금융위원회는 ’26.11.12.(목) 신진창 부위원장 주재로 ｢가상자산업권 보안 대책회의｣를 개최하여 가상자산사업자의 침해사고 현황과 대응방안을 점검하고 현 단계에서 최고 수준의 보안 강화를 위한 조치사항과 향후 정책 방향을 논의하였다. 오늘 회의는 최근 국내외에서 지속 발생하고 있는 가상자산거래소의 침해사고에 대해 엄중한 위기의식을 공유하고 금융회사 수준의 안전성 확보의무와 침해사고 대응체계를 갖추기 위해 필요한 사항들을 구체적으로 제시하기 위해 마련되었다. 

  신진창 부위원장은 최근 가상자산업계의 연이은 정보유출과 침해사고 발생 현황을 지적하며, 일부 사업자들의 보안에 대한 인식은 가상자산시장의 성장과 업계에 대한 기대와 달리 제도화 이전에 머물러 있다고 말했다. 특히, 가상자산사업자는 이용자의 자산을 수탁하여 보관하고 관리한다는 점에서 전통적인 금융회사와 동일한 수준의 보안체계가 필요하다고 강조하면서, 보안에 대한 인식을 근본적으로 전환할 것을 촉구하였다. 

  또한, 금융위원회는 가상자산사업자의 보안 규율을 지속적으로 강화해 왔으며, 현재 준비 중인 ｢디지털자산법(안)｣을 통해 디지털자산업자(現가상자산사업자)가 금융회사에 준하는 IT 안전성 확보의무와 손해배상책임을 갖추도록 할 것이라고 밝혔다. 다만, 입법에 시간이 소요되는 만큼 법 제정 전이라도 24시간 모니터링 및 보고체계 구축, 콜드월렛 비중 상향과 준비금 적립 등 현 단계에서 보안 강화에 필요한 사항을 즉시 조치할 것을 당부하였다. 

  금일 회의에서는 ^➀최근 침해사고와 관련한 가상자산사업자의 보안 강화를 위한 비상 대응 수칙, ^➁해킹사고 의심시 사업자의 선제적인 입출금차단 비조치 및 ^➂가상자산사업자의 금융보안원 사원 가입 및 보안성 점검 지원 방안에 대해 논의하였다. 

< ➀ 가상자산사업자 보안사고 비상 대응 가이드라인 마련 > 

  최근 인공지능(AI)을 이용한 사이버 공격 등 새로운 침해위협의 급속한 확산에 대응하여 가상자산사업자가 현 단계에서 조치할 수 있는 침해사고 방지 및 사고 발생시 피해 최소화에 필요한 사항이 논의되었다.  

  첫째, 24시간 일주일 내내 거래가 이루어지는 가상자산시장의 특성에 맞추어 상시 모니터링·대응체계를 갖추도록 하였다. 사업자는 담당 인력 등을 상시 배치하여 비정상적인 대규모 거래 등 사고 발생이 의심되는 경우 필요한 통제 조치를 즉시 시행하여야 한다. 또한, 모니터링·대응체계를 상시적으로 운영하기 어려운 사업자는 동 체계가 정상적으로 운영될 수 있는 시간에만 입출금을 처리하며, 이를 이용자에게 사전 안내하고 충분한 인력 배치 등을 통해 이용자의 입출금 요청을 적시에 대응하여야 한다. 

  둘째, 이용자 자산의 콜드월렛^* 보관 비중의 최대화와 보험 보상한도 및 준비금 적립액의 확충이다. 현재 ｢가상자산업감독규정｣상 사업자의 콜드월렛 의무 보관비중은 80%이나, 전체 사업자의 콜드월렛 보관 비중은 95% 이상으로 이를 크게 상회하고 있는 상황이다. 그럼에도 이용자 자산의 안전한 보관을 위해 가상자산사업자는 핫월렛에 보관되어 있는 이용자 위탁 가상자산 수량을 거래지원에 필요한 최소한의 수량으로 유지하고, 복수의 핫월렛에 분산하여 보관하는 방안도 고려할 필요가 있다. 또한, 해킹 등에 따라 이용자 피해가 발생할 경우, 이에 대한 보상이 원활히 이루어질 수 있도록 보험 보상한도 및 준비금 적립액을 충분히 확보하여야 한다. 

