바이낸스 해킹, 국내에서는 거래소 잘못이 없어도 배상하는 방안 검토

해킹 피해자는 왜 거래소의 잘못까지 밝혀야 하나

계좌에서 자산이 사라진 사실과 거래소가 그 손실을 배상해야 한다는 결론 사이에는 간격이 있다. 일반적인 손해배상 청구에서는 이용자가 사업자의 고의·과실 등을 입증해야 한다. 돈을 잃은 뒤 책임을 묻는 과정까지 이용자 몫으로 남는 것이다.

국내 가상자산이용자보호법은 해킹 등에 대비한 보험·공제 가입이나 준비금 적립을 요구한다. 그러나 해킹 피해에 대한 별도의 손해배상 책임을 직접 정하지는 않는다. 사고가 나면 민법과 이용 계약 등을 놓고 책임의 성립과 범위를 따져야 한다.

그래서 거래소가 사고에 대비하고 있다는 설명만으로 이용자의 배상 청구가 끝나지 않는다. 준비된 돈이 있는가와 그 돈을 피해자에게 지급할 의무가 있는가는 서로 다른 질문이다. 국내 입법 논의가 바꾸려는 것은 바로 이 청구의 출발선이다.

입증책임을 옮기면 무엇이 달라지나

박상혁 의원안은 손해배상 입증책임을 사업자에게 부과하도록 했다. 이용자가 거래소의 잘못을 밝혀내는 대신, 사업자가 책임을 벗어나려면 자신의 고의·과실이 없음을 입증하게 하는 방향이다.

사고 뒤 책임을 설명해야 할 사람이 바뀐다.

이 변화의 값어치는 배상액을 크게 써 놓는 데 있지 않다. 피해자가 사업자의 잘못을 직접 입증해야 하는 부담을 덜어주는 데 있다. 책임을 묻고 싶어도 입증부터 막히는 이용자에게는 청구를 이어갈 수 있는 조건이 달라질 수 있다.

입증책임 전환을 무조건 배상으로 읽어서는 안 된다. 사업자가 고의·과실이 없음을 밝혀 면책을 구하는 구조라면, 잘못의 유무는 여전히 중요한 판단 대상이다. 바뀌는 것은 우선 그 설명을 누가 맡느냐다.

무과실 배상은 책임의 조건까지 바꾼다

금융당국이 검토하는 무과실 배상은 여기서 더 나아간다. 해킹·전산 사고로 이용자 손해가 발생하면 사업자에게 고의·과실이 없어도 원칙적으로 배상하도록 하는 방안이다. 잘못이 없다는 설명만으로 책임을 벗어날 수 있는지가 달라진다.

입증책임 전환이 ‘누가 잘못의 유무를 증명할 것인가’를 바꾼다면, 무과실 책임은 ‘잘못이 없으면 배상하지 않아도 되는가’를 건드린다. 모두 책임 강화라는 말로 묶이지만, 피해자가 배상을 청구할 때 넘어야 할 조건은 같지 않다.

이 차이는 손실을 누구에게 남길지에 관한 선택이다. 무과실 책임이 도입되면 사업자의 잘못을 따지는 것만으로 정리되지 않는 사고 위험도 원칙적으로 사업자가 부담하게 된다. 이용자 보호의 강도는 ‘책임 강화’라는 발표보다 실제 조항에서 결정된다.

보상 방법 안내에서 배상 의무까지 거리가 있다

국회 정무위원회에 계류된 법안들이 같은 답을 내놓은 것은 아니다. 이강일·박상혁 의원안에는 해킹 시 사업자의 손해배상 책임을 묻는 조항이 들어 있다. 민병덕·김재섭·최보윤 의원안은 해킹 배상 책임을 명시하지 않고 신규 이용자에게 유사시 피해 보상 방법 등을 제시하도록 했다.

보상 방법을 알려주는 의무는 이용자가 거래소의 대응 방식을 미리 살펴보게 한다. 배상 책임을 정하는 조항은 사고 뒤 실제 지급 의무를 따질 근거가 된다. 같은 이용자 보호라도 안내를 받는 권리와 배상을 청구할 권리는 구별해서 읽어야 한다.

정부는 디지털자산기본법안을 마련 중이며, 무과실 배상 필요성은 2026년 3월 가상자산위원회에서도 논의됐다. 일부 의원안에 배상 조항이 있다는 사실은 입법의 경로를 열어 놓지만, 그 조항이 최종 법률에 담겼다는 의미는 아니다.

따라서 법안 병합 심사에서 볼 것은 보호라는 이름이 붙었느냐가 아니다. 배상 의무를 명시하는지, 입증을 사업자에게 맡기는지, 잘못이 없어도 책임지는지가 각각 어떻게 남는지다. 이 문구들이 사고 뒤 이용자의 부담을 가른다.

2024년 사고 재원 규칙은 배상액 약속이 아니다

배상 의무가 정해져도 실제 지급에 쓸 돈은 별도로 마련해야 한다. 금융위원회의 2024년 7월 17일 시행 설명은 보험·공제 한도와 준비금 등을 월말에 산정하고, 다음달 10일까지 필요한 보충 조치를 하도록 안내했다.

그 설명에서 재원 산정에 쓰는 가격은 최근 1년의 일평균 원화환산액이다. 사고 당일의 시가를 그대로 적용하는 방식과 다르다. 가격이 급등한 직후라면 같은 수량이라도 사고 당시 가치와 재원 산정 가치 사이에 차이가 생길 수 있다.

이 계산 규칙은 과거 시행 설명의 내용이며, 피해자마다 손실 전액을 지급한다는 약속도 아니다. 여기서 남는 발견은 분명하다. 배상 책임을 강하게 정하는 일과 그 책임을 감당할 재원을 확보하는 일은 함께 가야 한다.

바이낸스의 약속을 국내 이용자의 권리로 바꾸려면

바이낸스(Binance)는 이번 해킹 탈취 자산을 전액 보전하겠다고 약속했다. 그 약속은 손실을 회사 쪽에서 떠안겠다는 대응이다. 국내 법안이 논의하는 것은 개별 거래소가 같은 선택을 해주기를 기다리지 않아도 배상을 요구할 수 있는 조건이다.

보전 약속과 자산을 꺼낼 수 있는 시점도 다르다. 바이낸스는 2019년 5월 7일 해킹 공지에서 SAFU로 손실을 전액 충당하겠다고 밝히면서 입출금을 중단했다. 거래는 계속 허용했지만 보안 검토에는 약 일주일을 예상했다.

돈을 돌려받을 권리, 그 돈을 지급할 재원, 다시 자산을 꺼낼 수 있는 시점은 서로 이어져 있지만 같은 문제가 아니다. 배상 조항이 생긴다는 소식을 전액 보장이나 즉시 출금으로 받아들이면 이 차이를 놓친다.

국내 책임 강화 논의의 핵심은 피해자가 거래소의 선의를 기다리는 시간을 줄이는 데 있다. 입증책임 전환은 책임을 설명할 부담을 옮기고, 무과실 책임은 잘못이 없는 사고의 손실까지 누가 맡을지 정한다. 해킹 뒤 이용자가 받아야 할 것은 위로의 약속보다, 회사가 왜 책임져야 하는지를 다시 증명하지 않아도 되는 권리다.