[디지털투데이 박근모 기자] 지난 4월 국내 가상화폐 거래소 야피존이 해킹으로 인해 55억원어치 비트코인이 도난 당했으며, 6월에는 국내 최대 가상화폐 거래소인 빗썸의 직원 PC를 통해 가입된 고객 정보가 대규모로 유출되는 사건이 발생한바 있다. 비단 국내뿐만 아니라 해외에서도 홍콩의 가상화폐 거래소 비트피넥스가 해킹으로 6500만달러 상당의 비트코인을 도난 당하는 등 가상화폐가 성장할수록 가상화폐 거래소를 타깃으로 하는 사이버공격이 늘고 있다. 국내 보안업계에서는 해외뿐만 아니라 국내 가상화폐 거래소의 경우 스타트업 기업으로 시작해 단기간 외형적인 성장을 하면서 보안에 대한 신경을 쓰지 못한 것 같다는 의견도 나오고 있다.

국내 가상화폐 거래소 측은 빈번하게 발생하는 해킹이나 개인정보유출 등 사이버공격에 효과적으로 대응하고 투자자 보호를 위해 보안 강화에 서두르고 있다. 정부의 관리 미비, 작전세력의 운동장, 사행성 산업 등의 지적을 받으면서 '24시간 운영 도박장'이라는 비난을 받고 있는 상황에서 보안 마저 뚫리면 진퇴양난에 빠질 수 밖에 없다. 이 때문에 거래소 측은 앞으로 사이버공격으로 인한 피해 방지를 약속하며, 본격적인 고객 신뢰 확보에 나설 계획이다.

코스닥을 넘어선 국내 가상화폐 시장...급성장에 보안 시스템 구축 뒷짐

국내 빅3 가상화폐 거래소로 꼽히는 빗썸, 코인원, 코빗은 28일 기준(비트코인, 이더리움, 비트코인캐시, 리플) 일 거래량이 각각 3940억원, 1310억원, 998억원에 달하고 있다. 비트코인, 이더리움, 비트코인캐시, 리플 외에도 취급하는 가상화폐 거래량을 합치면 코스닥 일 거래 대금인 2조4300억원을 넘어선다고 지난 21일 빗썸이 밝힌 것처럼 국내 가상화폐 시장 규모가 빠른 속도로 확대되고 있다.

문제는 가상화폐 시장이 급성장하면서 이를 타깃한 사이버공격도 빠르게 늘고 있다는 점이다. 특히 지난 6월 국내 최대 가상화폐 거래소 빗썸에서 3만여명의 고객 개인 정보(이메일, 휴대전화번호 등)가 유출되는 사고가 발생하며 가상화폐 거래소에 대한 보안 문제가 본격적으로 대두됐다. 국내 보안 전문가는 이 시점을 기준으로 가상화폐 거래소들이 보안의 중요성을 인식하고 본격적인 대응 태새를 갖추기 시작한 것 같다고 설명했다.

빗썸의 대규모 개인정보 유출 사고 이전까지만 하더라도 대부분의 가상화폐 거래소들이 자체적인 보안 시스템 구축을 통해 시스템 운영을 해온 것으로 확인됐다.

전문 보안 기업과 파트너십 등 보안 시스템 구축 중

빗썸 측은 고객 개인정보 유출 사고를 기점으로 이전부터 준비해온 보안 시스템 구축을 가속화했다고 전했다. 특히 보안 시스템 구축과 보안 관제(탐지, 모니터링)를 위해 금융권 보안 시스템 구축에 경험이 많은 SK인포섹을 보안 파트너로 삼고 보안 시스템 구축에 열을 올리고 있는 상태다.

코인원 역시 최근 SK인포섹을 보안 파트너로 점찍고 현재 보안 시스템 구축을 완료했다. 여기에 화이트해커 그룹인 '그레이해쉬'와 함께 침투테스트(Penetration test, 기업의 보안 방어 시스템의 취약점을 찾아내기 위해 해킹 공격을 하는 보안컨설팅 방법)를 꾸준히 진행 중이다.

코빗은 전문 보안 업체와의 협력 방침이 확정되진 않은 상태지만, 마찬가지로 보안 시스템 체계화를 위한 협의를 진행 중이다.

내부 보안 정책 개선과 망분리 시스템 완료

빗썸의 개인정보 유출 사고의 경우 최근 확인된 조사 결과에 따르면 빗썸 내부 거래 시스템에 대한 해킹 정황은 없는 것으로 확인됐다. 다만 직원이 고객의 개인정보를 무단으로 USB에 저장해 개인PC에 넣어 작업을 했다는 점에서 인적 내부 보안 정책에 큰 구멍이 뚫린 것 아니냐는 지적이 제기된 상태다.

