인기 시들해진 가상화폐…해킹·불확실성 악재 등 ‘시계제로’

[이뉴스투데이 유제원 기자]각종 신조어를 만들며 해외 시장보다 많게는 50%까지 높은 가격을 유지했던 국내 암호화폐(가상화폐) 시장이 완전히 가라앉고 있다.

특히 ‘고질병’ 인 가격 변동성이 발목을 잡고 있다. 투자자의 기대감이나 시장 상황 등에 가격이 오르내리는 정도가 지나치다보니 투자심리가 식고 있다.

한국은행은 대표적 가상화폐인 비트코인의 변동성이 미국 달러화, 주식보다 10배 이상 크다는 분석을 내놨다. 올해 1분기 비트코인의 하루 평균 변동률은 4.7%로 달러화 변동률(0.3%)의 15.7배에 달했다.

지난해 하루 평균 수익률의 표준편차를 연 단위로 환산하면 비트코인 변동성은 95.4에 이른다. 코스피지수 변동성(9.0)보다 10배이상 높다.

‘가격 널뛰기’를 제어할 수단도 마땅히 없는 실정이다. 주식시장에선 가격 급등락 때 ‘서킷 브레이커(일시 매매거래 중단)’를 발동하지만 가상화폐 시장에는 이런 보호망이 마련돼 있지 않다.

송치호 이베스트투자증권 연구원은 “정보가 공개되고, 투자자 보호장치가 많은 주식시장과 (가상화폐 시장은) 다르다”며 “투자자 관점에서는 매우 보수적으로 가상화폐 시장에 접근할 수밖에 없다”고 말했다.

여기다 잇단 해킹 사고가 터지면서 투자자들의 불신은 점점 커지고 있다.

지난달 20일 국내 최대 가상화폐(암호화폐) 거래소 빗썸이 350억원 가량의 해킹 피해를 본 사실이 드러나면서 업계 전반에 불신이 커지고 있다.

최근 1년여 사이 거래소들의 해킹 피해액만 총 1000억원에 달하고, 주요 거래소가 검·경 수사를 받음에 따라 가상화폐 거래와 관련한 정부 규제 필요성이 제기되고 있다.

이번 해킹 사고는 중소 가상화폐 코인레일에서 해킹 공격으로 400억원 상당의 가상화폐가 유출된 지 채 열흘도 되지 않은 시점에 발생했다.

이보다 앞서 지난해 4월에는 야피존이 55억원 상당의 해킹 피해를 봤다. 12월에는 야피존이 사명을 바꾼 유빗이 재차 해킹으로 172억원 상당의 가상화폐가 도난당했다.

최근 1년 2개월 사이 거래소 해킹 피해액이 약 977억원에 달한다.

막대한 피해가 발생했으나 피해 보상은 미진하다. 일부 피해 보상을 받은 이들도 있으나 야피존 해킹은 투자자들이 피해액을 떠안는 것으로 귀결됐다.

유빗 해킹과 관련해 투자자들이 거래소를 상대로 소송을 제기했고, 보험금 지급 여부를 둘러싸고 거래소와 보험사간 법적 다툼도 벌어졌다.

코인레일은 해킹으로 도난당한 가상화폐 개발사로부터 피해액만큼 가상화폐를 받아 투자자들에게 나눠주는 방식으로 피해 구제에 나설 것으로 알려져 논란이 예상된다.

그간 해킹사건이 중소 거래소에 발생해 파급력이 크지 않았지만 빗썸은 업계 1위 거래소인 데다가 그간 보안분야에 투자를 많이 했다고 자부해왔기에 이번 해킹으로 인한 업계와 투자자의 충격이 한층 더 크다.

빗썸은 지난  2월 제1금융권에서 적용 중인 통합보안 솔루션 '안랩 세이프 트랜잭션'을 가상화폐 거래소 업계에서는 처음으로 도입했다고 보도자료를 배포했다.

지난달에는 금융업계 대표적인 정보보호 조항인 '5.5.7 규정'을 준수한다고도 했다.

이 규정은 전체 인력의 5%를 IT(정보기술) 전문인력으로, IT 인력의 5%를 정보보호전담 인력으로, 전체 예산의 7%를 정보보호에 사용하도록 금융당국이 금융사에 권고한 사항이다.

빗썸에 따르면 5월 IT 인력은 전체 임직원의 21%이며, IT 인력 중 정보보호를 담당하는 비율은 약 10%다. 또한, 연간 지출예산에서 약 8%가 정보보호 관련 활동에 사용된다.

