연합뉴스

가상자산 거래소 업비트에서 발생한 해킹으로 54분 만에 1천억 개가 넘는 코인이 외부로 전송된 것으로 나타났다.

7일 국회 정무위원회 소속 강민국 의원실이 금융감독원으로부터 제출받은 자료에 따르면, 해킹 시도는 지난달 27일 오전 4시 42분부터 5시 36분까지 54분간 진행됐다.

이 시간 동안 외부로 전송된 가상자산 규모는 솔라나 계열 코인 24종 코인 1040억6470만여개(약 445억원)에 달했다. 1초당 코인 약 3200만개(약 1370만원)가 빠져나간 것이다.

피해 금액 기준으로는 ‘솔라나(SOL)’가 189억8822만원(42.7%)으로 가장 컸다. 피해 코인 개수 기준으로는 ‘봉크(BONK)’가 1031억2238만여개(99.1%·15억2621만원)로 가장 많았다.

업비트 운영사 두나무는 해킹 의심 정황을 인지한 뒤 오전 5시 긴급회의를 열었고, 오전 5시 27분 솔라나 계열 자산의 입출금을 중단했다. 이어 오전 8시 55분에는 전 종류 디지털자산 입출금을 전면 중단했다.

해킹 사실을 금감원에 처음 보고한 시점은 해킹 사고 인지 이후 6시간이 흐른 오전 10시 58분이었다.

한국인터넷진흥원(KISA)에 보고한 시점은 오전 11시 57분, 경찰에 신고한 시점은 오후 1시 16분이었다.

금융위원회에는 오후 3시에 별도 보고를 했다. 해킹 사실을 홈페이지에 공지한 시간은 오후 12시 33분이다.

이는 업비트 운영사인 두나무와 네이버파이낸셜 합병 행사가 끝난 오전 10시 50분 이후에 이뤄져 행사 이후로 사고 공지와 신고를 의도적으로 미룬 게 아니냐는 의혹이 불거졌다.

강 의원은 “국내 가상자산거래소 1위 기업인 업비트가 해킹으로 1000억개 이상 코인이 유출됐음에도 6시간 넘게 늑장 신고했다”며 “(유출 대상이 된) 솔라나 플랫폼 자체의 구조적 문제인지, 업비트 결제 계정 방식 문제인지에 대한 조사도 확실하게 있어야 한다”고 지적했다.

현행법상 가상자산사업자의 해킹 사고와 관련해 직접적인 제재나 배상 책임을 규정한 조항은 없다.

전자금융거래법은 전자금융업자에게 거래 안전성·신뢰성을 확보할 것을 의무로 규정하고, 불가피한 사고 위험에 대한 시스템 관리자로서 금융기관의 무과실 책임까지 인정한다. 그러나 적용 대상에 가상자산사업자는 포함되지 않는다.

가상자산업권법(1단계법)이 지난해 시행됐지만, 이용자 보호 중심으로 구성돼 해킹 사고에 대한 제재는 포함되지 않는다.

금융당국은 가상자산 2단계 입법 시 대규모 해킹·전산 사고를 막지 못했을 경우 배상 책임을 부과하는 방안을 검토하고 있다.