금융권 연쇄 해킹 일파만파… 가상자산사업자(VASP) 2곳 침해 공식 확인

금융권을 강타한 사이버 공격의 불길이 가상자산 거래소까지 번졌다.

금융위원회는 14일 오후 정부서울청사에서 신진창 사무처장 주재로 금융감독원, 금융보안원, 과학기술정보통신부, 행정안전부, 경찰청 등 유관 기관과 함께 '제2차 긴급 상황대응 회의'를 개최하고 금융권 침해사고 조사 경과를 공개했다.

당국에 따르면 기존에 침해 사실이 파악된 11개 금융회사 외에 스트리미(원화마켓 거래소 고팍스 운영사)와 프라뱅(코인마켓 거래소)을 포함해 DB저축은행, 산은캐피탈, 브라이트픽스 등 5개 사가 추가 침해 피해를 입은 것으로 조사됐다. 이로써 이번 사태로 침해사고가 확인된 금융사는 은행, 저축은행, 상호금융, 전자금융업자, 가상자산사업자를 망라해 총 16곳으로 늘어났으며, 유출된 정보는 약 10만 건 규모로 집계됐다.

자산 탈취 정황은 미확인… 계정 탈취(ATO) 및 2차 피싱 공격 우려

온체인 데이터상 고팍스와 프라뱅의 공용 지갑에서 대규모 비정상 출금이나 가상자산 유출 트랜잭션은 아직 감지되지 않았다. 이번 침해는 온체인 지갑 프라이빗 키(Private Key) 유출이 아닌 내부 시스템 접근 권한 획득 및 회원 데이터베이스 침해 단계에서 포착된 것으로 분석된다.

그러나 거래소 이용자의 계정 식별 정보, 전화번호, 이메일 등 개인정보가 외부로 유출되었을 경우 심각한 2차 피해로 이어질 수 있다. 탈취된 크리덴셜(인증정보)을 대입하는 '크리덴셜 스터핑(Credential Stuffing)'이나 이를 기반으로 한 정밀 스피어 피싱, 유심 스와핑(SIM Swapping)을 통해 개별 이용자 지갑의 자산이 탈취될 위험이 급격히 증가한다. 가상자산 커뮤니티와 시장 참여자들 사이에서는 API 키 재발급 및 2단계 인증(2FA) 재설정 등 긴급 계정 보호 조치가 확산되고 있다.

가상자산이용자보호법 하 규제 책임 강화 및 보안 전수조사 불가피

이번 사태는 '가상자산이용자보호법'이 본격 시행된 환경에서 발생한 첫 대형 보안 사고라는 점에서 파장이 적지 않을 전망이다. 현행법상 가상자산사업자는 이용자의 예치금 및 가상자산을 안전하게 보관·관리해야 하며, 해킹·전산장애 등 사고 발생에 대비해 보험에 가입하거나 준비금을 적립해야 할 법적 의무를 부담한다.

금융당국은 침해사고가 확인된 거래소를 대상으로 현장 조사에 착수하는 한편, 가상자산사업자 전반의 내부통제망과 시스템 접근제어 취약점을 전수 점검할 방침이다. 특히 상대적으로 보안 투자가 취약한 중소형 코인마켓 거래소의 시스템 방어선 붕괴 우려가 가시화됨에 따라, 가상자산 업계 전반에 걸친 보안 인증 및 전산 설비 규제 문턱이 한층 높아질 것으로 관측된다.