업비트 54분에 445억 원, 금융위에 알릴 의무는 법에 없다

금융권 해킹이 가상자산 거래소까지 번졌다. 한국일보 집계에 따르면 이달 들어 최소 20개 금융회사가 뚫렸고, 28일에는 빗썸이 더해졌다. 지난해 업비트에서는 해킹으로 이용자 코인 약 445억 원어치가 54분 만에 빠져나갔다. 은행은 해킹을 당하면 금융위원회에 지체 없이 알려야 한다. 가상자산 거래소에도 같은 의무가 있을까.

빗썸은 28일 금융위가 연 긴급 점검회의에서 임직원 정보가 유출된 정황을 설명했다. 뚫린 곳은 거래 전산이 아니라 임직원 업무를 돕는 시스템이었다. 이용자 정보가 나갔는지는 아직 확인하고 있다고 빗썸은 말했다. 같은 자료에서 금융위는 가상자산업권을 "현재「전자금융거래법」이 적용되지 않는" 업권이라고 적었다.

전자금융거래법은 은행 같은 금융회사에 해킹 같은 침해사고를 "금융위원회에 지체 없이" 알리게 한다. 알리지 않으면 1천만 원 이하의 과태료를 문다. 이 법이 적용되지 않으니 빗썸이 회의에서 한 설명도 이 의무에 따른 것이 아니었다.

그러나 빗썸에 신고 의무가 아예 없었던 것은 아니다. 정보통신망법은 빗썸처럼 영리 목적으로 온라인 서비스를 하는 사업자에게 침해사고 신고를 요구한다. 사고를 안 때부터 24시간 안에 과학기술정보통신부나 한국인터넷진흥원(KISA)에 신고해야 한다. 신고하지 않거나 늦추면 5천만 원 이하의 과태료를 문다.

개인정보 보호법 시행령도 있다. 외부의 해킹으로 개인정보가 새면 72시간 안에 개인정보보호위원회에 신고해야 한다. 아이뉴스24에 따르면 빗썸은 KISA와 개인정보위에 신고했다고 28일 밝혔다.

이는 거래소가 법에 따라 신고하는 곳이 금융 감독기관이 아니라는 뜻이다. KISA는 해킹을 막는 기관이고, 개인정보위는 개인정보 유출을 다룬다. 거래소를 감독하는 금융위와 그 아래 금융감독원(금감원)에 해킹을 알리라는 법 조항은 없다.

문제는 금융 당국이 거래소의 사고를 언제 알게 되느냐다. 2025년 11월 27일 업비트 해킹은 오전 4시 42분에 시작됐다. 강민국 국민의힘 의원실이 받은 금감원 자료에 따르면 업비트는 6시간가량 뒤인 오전 10시 58분에 금감원에 신고했다. 업비트는 "비정상 출금이 침해사고라고 최종 확인된 즉시 당국에 보고했다"고 설명했다.

물론 당국이 거래소를 조사할 권한은 있다. 가상자산이용자보호법에 따라 금융위는 거래소를 검사하고 보고를 요구할 수 있다. 이번에도 금감원은 빗썸에 현장 점검반을 보냈다. 그러나 이 권한은 당국이 사고를 안 뒤에야 쓸 수 있다. 거래소가 먼저 알리게 하는 조항은 이 법에 없다.

업계 자율 규칙도 시한을 두지 않았다. 거래소 협의체 DAXA는 금감원과 함께 모범규준을 만들었다. 이 규준에 따르면 금감원 등에 알리는 범위와 절차는 거래소가 스스로 정한다. 해킹 때 "지체없이" 보고하라는 조항은 회사 안의 보안 책임자에게 하는 보고다.

여야 모두 이 빈자리를 메우는 법안을 냈다. 김현정 더불어민주당 의원은 지난해 1월 개정안을 냈다. 해킹 등이 경영에 중대한 영향을 주면 금융위에 즉시 보고하게 하는 내용이다. 박성훈 국민의힘 의원도 올해 1월 개정안을 냈다. 해킹 피해의 배상 책임을 거래소가 입증하게 하고, 침해사고를 금융위에 즉시 보고하게 하는 내용이다. 지금 시행 중인 법에는 아직 이런 조항이 없다.

금융위는 28일 이런 업권에도 은행 수준으로 보안조치를 강화하겠다고 했다. 사고 때 "신속한 대비태세"를 갖추도록 "다각적인 방안을 추진"한다고도 했다. 다만 거래소의 보고 의무를 어떻게 하겠다는 내용은 그 자료에 없다. 금융위는 다음 주 관계부처, 5대 시중은행장 등과 함께 해킹에 대응하는 점검 회의를 연다.

금융위가 답할 물음은 두 가지다. 거래소가 해킹을 당하면 금융위는 그 사실을 언제, 누구에게서 처음 듣게 되나? 여야 법안이 담은 즉시 보고 의무를 다음 주 회의에서 다룰 계획인가?

거래소에도 해킹을 신고할 의무는 있다. 그러나 금융 당국에 해킹을 알릴지, 언제까지 알릴지는 아직 법에 정해져 있지 않다.