[단독]프라뱅 코인 1억 털리고 빗썸 고객정보 844명 유출… ‘보안 미흡’ 알고도 뚫렸다

프라뱅, 핫월렛 해킹에 거래 잠정 중단
빗썸, 임직원 715명 정보도 유출
빗썸, 사고 이틀 뒤에야 고객 공지
보안 취약점 사전 인지…당국 감독 도마가상자산(암호화폐) 거래소 프라뱅이 해킹으로 약 1억원어치의 코인을 탈취당해 서비스를 잠정 중단했다. 최근 금융권 연쇄 해킹 사태에서 정보 유출을 넘어 자산 피해까지 확인된 것은 처음이다. 국내 2위 원화 거래소 빗썸에서도 임직원 정보에 이어 고객 개인정보까지 유출된 정황이 드러났다. 두 곳 모두 사고 전 금융당국에 ‘보안 미흡’을 보고하고도 뚫려 거래소의 대응과 당국의 감독이 도마에 올랐다.

29일 가상자산업계에 따르면 프라뱅은 지난 24일 코인을 온라인에 보관하는 ‘핫월렛’에서 비정상적인 출금을 발견했다. 긴급 점검 과정에서 보안 취약점이 확인됐고, 피해는 약 1억원에 달했다. 프라뱅은 26일 관계기관 신고 사실을 고객에게 알렸다.


앞서 프라뱅은 이달 초 고객 개인정보 유출 사고도 겪었다. 김형연 조국혁신당 의원실이 금융감독원에서 확보한 자료에 따르면 프라뱅은 보안 자체점검에서 불필요한 외부 접속 통로 제거, 접근권한 관리, 보안 업데이트 등 3개 항목을 ‘미흡’, 6개를 ‘부분 적정’으로 평가했다. 금감원이 금융권 연쇄 해킹에 대응해 12개 항목을 점검하고 지난 8일까지 결과를 내도록 했을 때다.

빗썸도 지난 18일 일부 서버가 낡아 정규 보안 업데이트를 받지 못한다고 인정했다. 반면 직원용 서비스 등 외부에 노출된 시스템 점검에는 ‘적정’이라고 답했다. 그러나 9일 뒤 직원용 업무시스템이 해킹돼 빗썸과 자회사, 협력업체 임직원 정보가 유출된 정황이 확인됐다. 이후 파악 과정에서 고객 개인정보도 수백 건 유출된 사실을 인지한 것으로 알려졌다.



빗썸은 사고 당일 관계기관에 신고했지만 고객 대상 공식 공지는 해킹 인지 53시간 35분 만인 29일 오후 5시 49분에야 홈페이지에 게시했다. 지난 2월 비트코인 오지급 당시 약 5시간 만에 첫 공지를 낸 것과 대조적이다.

문제는 사전에 드러난 보안 취약점은 해커의 침입 통로로 악용될 수 있다는 점이다. 염흥열 순천향대 정보보호학과 교수는 프라뱅에 대해 “기본적인 보안 수칙을 지키지 못했다”며 “기존에 뚫린 보안 취약점을 이용해 자산을 탈취한 것인지 조사가 필요하다”고 말했다.

소규모 거래소는 보안 투자 여력도 부족할 수 있다. 금융정보분석원(FIU)·금감원의 올해 상반기 실태조사에 따르면 코인끼리 거래하는 코인마켓 거래소 12곳의 거래 가능 계정은 약 2만개로, 5대 원화 거래소 약 1115만개와 격차가 컸다. 거래소당 평균 직원도 각각 24명과 347명이었다. 원화 거래소는 1018억원의 영업이익을 냈지만 코인마켓 거래소는 202억원 적자였다. 업계 관계자는 “보안은 지속적으로 비용이 들어가 영세 거래소일수록 투자 부담이 클 수 있다”고 말했다.

가상자산 거래소는 정보보호 관리체계(ISMS) 인증 등을 갖춰 FIU에 신고하고 수리받아야 영업할 수 있다. 그러나 인증 이후에도 보안 수준을 유지하는 게 중요하다. 황석진 동국대 국제정보보호대학원 교수는 “보안 인증을 받아도 실제 해킹 대응에는 취약할 수 있다”며 “소규모 거래소에는 최신 해킹 정보와 대응 지침을 지원해 기본적인 방어 능력을 높여야 한다”고 말했다.

금융당국의 사후 감독을 강화해야 한다는 지적도 나온다. 김 의원은 “빗썸은 내부 직원용 서비스를 포함한 시스템 점검에 ‘적정’이라고 답했지만 한 달도 지나지 않아 사내 업무시스템이 뚫렸다”며 “스스로 매긴 점수만으로는 실제 보안 상태를 알 수 없는 만큼 금융당국이 답변의 근거자료를 검증하고 미흡한 항목의 개선 여부까지 확인해 뒷북 대처를 끊어야 한다”고 강조했다.

김예슬 기자