해킹 공포에 '자금세탁소' 오명까지···가상자산 거래소 신뢰 시험대

해킹과 불법 자금 이동 문제 연일 발생보안 위협과 자산 보호 중요성 대두"투자자 보호 위한 규제 필요"

그래픽=이찬희 기자

가상자산 거래소가 '보안 위협'과 '법 준수'라는 이중 시험대에 올랐다. 대규모 해킹에 이어 불법 자금의 이동 통로로 활용됐다는 지적까지 나오면서 자산 보호와 자금세탁방지 역량이 거래소 신뢰를 가르는 기준으로 떠오르고 있다.

11일 가상자산업계에 따르면 미국 재무부 산하 금융범죄단속네트워크(FinCEN)는 지난 6일 MEXC 관련 자금이체를 금지하는 명령을 내렸다. 미국 금융기관을 통한 자금 송수신을 차단하는 조치다. 재무부는 최소 160억달러 규모의 불법거래가 MEXC를 거쳤다며 이란·북한·러시아의 제재 회피와 사이버범죄 연계 등을 지적했다.

MEXC는 정상 운영과 고객 자산의 안전을 강조하며 자금세탁방지 통제에 대한 독립 검토에 착수했다. 다만 자산 보관과 불법거래 차단 역량은 별도로 검증해야 할 문제다.

거래소의 준법 부실 논란은 처음이 아니다. 바이낸스는 2023년 미국에서 자금세탁방지 의무와 제재 위반 등을 인정하고 약 43억달러의 벌금·몰수금 지급에 합의했다. 비트멕스도 관련 통제 부실로 지난해 1월 1억 달러의 벌금을 선고받았다.

보안 위협도 거세다. 바이낸스의 약 63억달러 탈취 사건은 직원을 겨냥한 가짜 채용 절차에서 시작됐다. 공격자는 정상적인 구인 플랫폼에서 접근해 신뢰를 쌓은 뒤 악성코드가 담긴 면접 과제를 내려받도록 유도했다.

체이널리시스는 지난 18개월간 유사한 북한 연계 가짜 면접·악성코드 공격 피해액을 1430만 달러 이상으로 파악했다. 수십 건의 공격을 거치며 수법을 정교화했을 가능성이 있다는 분석이다.

거래소들의 피해도 확산되고 있다. 바이비트도 지난해 약 15억 달러 탈취 피해를 입었다. 국내에서는 업비트의 지난해 약 445억원 자산 유출에 이어 빗썸·프라뱅 등의 개인정보 유출이 확인됐다.

국내에서는 해킹 위협에 서비스가 사실상 중단되는 사례도 발생했다. 고팍스는 지난 6일 해킹 협박을 받고 매매와 출금을 잠정 중단했다. 실제 자산 탈취가 확인된 상황이 아닌데도 고객의 자산 인출까지 제한한 것이다.

한 업계 관계자는 "해킹 협박이나 시도가 쏟아지는 상황인데, 출금까지 제한한 것은 너무 이례적인 조치"라고 말했다.

이처럼 보안 위협이 거래소의 정상 운영까지 흔드는 가운데 불법자금 유통을 막는 준법 통제 역시 고객 신뢰를 지탱하는 과제로 꼽힌다. 국내 금융사는 자금세탁과 테러자금 관련 의무를 위반하면 위반 내용에 따라 형사처벌과 행정제재를 받을 수 있다. 국내 가상자산 거래소 역시 고객확인과 의심거래보고 등 자금세탁방지 의무를 부담한다.

반면 해외 거래소는 국가별 규제·감독 수준이 달라 통제에 격차가 있다. 국내 사업자에 엄격한 의무를 부과하는 만큼 해외 거래소에도 공통된 기준이 적용되도록 국제 공조와 감독 체계의 정합성을 높여야 한다는 지적이 나온다. 자금이 국경을 넘어 이동하는 특성상 개별 국가의 규제만으로는 불법거래를 차단하는 데 한계가 있기 때문이다.

한 법조계 관계자는 "해외 거래소는 국가별 규제 차이로 감독·제재에 공백이 생길 수 있다"며 "국제 공조로 이를 좁히기까지 시간이 필요한 만큼 이용자도 보안·준법 수준을 따져 사용하는 거래소 서비스를 신중하게 선택해야 한다"고 말했다.