    * 콜드월렛(cold wallet): 인터넷과 분리하여 보관하는 이용자 자산으로서 상대적으로 해킹 등에서 안전 

  마지막으로, 현재 ｢전자금융거래법｣상 금융회사에 적용되는 IT 안전성 확보 의무 이행과 침해사고 대응을 위해 필요한 조치사항을 제시하였다. ｢디지털자산법(안)｣은 디지털자산업자(現 가상자산사업자)도 금융회사 수준의 안전성 기준과 손해배상책임을 갖추도록 할 예정이며, 그 이전이라도 가이드라인을 통해 ｢전자금융거래법｣ 적용 금융회사에 준하는 안전성 확보 의무 등을 수행하도록 할 계획이다. 사업자들은 가상자산거래의 전자적 전송·처리를 위한 인력·시설 등 정보기술 및 정보보호에 관한 사항, 가상자산거래의 안전성 확보에 필요한 기술적·관리적·물리적 조치 등에 관한 안전성 기준을 마련하여야 하며, 정보처리시스템 및 정보통신망에 대해 취약점을 분석·평가하고 그 결과에 따라 보완 조치를 수행하여야 한다. 

  또한, 침해사고가 발생하거나 외부의 비정상적 접근 시도 등 침해 가능성이 발견되는 경우에는 신속하게 금융당국에 해당 사실을 알리도록 하여, 금융회사와 유사한 수준의 사고 보고체계를 갖추도록 하였다.  

< ➁ 해킹 관련 가상자산사업자 입출금 차단 비조치 의견 > 

  최근 증가하는 침해 위협에 대응하여 이용자 피해 확산을 방지하기 위해 해킹사고가 의심되는 경우, 일정 조건 하에 사업자들의 선제적인 입출금 차단을 허용하는 방안에 대해서도 논의하였다.  

  현행 ｢가상자산이용자보호법｣은 정당한 사유 없이 사업자가 입출금을 차단할 수 없도록 하고, 해킹사고 발생이 명백한 경우에만 차단을 허용하고 있다. 이에 이상거래 발생 등 해킹이 의심되는 단계에서도 사업자의 선제적인 입출금차단이 허용되는지 여부가 불명확하다는 업계의 의견이 있었다. 이에,바이낸스 해킹 등 사례에서 보았듯이 가상자산 보안사고의 특성상 신속한 차단조치가 이용자 피해 최소화에 결정적인 바, 사업자들이 해킹, 침해사고가 의심되는 경우, 선제적으로 입출금차단 조치를 취할 수 있도록 ‘비조치 의견서’를 발급하기로 하였다. 

< ➂ 가상자산사업자 금융보안원 사원 가입 및 보안성 점검 지원 > 

  현재 이용자 규모, 회비 부담 등으로 인해 28개 가상자산사업자 중 5개 원화마켓 거래소만 금융보안원 사원 가입을 완료한 상태이다. 그러나 중소 가상자산거래소의 침해사고 발생 현황을 고려할 때, 나머지 가상자산사업자들도 금융보안원에 사원으로 가입하고, 금융회사와 동일한 수준의 보안지원 서비스를 제공받을 필요가 있다. 따라서, 모든 가상자산사업자의 이용 규모 등을 고려하여 금융보안원 추가 사원 가입을 추진하고, 사원 가입 사업자에 대해서는 침해 위협 정보공유, 보안 취약점 점검, 금융보안 전문교육 등 보안 서비스를 제공할 예정이다. 가입이 어려운 경우에는 중소금융사 수준으로 취약요인 탐색, 경보체계, 보안조치 등을 지원한다. 

  현재 가상자산사업자들은 ｢전자금융거래법｣상 취약점 분석·평가 대상에 해당하지 않고, ｢특정금융정보법｣상 ISMS 인증 외에는 별도 점검 의무가 없어, 외부 보안 전문기관의 종합 점검을 확대할 필요성이 크다. 이에, 금융보안원이 가상자산사업자 사원기관을 대상으로 보안 점검을 수행하고, 직접 점검을 수행할 수 없는 사업자에 대해서는 자체적으로 또는 정보보호전문업체를 통해 점검을 수행할 수 있도록 ‘가상자산거래소 특화 보안 점검 기준’을 제공할 계획이다. 이를 위해 최신 침해 위협에 대응할 수 있도록 거래 검증 강화, 월렛 접근 통제 등의 사항을 반영하여 기존 보안 점검 기준^*을 연내 개선할 예정이다. 

    * 업무환경(클라우드 위주 운영, 핫월렛 탈취 위협 등)이 금융회사와 다른 점을 고려하여 ^▲가상자산 컴플라이언스, ^▲블록체인, ^▲월렛, ^▲스마트 컨트랙트 분야 등을 별도로 마련 

  금융위원회는 오늘 논의된 업계의 보안 쇄신 노력을 빈틈없이 지원하는 한편, 가상자산업권에 안전한 보안체계가 확립될 수 있도록 관련 제도를 지속 정비해나갈 계획이다. 

  ※  [별첨] 금융위원회 부위원장 모두발언