하지만 빗썸의 전체 인력이 300명으로 거래소 이용자 수와 비교하면 적은 상황이다.

한국블록체인협회 차원에서 인터넷과 연결되지 않은 '콜드월렛'에 암호화폐의 70%를 옮겨두도록 하는 등 자율규제로 보안성 강화에 초점을 맞추고 있지만 역부족이다.

업계 자율이다 보니 거래소가 이를 준수할 의무가 없고 규제 수준을 높게 설정할 수도 없다. 협회가 자율규제 심사를 진행하는 거래소는 14곳으로 전체 회원 거래소 23곳의 절반이 조금 넘는다.

빗썸을 비롯한 업비트,코인원 등 주요 거래소 3곳은 올해 공인 정보보호관리체계(ISMS) 인증 의무대상에 지정됐으나 아직 한곳도 인증을 받지 않았다.

유일하게 코빗만 16일 정보보안 관련 국제표준인증인 ISO27001을 획득했다.

빗썸은 5월 사전신청서를 냈고, 업비트는 3분기 심사를 받기 위해 준비 중이라고 해명했다. 코인원은 하반기 신청해 연내 인증을 받는 것이 목표라고 밝혔다.

코인레일과 빗썸의 해킹 피해에 시차가 크지 않다는 점은 다른 거래소 추가 피해를 의심해보게 하는 대목이다.

빗썸 측은 코인레일 해킹 이후 비정상적인 공격이 증가했다고 밝혔다. 코인레일 해킹 세력이 빗썸으로 방향을 틀었다고 추론해볼 수 있다.

단, 업비트나 코인원 등 다른 주요 거래소에는 이상 공격 징후는 없는 것으로 알려졌다.가상화폐 주요 거래소 대부분이 사건·사고에 얽힌 점은 업계 자율 규제의 한계를 보여준다.

업비트는 가상화폐를 실제로 보유하지 않고 '장부상 거래'를 했다는 혐의로 검찰의 압수수색을 받았다.

코인원은 고객에게 제공한 마진거래가 도박에 해당한다며 대표와 임원 등이 경찰에 불구속 입건됐다.

최종구 금융위원장은 부산 지역 금융 현장방문 간담회 중 기자들과 만나 빗썸 해킹 사고에 대해 "가상통화 취급업소(거래소)가 이런 사고에 취약하다는 것은 어제오늘의 일이 아니다"라며 "가상통화 취급업소 스스로가 거래 시스템을 좀 더 안정적으로 만들고 거래자 보호를 강화하도록 특정금융정보법 개정안이 빠른 시일 내 통과되도록 국회와 협조하겠다"라며 "투자자 자신도 더 주의해야 한다"고 말했다.

김승주 고려대 정보보호대학원 교수는 "국내 거래소를 들여다보면 기술적인 면에서나 (보안) 투입 인력 수에서도 은행·증권 시스템보다 열악하다"며 "현재는 거래소가 법적 틀 안에 있지 않으니 자발적으로 책임감을 느끼고 인력·장비·예산을 투자하는 수밖에 없다"고 지적했다.

이어 "정부의 역할론이 나오는데 암호화폐 거래소를 규제하려면 암호화폐 성격을 정의해야 하고 법적 테두리에 집어넣어야 한다"며 "아직 정부가 암호화폐를 법적 테두리에 넣을지조차 결정하지 않았기 때문에 쉽지 않은 상황"이라고 설명했다.

한편 11일 빗썸·업비트 등 가상화폐(암호화폐) 거래소가 한국블록체인협회 차원의 보안성 등 1차 자율규제심사를 통과했다.

심사 과정에서 일부 회원사에서 보안상 미흡한 부분이 발견됐지만, 협회는 심사 기간까지 늘려가며 참여한 모든 회원사를 통과시켰다.

최근 대규모 해킹사태를 겪은 빗썸도 심사를 통과해 협회의 심사가 사실상 유명무실하지 않느냐는 지적이 나온다.

자율규제위원장은 "운전면허를 내준다고 해도 운전을 잘하고 못하고는 다른 문제"라며 "최고의 보안 수준이 아니라 최소기준을 제시한 것"이라고 강조했다.

또 최근 대규모 해킹 사고를 낸 빗썸이 보안성 심사를 통과한 것에 대해서는 보안 강화만으로 해킹을 모두 막을 수는 없으며, 추후 심사를 강화하더라도 전면 예방하기 힘든 부분이라고 밝혔다.