가상자산거래소 빗썸의 사내 업무 시스템이 외부 해킹에 뚫려 빗썸과 자회사·협력업체 임직원 정보가 빠져나갔다. 이재원 빗썸 대표가 비트코인 오지급 사고로 국회에 나와 “이번 사고의 최종 책임자로서 진심으로 머리 숙여 사과드린다”고 말한 지 8개월 만이다. 빗썸은 지난 3월 자금세탁방지 의무 위반으로 과태료 368억원도 받았다.
28일 금융위원회에 따르면 유영준 금융위 디지털금융정책관은 이날 금융감독원, 금융보안원, 디지털자산거래소 공동협의체(DAXA), 빗썸 관계자들과 긴급 점검회의를 열었다. 금융위·금감원·금융보안원은 빗썸 현장조사에 들어갔다.
빗썸은 27일 임직원끼리 업무를 주고받는 사내 모바일 그룹웨어에 외부인이 허가 없이 접근한 사실을 확인하고, 당일 한국인터넷진흥원(KISA)과 개인정보보호위원회에 신고했다. 빗썸은 회원 정보가 새어 나갔는지는 아직 확인 중이라고 당국에 보고했다. 코인 지갑 주소처럼 자산을 빼돌리는 데 쓰일 수 있는 정보가 유출된 정황은 지금까지 없다고 설명했다.
사고는 빗썸 한 곳에 그치지 않았다. 최근 미래에셋생명과 미래에셋자산운용이 침해 사고를 신고했고, 대신증권은 사고 조사 과정에서 고객 정보 유출이 추가로 드러났다. 국가안보실은 이날 송기호 3차장 주재로 금융위와 긴급 대응회의를 소집했다.
금융당국은 피해가 생기면 전액 배상 등이 이뤄지도록 감독하겠다고 밝혔다. 다만 가상자산거래소는 은행·증권사와 달리 전자금융 보안 의무와 해킹 피해 배상 책임을 정한 전자금융거래법의 적용을 받지 않는다. 금융위도 이날 이 업권에 은행 수준의 보안조치를 적용하는 방안을 추진하겠다고 했다.
빗썸의 보안 사고는 처음이 아니다. 2017년 4월 채용 이력서로 위장한 악성코드 메일이 회사 관계자의 업무용 PC를 감염시켰고, 회원 정보 3만6487건이 빠져나갔다. 방송통신위원회는 그해 12월 과징금 4350만원과 과태료 1500만원을 부과했다. 2018년 6월에는 350억원 규모의 가상자산을 해킹으로 도난당했다.
9년 전 첫 유출도, 이번 사고도 거래 서버가 아닌 임직원 업무 환경을 통해 뚫렸다. 빗썸이 ‘핵심 전산시설이 아니다’라고 설명한 바로 그 영역이다.
■ 보안 투자 123억, 과태료는 그 3배
빗썸이 정보보호 공시로 밝힌 지난해 정보보호 투자액은 123억6921만원이다. 전년보다 16.2% 늘었지만 같은 해 영업수익 6513억원의 1.9%에 그친다.
지난 3월 금융정보분석원(FIU)이 매긴 과태료 368억7350만원은 이 보안 투자액의 3배다. 빗썸의 지난해 순이익 780억원의 47%에 해당한다. FIU는 신고하지 않은 해외 가상자산사업자와의 거래, 고객 신원 확인 누락, 의심거래 미보고 등을 문제 삼았다. 신규 고객의 가상자산 외부 이전을 6개월간 막는 영업 일부정지도 함께 내렸다.
빗썸은 이 처분에 행정소송을 내고 다투고 있다. 반기보고서에는 과태료 예상액을 소송충당부채(소송에서 질 경우에 대비해 미리 쌓아둔 빚)로 반영했다고 적었다. 같은 제재에서 현직 임원 1명이 문책경고를, 직원 1명이 정직 6개월을 받았다.
내부통제 사고는 그 사이에도 있었다. 지난 2월 빗썸은 이벤트 보상을 지급하다가 실제 보유량의 13~14배인 비트코인 62만개를 고객 계좌에 잘못 넣었다. 금감원은 현장 점검을 정식 검사로 바꿔 3월 검사를 마쳤고, 제재 수위를 심사하고 있다.
같은 달 열린 국회 정무위원회 긴급현안질의에서 김승원 더불어민주당 의원은 빗썸이 2018년에도 입금 처리 오류를 냈다는 제보를 공개했다. 김 의원은 빗썸이 당시 잘못 입금받은 고객들을 상대로 언론 플레이를 하며 반환을 압박했을 뿐 시스템 결함은 고치지 않았고, 그래서 같은 사태가 다시 벌어졌다고 질타했다. 이 대표는 제보 내용을 상세히 파악해 보고하겠다고 답했다.
경영진을 견제할 장치는 얇다. 빗썸 이사회는 사내이사 5명으로만 꾸려져 있고 사외이사와 이사회 안의 위원회가 없다. 이재원 대표가 이사회 의장을 겸한다. 개인정보 유출에 대비해 든 배상책임보험의 보상 한도는 10억원이다.
빗썸 지분 73.56%는 지주회사 빗썸홀딩스가 갖고 있다. 빗썸홀딩스의 최대주주는 디에이에이(34.20%)이고, 그 위로 싱가포르 법인 BTHMB홀딩스(디에이에이 지분 48.53%)와 SG브레인테크놀로지컨설팅(BTHMB 지분 95.80%)을 거치면 이정훈 빗썸에셋 대표(SG브레인 지분 50%)에 닿는다. 공정거래위원회는 이 대표를 빗썸 기업집단의 동일인(총수)으로 지정했다.
이 대표는 빗썸 이사회에 이름이 없다. 그룹 정점에서 지배력을 행사하지만, 이사회 의결과 그에 따르는 이사의 법적 책임은 빗썸 사내이사 5명이 진다.
빗썸은 3월 제재 당시 당국 결정을 존중하고 이용자 보호에 최선을 다하겠다는 입장을 냈다. 이번 사고에 대해서는 당국에 거래와 직결된 핵심 전산시설이 아닌 임직원 업무지원 시스템이 침해당했다고 보고했다.