이에 따라 빗썸 측은 사고 이후 내부 보안 정책을 개선한 것으로 알려졌다. 특히 문서 서버 중앙화를 통해 직원 PC에 고객 개인 정보나 업무 정보가 남아있지 않도록 조취를 취했고, 고객 정보의 경우 망분리가 된 전용 서버에 따로 관리 중이다.

코인원은 내부 보안 정책이나 망분리에 있어서 국내 가상화폐 거래소 중 가장 발빠르게 움직이고 있다. 문서 서버 중앙화는 물론 고객 정보는 소수의 인가된 사용자만이 허가를 통해 접속이 가능하며, 원천적으로 개인정보의 유출이 불가능하도록 설정한 상태다. 특히 최고운영책임자(COO)나 최고경영책임자(CEO)의 경우에도 고객 개인정보에 접근하기 위해서는 허가 절차를 받아야할 정도로 고객 정보 관리에 공을 들이고 있다.

코빗 역시 국내에서 가상화폐 거래소를 가장 처음 운영한 만큼 기본적인 문서 서버 중앙화나 고객 개인정보 관리 등 망분리를 통해 이뤄지고 있는 것으로 확인됐다.

방준호 코빗 부사장은 "코빗은 운영 초기부터 고객 정보보안 관리에 힘을 쏟았다"라며 "금융권 수준의 고객 개인정보 보안을 만족할 수 있도록 접근 권한 관리 시스템 등을 이미 구축해 철저히 운영하고 있다"고 강조했다.

현대해상 등을 통해 사이버배상책임보험 본격적으로 준비

빗썸 사고를 바탕으로 개인정보 유출에 따른 피해 보상 유무에 대한 관심도 커지고 있다. 특히 보험을 통한 피해보상책은 투자자로 하여금 거래 시스템 안정성을 담보해주고, 실제 유출 사고 발생시에도 적절한 수준에 피해 보상을 받을 수 있다는 점에서 투자자와 가상화폐 거래소간의 신뢰를 보여줄 수 있는 효과적인 수단으로 꼽힌다.

빗썸은 개인정보 유출 사고 발생 전 AIG손해보험의 '개인정보보호 배상책임보험'을 가입했지만, 만료된 상태로 연장하지 않은 것으로 알려졌다. 하지만 빗썸 관계자는 당시 AIG손해보험과 보험 만료에 따른 계약 연장을 추진하고 있었지만, 사고 발생 후 AIG손해보험이 연장을 거부한 탓에 보험 공백이 생긴 경우라고 설명했다. 현재 고객 개인정보 유출에 따른 피해 보상으로 개인당 10만원씩 지급한 상태다. 빗썸 측은 AIG손해보험과 보험 만료 이후 다양한 보험사와 현재 보험 상품 가입을 위해 세부적인 계약 내용을 협의하는 상태로 곧 새로운 보험 상품 가입 사실을 공개 가능 할 것이라고 전했다.

코인원은 지난 14일 현대해상과 '뉴사이버시큐리티' 사이버배상책임보험을 가입했다. 이를 통해 개인정보 유출이나 기밀 유출, 데이터 손실에 이르는 다양한 피해 발생에 대해 전문 보험사가 보장하는 만큼 투자자들의 신뢰를 확보가 가능할 것으로 전망된다.

ISMS, F-ISMS 등 보안인증을 통해 고객 신뢰 확보 나서

이밖에도 한국인터넷진흥원(KISA)가 인증 테스트를 진행하는 정보보호관리체계(ISMS)의 경우 빗썸과 코빗은 자격 대상에 포함될 내년에 본격적인 인증을 받기 위해 인증 준비에 들어간 상태다. 코인원은 금융보안원에서 진행하는 F-ISMS를 준비 중이다.

신원희 코인원 COO는 "고객정보나 주요 기밀 정보 등 외부 접속은 당연히 불가능하고, 내부에서도 접근하기 위해서는 다양한 허가 절차를 거치는 등 보다 강화한 형태의 보안 정책을 운영 중"이라며 "코인원은 보안을 그 무엇보다 최우선으로 여기고 있는 만큼 사이버배상책임보험, 강화된 보안 정책, 보안 시스템 등 업계 최고의 보안 수준을 유지하고 있다"고 강조했다.

한편 빗썸, 코인원, 코빗 등 국내 3대 가상화폐 거래소는 이밖에도 고객 개인정보 데이터를 AES나 SHA 등 암호화 알고리즘을 통해 보관 중이며 사이트 로그인 시 고객에게 로그인 안내 SMS 전송, 24시간 로그인 접속 기록 탐지, 이상 트래픽 탐지 등 다양한 보안 방법을 적용 중이다.