[이데일리 정윤영 기자] 은행권에 이어 가상자산 거래소에서도 침해사고가 확인된 가운데 빗썸과 고팍스가 보안 자체점검에서 최신 보안패치를 적용하지 않았다고 보고했다. 두 곳은 5대 원화거래소 중 가상자산사업자(VASP) 갱신신고 심사가 마무리되지 않은 거래소다. 갱신 심사가 길어지는 가운데 보안 관리에서도 미흡한 부분이 드러난 셈이다.

(자료=민병덕 더불어민주당 의원실)

17일 이데일리가 국회 정무위원회 소속 민병덕 더불어민주당 의원실을 통해 확보한 ‘침해사고 대비 업비트·빗썸·디지털엑스·코인원·고팍스 등 5대 원화마켓거래소 IT 자체점검 체크리스트’에 따르면 빗썸과 고팍스 운영사 스트리미는 12개 항목 중 각각 1개를 미흡으로 평가했다. 공통으로 미흡하다고 보고한 항목은 최신 보안패치 적용 여부였다.

이번 점검은 금융권 침해사고 이후 유사 사고를 막기 위해 실시됐다. 금융감독원은 5대 원화거래소에 외부 노출 시스템 관리, 실시간 보안관제, 보안패치 적용과 기술지원이 끝난 장비 관리, 공격자 IP 차단 등 12개 항목을 점검하도록 했다.

빗썸과 고팍스는 현재 금융정보분석원(FIU)의 가상자산사업자 갱신 심사도 받고 있다. 특정금융정보법(특금법)에 따라 가상자산사업자는 신고수리일로부터 3년마다 갱신신고를 해야 한다. 5대 원화거래소는 모두 2024년 8~10월 갱신 서류를 제출했으나, FIU의 자금세탁방지 현장검사가 진행되면서 심사가 늦어졌다. 이후 지난해 말 업비트를 시작으로 디지털엑스(구 코빗)와 코인원이 갱신 절차를 마쳤고, 빗썸과 고팍스는 결과를 기다리고 있다.

이 가운데 고팍스에서는 최근 침해사고까지 확인됐다. 금융위원회는 지난 14일 신진창 사무처장 주재로 열린 ‘제2차 긴급 상황대응 회의’에서 침해사고가 확인된 업체가 총 16곳으로 늘었다고 밝혔다. 이날 추가로 확인된 5곳에는 고팍스 운영사 스트리미와 코인마켓 거래소 프라뱅이 포함됐다. 다만 같은 날 공개된 금융권 555개사의 자체 보안점검 결과에는 가상자산 거래소가 빠져 있었다.

고팍스는 한 자릿수 고객 계정에 비정상적인 로그인 시도가 있었다고 설명했다. 다른 사이트에서 유출된 이메일과 비밀번호를 이용한 접근 시도로 추정된다는 것이다. 고팍스 관계자는 “보안 시스템이 이상 징후를 탐지한 뒤 해당 계정에 조치를 취했다”며 “고객에게 개별 통지하고 당국 보고를 마쳤다”고 말했다. 이어 “차세대 시스템 업그레이드도 추진할 계획”이라고 덧붙였다.

프라뱅에서는 고객 개인정보 유출이 확인됐다. 프라뱅은 지난 9일 게시한 홈페이지 공지에서 이달 2일 외부인의 비정상적인 접근으로 고객 약 20명의 개인정보가 유출된 사실을 확인했다고 밝혔다. 유출 정보는 이름과 생년월일, 연락처 등 12개 항목이다. 프라뱅은 사고를 인지한 뒤 해당 IP를 차단하고 비정상적인 접근을 감시하는 등 긴급 조치를 했다고 설명했다.

금감원은 이번 자체점검에서 취약점을 보고한 빗썸과 스트리미에 신속한 보완을 지도했다고 밝혔다. 보완계획에는 최신 보안패치 적용, 노후장비 처분·교체, 보안관제 인력·설비 확충 등이 담겼다. 인증 적용 범위를 넓히고 접근통제를 강화하는 조치도 포함됐다.

금감원은 향후 가상자산거래소 보안 관련 후속 조치와 관련해 “제출된 보완계획이 철저히 이행되도록 지도하는 한편, 금융위와 추가 침해사고를 막기 위한 제도개선 방안도 논의하고 있다”고 밝혔다.