니다. 특정금융정보법 시절부터 이어진 공백이 그대로 남은 셈입니다. 그 결과 피해자는 거래소가 보안 의무를 어겼다는 사실을 직접 입증해야 했고 내부 서버 로그를 볼 수 없는 개인에게는 불가능에 가까운 일이었습니다.
Korea's 2024 user protection act covered custody and reserves but left compensation procedures blank, leaving victims to prove exchange negligence themselves.
무과실 배상, 어디까지 밀어붙일 수 있나
당국이 참고하는 모델은 전자금융거래법입니다. 이용자의 고의나 중과실이 없으면 사업자가 손해를 전부 떠안는 구조입니다. 이 방식이 가상자산에 그대로 옮겨지면 거래소는 보안 조치를 다했다는 항변만으로는 빠져나갈 수 없습니다. 반면 거래소들은 약관을 손보는 방향으로 움직였습니다. 슬래싱이나 네트워크 오류, 외부 해킹처럼 회사가 통제할 수 없는 사유로 스테이킹 자산이 줄면 책임지지 않는다는 조항을 명시한 곳이 나왔습니다. 당국은 책임을 넓히려 하고 업계는 좁히려 하는 정면 충돌입니다.
Regulators are modeling strict liability on the Electronic Financial Transactions Act, while exchanges have been rewriting terms of service to disclaim losses from slashing, network errors and external hacks.
숫자로 보면 사정이 얼마나 급한가
올해 상반기 전 세계 가상자산 해킹 피해는 11억 달러, 약 1조6000억원으로 집계됐습니다. 건수는 201건으로 지난해 같은 기간 83건의 두 배를 넘었습니다. 9월 한 달 피해액만 7억6600만 달러였습니다. 국내도 안전지대가 아닙니다. 지난해 11월 업비트에서 솔라나 계열 자산 445억원어치가 54분 만에 외부 지갑으로 빠져나갔습니다. 운영사 두나무가 회원 피해분 386억원을 자체 자산으로 메웠지만 그건 법적 의무가 아니라 기업 판단이었습니다.
보상 재원의 실효성도 의심받습니다. 현행법은 핫월렛 보관분의 5% 또는 최소 30억원 가운데 큰 금액을 보험이나 준비금으로 확보하라고 요구합니다. 5대 원화 거래소 중 보험에 가입한 곳은 고팍스 한 곳뿐입니다. 보상 한도 30억원에 첫해 보험료가 4억5000만원이었습니다. 보험료율로 환산하면 15%입니다. 445억원 규모 사고 하나에 30억원 한도가 어떤 의미인지는 계산할 필요도 없습니다.
Global crypto hacks hit $1.1 billion in the first half of this year across 201 incidents, and Korea's own case saw 44.5 billion won drain from Upbit in 54 minutes while the statutory reserve floor stands at just 3 billion won.
입법 시계는 어디까지 왔나
이억원 금융위원장은 지난 8일 국회 정무위원회 국정감사에서 관련 내용을 이미 준비해 뒀고 막바지 협의 중이라고 밝혔습니다. 금융위는 11월 법안소위에서 논의가 이뤄지기를 기대한다는 입장입니다. 다만 정부안은 아직 국회 문턱을 넘지 못했습니다. 원화 스테이블코인 발행 주체와 거래소 대주주 지분 제한이라는 더 큰 쟁점이 조율을 붙잡고 있습니다. 해킹 배상 조항은 이 큰 덩어리에 묶여 함께 움직이는 처지입니다.
해외 기준은 이미 앞서 있습니다. 유럽연합 MiCA는 가상자산 서비스 제공자에게 안전 보관 의무를 부과하면서 투자 손실에 대한 책임까지 명시했습니다. 일본은 마운트곡스와 코인체크 사고를 겪은 뒤 2019년 자금결제법 개정으로 핫월렛 보유분과 동일 종류·동일 수량의 변제 원자산을 따로 들고 있도록 의무화했습니다. 파산 시 반환청구권에 우선변제권도 붙였습니다.
The bill has yet to reach the National Assembly, with the FSC hoping for subcommittee debate in November, while the EU's MiCA and Japan's revised Payment Services Act already codify operator liability.
책임 조항 하나가 시장 구조를 바꾸는 이유는 무엇인가
이번 논의의 본질은 배상금의 크기가 아닙니다. 사고 비용을 누가 먼저 떠안느냐를 정하는 문제입니다. 지금처럼 이용자가 입증 부담을 지면 거래소 입장에서 보안 투자는 비용일 뿐입니다. 책임이 사업자로 넘어가는 순간 보안은 손익계산서에 직접 들어오는 항목으로 바뀝니다. 전자금융거래법이 은행권에 가져온 변화가 그랬습니다. 보상 의무가 생기자 이상거래 탐지 시스템 투자가 자발적으로 늘었습니다. 규제가 선의를 요구하는 대신 계산을 바꿔 놓은 사례입니다.
다만 그대로 옮기는 데는 무리가 따릅니다. 은행 계좌의 돈은 장부상 숫자여서 되돌릴 수 있지만 블록체인으로 빠져나간 자산은 회수가 어렵습니다. 업비트 사고에서 445억원 중 동결에 성공한 금액은 26억원에 그쳤습니다. 회수율이 6%도 되지 않는 자산을 전액 배상하라고 하면 그 부담은 결국 수수료나 자본 요건으로 전가됩니다. 중소 거래소가 먼저 버티지 못할 가능성이 큽니다. 책임 강화가 역설적으로 대형 거래소 중심의 과점을 굳히는 방향으로 작동할 수 있다는 뜻입니다.
그래서 조문 한 줄보다 설계가 중요합니다. 무과실 배상을 도입하더라도 재원 구조를 함께 손질하지 않으면 선언에 그칩니다. 핫월렛 5% 또는 30억원이라는 기준은 사고 규모를 따라가지 못한다는 사실이 이미 드러났습니다. 업계 공동기금이나 재보험 구조를 같이 검토해야 하는 이유입니다. 보안 사고 공시 기준을 정비하는 일도 남았습니다. 무엇이 사고인지 정의되지 않으면 배상 책임은 소송장에서만 작동합니다.
가상자산 이용자 1163만명 중 실제 활동 계정은 380만명입니다. 셋 중 둘이 지갑을 비워 두고 떠난 시장에서 신뢰를 되찾는 일은 가격 상승보다 제도 신뢰에 달려 있습니다. 해킹당해도 하소연할 곳이 없다는 인식이 남아 있는 한 자금은 돌아오지 않습니다. 이번 법안이 시험받는 지점은 바로 거기입니다.
The real question is not the size of compensation but who absorbs the cost of failure first, and whether the reserve structure can survive a hack larger than the statutory floor.