코인거래소 해킹, 털린 자산 보상받을 수 있나
현행 가상자산이용자보호법에는 해킹 사고 시 거래소의 배상 책임을 정한 규정이 없어, 지금은 피해자가 사업자의 과실을 직접 입증해야 하고 실제 보전은 거래소 자체 결정에 달려 있다. 이는 자금 여력이 약한 중소 거래소일수록 이용자가 피해를 떠안을 위험이 크다는 뜻이며, 국회는 입증 책임을 사업자에게 넘기는 무과실 배상 입법을 심사 중이지만 아직 통과되지 않았다. 사고에 대비해 거래 기록 보존과 신고 경로를 미리 확인하고, 금융당국이 추진하는 선제적 입출금 차단과 배상 명문화가 실제로 적용되는지 지켜봐야 한다.
지금 법으로는 '자동 보상'이 보장되지 않는다
코인마켓 거래소 플라이빗에서 고객 40명의 성명과 주민등록번호, 연락처가 외부로 새어 나갔다. 운영사인 한국디지털거래소는 이달 5일 비인가 접근이 있었다고 밝혔고, 침입은 사내 그룹웨어 운영사를 거친 것으로 전해졌다. 이번 건은 개인정보 유출이지만, 이용자들이 진짜 두려워하는 건 그다음 질문이다. 만약 지갑의 코인 자체가 털리면 거래소가 물어줄까.
결론부터 말하면, 지금의 법은 거래소가 자동으로 배상하도록 강제하지 않는다. 자산을 맡기기 전에 이 공백을 알고 있어야 한다.
현행법이 지키는 것과 비워 둔 것
Photo by Thom Holmes on Unsplash
가상자산이용자보호법은 이용자 자산을 '지키는' 쪽에 무게가 실려 있다. 예치금 보호, 자산의 안전한 보관과 관리, 보험 가입, 준비금 적립처럼 사고를 예방하고 자산을 분리해 두게 하는 장치가 핵심이다.
반대로 비워 둔 부분이 배상이다. 해킹 사고가 났을 때 사업자가 얼마를, 어떤 책임으로 물어줘야 하는지에 대한 구체적 규정이 현행법에는 없다. 그 결과 피해자는 민법의 일반 원칙으로 돌아가 사업자의 고의나 과실을 직접 입증해야 한다. 문제는 거래소 내부의 기술적 결함을 외부 이용자가 증명하는 일이 사실상 불가능에 가깝다는 데 있다. 피해는 이용자에게 났는데 입증 부담도 이용자가 지는 구조다.
실제 보전은 '의무'가 아니라 '선의'에 기댄다
그동안 피해 보전은 거래소의 자체 결정에 의존해 왔다. 두나무는 2025년 11월 솔라나 계열 자산 약 445억원을 탈취당한 사고에서 회사 자체 자산으로 피해를 메웠다. 이용자 입장에서는 다행이지만, 이건 법이 강제한 배상이 아니라 거래소가 스스로 택한 조치였다.
차이가 중요하다. 자본과 평판을 갖춘 대형 거래소라면 자체 보전을 감당할 여력이 있다. 반면 자금이 넉넉지 않은 중소 거래소에서 대형 사고가 나면, 보전을 강제할 법적 근거가 약해 이용자가 고스란히 떠안을 위험이 커진다. 중소 거래소를 쓸수록 이 간극을 더 무겁게 봐야 하는 이유다.
입법은 '무과실 배상' 쪽으로 가고 있다
방향은 바뀌는 중이다. 금융당국은 사업자에게 고의나 과실이 없어도 배상하게 하는 무과실 배상 방안을 검토하고 있다. 국회에도 여러 법안이 올라와 있다. 박성훈 의원안은 전산 사고 피해가 나면 사업자가 원칙적으로 배상하고, 면책받으려면 사업자가 거꾸로 이용자의 고의·중과실이나 자신의 보안절차 준수를 입증하도록 했다. 입증 책임을 이용자에서 사업자로 넘기는 것이 골자다. 손해배상 조항을 담은 다른 의원안들도 함께 심사 대상에 올라 있다.
다만 아직 통과된 것은 없다. 관련 내용이 담길 것으로 거론되는 디지털자산기본법은 국회에 계류 중이고, 시행까지는 시간이 더 걸린다. 그 사이에 사고가 나면 배상 범위는 여전히 불투명하다. '곧 바뀐다'와 '지금 보장된다'는 다르다.
털렸을 때를 대비한 체크리스트
제도가 완성되기 전이라도 피해자가 할 수 있는 일은 있다. 보상 가능성을 높이는 건 사고 직후의 기록이다.
- 거래소의 입출금 내역, 잔고 변동, 로그인 기록을 캡처하고 거래소가 보낸 공지·이메일을 보관한다.
- 거래소 고객센터에 사고를 즉시 신고하고 접수번호와 응대 내용을 남긴다.
- 경찰청 사이버수사 창구(국번 없이 182)와 금융감독원(1332)에 신고해 피해 사실을 공적으로 남긴다.
- 개인정보가 함께 유출됐다면 명의도용에 대비해 계좌·카드 비밀번호를 바꾸고 명의도용 방지 서비스를 신청한다.
- 이용약관에서 사고 시 배상·면책 조항이 어떻게 적혀 있는지 확인해 둔다.
대응회의 이후 무엇이 달라지나
이번 연쇄 사고에 금융당국도 움직였다. 금융위원회는 12일 보안 대책회의를 열어, 해킹이 명백할 때만 가능하던 입출금 중단을 해킹이 '의심'되는 단계에서도 선제적으로 차단할 수 있도록 허용하기로 했다. 24시간 상시 모니터링 가이드라인도 마련한다. 금융감독원은 19일 모든 가상자산사업자의 보안 책임자를 소집해 대응 방안을 논의한다.
이용자가 지켜볼 지점은 두 가지다. 선제적 입출금 차단이 내 거래소에 실제로 적용되는지, 그리고 침해사고 보고 의무와 배상 책임이 법으로 명문화되는지다. 전자는 자산을 묶어 두어 추가 피해를 막는 장치이고, 후자는 사고 이후 돌려받을 근거가 된다. 지금 당장은 '거래소가 알아서 보전해 줄 것'이라는 기대보다, 자산을 나눠 두고 사고 기록을 남길 준비를 해 두는 편이 현실적이다.