가상자산거래소 입출금은 언제 차단되나, 해킹 의심 단계에도 제재 없다

해킹이 '의심'만 돼도 거래소는 입출금을 막을 수 있나

금융위원회가 11월 12일 가상자산업권 보안대책회의에서 해킹·침해사고가 의심되면 거래소가 먼저 입출금을 막을 수 있게 하겠다고 밝혔다. 방법은 비조치 의견서 발급이다.

비조치 의견서는 규정을 지키지 않아도 제재하지 않겠다고 당국이 확인해 주는 문서다. 거래소가 막았다가 문제 삼을까 망설이지 않고 움직이게 하는 장치다.

이용자 입장에서 달라지는 건 급등락 중에 입출금이 갑자기 멈추는 일이 늘 수 있다는 점이다. 이번 조치의 핵심 질문은 막을 수 있느냐보다 막은 뒤의 위험을 누가 지느냐다.

법을 고치지 않고 의견서로 푼 이유는 무엇인가

현행 가상자산이용자보호법은 정당한 사유 없는 입출금 차단을 금지하고, 해킹사고 발생이 명백한 경우에만 차단을 허용한다. 업계는 이상거래 같은 '의심' 단계에서도 막아도 되는지 불명확하다고 의견을 냈다.

2023년 12월 입법예고된 시행령안은 정당한 사유에 해킹 등 사고가 발생했거나 발생이 명백히 예상되는 경우를 넣었다. 의심 단계는 문언상 여기에 걸리지 않고, 위반하면 이용자 손해를 사업자가 배상한다.

그래서 의심만으로 막으면 법적 위험이 따랐고 대응이 늦어질 수 있는 구조였다. 이번 조치의 실체는 차단권 신설이 아니라 차단했다가 물어줄 위험을 당국이 덜어 준 것이다.

법 개정이 아니라 당국의 약속이어서 법원까지 구속하지는 못한다. 같은 날 정부안에 넣겠다고 한 금융사급 손해배상책임은 반대로 사고 때 사업자 책임을 키운다. 사업자는 막아도 면책이고 못 막으면 배상인 양쪽 압박을 받는다.

2025년 11월 27일 업비트 시간표가 보여 준 것

2025년 11월 27일 업비트 솔라나 핫월렛이 해킹됐다. 오전 5시 27분 솔라나 네트워크 입출금을 멈췄고, 8시 55분에 전체 디지털자산 입출금을 중단했다. 유출 공시는 12시 33분에 나왔다.

당시 업비트는 이상 출금을 포착한 뒤 예방 조치로 멈췄다. 유출 규모는 540억원 이상으로 공시했다가 445억원으로 정정했고, 두나무는 전액 자체 보전을 밝혔다.

이번 의견서는 이런 중단이 해킹 발생이 명백하다는 요건을 못 채워도 제재받지 않게 한다. 의심 단계에서 먼저 멈추는 일이 머뭇거림 없이 이뤄지게 하려는 설계다. 남는 문제는 멈춘 뒤 이용자에게 얼마나 빨리 알리느냐다.

금융권 침해 37개사 40건, 왜 하필 지금인가

2026년 9월 30일 첫 침해사고가 확인된 뒤 금융권 침해 신고는 11월 3일까지 37개사 40건으로 늘었다. 가상자산이 그중 3건이다. 금융위는 11월 5일 약 580개사 전수점검을 선언했다.

고팍스는 11월 6일 해킹 협박 메일을 받고 입출금과 매매를 전면 중단한 뒤 콜드월렛 이전을 시작했다. 이번 비조치 의견서가 겨냥한 실제 유형이다. 금감원은 11월 19일 전 사업자 보안책임자 대응회의를 연다.

금융위는 11월 5일 기준 개별 이용자의 자금 손실은 현실화하지 않았다고 파악했다. 최근 탈취된 자금은 회사가 관리하는 핫월렛 등에서 나왔다.

24시간 입출금을 포기하는 거래소가 나올까

가이드라인은 24시간 상시 모니터링·대응체계와 담당 인력의 상시 배치를 요구한다. 상시 체계를 운영하기 어려운 사업자는 체계가 정상 가동되는 시간에만 입출금을 처리하고, 이용자에게 사전 안내해야 한다.

인력을 24시간 두는 비용과 입출금 시간을 줄이는 비용을 견주면 소형 사업자에게는 후자가 싼 길이다. 24시간 입출금이 당연하던 시장에서 거래소마다 입출금 가능 시간이 갈릴 수 있다.

28개 가상자산사업자 중 금융보안원 사원 가입을 마친 곳은 원화마켓 거래소 5개뿐이다. 금융위는 나머지도 가입시켜 금융사와 같은 보안지원을 받게 하겠다고 했다. 최근 자금 탈취가 소규모 거래소·전금업·온투업에서 주로 났다는 금융위 설명과 겹친다.

콜드월렛 95%인데 왜 핫월렛을 더 줄이라 하나

콜드월렛 의무 보관비중은 80%지만 전체 사업자의 실제 비중은 이미 95% 이상이다. 규제가 실무보다 낮았다. 해킹은 남은 핫월렛에서 나므로 금융위는 핫월렛 수량을 거래 지원에 필요한 최소로 줄이고 여러 곳에 분산하라고 했다.

보험·준비금도 늘린다. 2023년 입법예고 기준 의무는 핫월렛 보관가치의 5% 이상이고, 최소 한도는 원화마켓 30억원, 그 외 5억원이었다. 업비트 준비금은 약 483억원이었고 187억원을 더 쌓겠다고 보도됐다.

신진창 부위원장은 국내 거래소 가상자산 시총이 약 66조원, 이용자가 1천만명을 넘는다고 했다. 그러면서 "사업자 일부의 보안인식은 아직 제도화 이전에 머물러 있다"고 짚었다. 상시 인력과 콜드월렛 전환, 보험 확충 비용은 사업자가 진다.

내 거래소의 비상 중단은 어떻게 알 수 있나

이용자가 볼 것은 셋이다. 이용하는 거래소가 비상 중단을 어떤 경로로 공지하는지, 24시간 입출금을 유지하는지, 시간 제한이 있다면 사전 안내가 나오는지다. 상시 체계가 없으면 운영 시간에만 입출금이 처리된다.

디지털자산법이 통과되면 사고 때 배상 책임의 법적 근거가 생긴다. 막는 권한은 이번에 넓어졌고, 이용자에게 보호가 될지 불편이 될지는 차단을 푸는 기준과 책임 범위가 어디까지 정해지느냐에서 갈린다.