코인 지갑도 고객센터도 뚫렸다… 거래소 5곳 ‘해킹 수난사’

코인원, 상담 외주업체 해킹에 정보 유출
주민번호·비밀번호 등 유출 가능성 조사
프라뱅 1억 탈취·빗썸은 업무망 침해
금융보안원 가입 5곳… 협력사 관리 숙제가상자산(암호화폐) 거래소에서 해킹 사고가 잇따르며 공격 대상과 피해 유형도 다양해지고 있다. 최근 침해사고가 확인된 곳은 원화로 코인을 사고파는 빗썸·코인원·고팍스 3곳과 코인끼리 거래하는 프라뱅·플라이빗 2곳 등 모두 5개 거래소다. 코인을 보관하는 지갑뿐 아니라 직원용 업무시스템과 고객상담 외주업체까지 뚫리면서 자산 탈취와 개인정보 유출 피해가 이어지고 있다.

15일 가상자산업계에 따르면 코인원은 지난 12일 고객상담 외주업체 메타엠의 서버가 해킹돼 고객정보가 유출됐다고 이날 공지했다. 이름과 전화번호 외에 주민등록번호, 비밀번호, 계좌번호 등도 유출 가능 항목에 포함됐다. 다만 코인원 자체 거래·지갑 시스템에 직접 침입한 정황은 현재까지 확인되지 않았다. 코인원 측은 “고객마다 상담 내용에 담긴 정보가 달라 실제 유출 항목과 피해 인원을 확인하는 데 시간이 걸리고 있다”고 설명했다.



코인을 보관하는 지갑과 이용자 계정이 직접 공격받은 사례도 있다. 프라뱅은 지난달 24일 인터넷에 연결된 코인 보관 지갑인 ‘핫월렛’에서 약 1억원 상당의 코인을 탈취당했다. 앞서 개인정보 유출 사고도 겪었다. 고팍스는 지난 9월부터 일부 이용자 계정에 비정상적인 접근이 발생해 개인정보가 유출됐다. 이달 6일에는 별도의 해킹 협박을 받고 매매와 입출금을 중단했지만, 협박에 따른 실제 자산 탈취는 확인되지 않았다.

직원들이 사용하는 업무시스템도 해킹의 표적이 됐다. 빗썸은 지난달 27일 사내 모바일 그룹웨어가 침해돼 고객 844명과 임직원 715명의 개인정보가 유출됐다. 플라이빗도 이달 1일 같은 업체인 다우기술이 운영하는 그룹웨어를 통해 고객 40명의 정보가 노출됐다. 두 거래소 모두 코인 거래시스템이 아닌 외부업체가 제공하는 업무시스템에서 사고가 발생했다.

사고 유형에 따라 투자자가 입을 수 있는 피해도 달라진다. 코인을 직접 탈취당하는 것은 물론 개인정보가 유출되면 보이스피싱이나 계정 탈취 등 추가 피해로 이어질 수 있다. 가상자산 업계 관계자는 “특히 여러 기업이 같은 업무시스템이나 외주업체를 이용하면 한 곳의 보안 사고가 여러 기업에 영향을 미칠 수 있다”고 말했다.

금융당국은 잇따른 사고에 보안 점검을 강화하고 있다. 금융위원회에 따르면 국내 가상자산사업자 28곳 중 금융보안원에 가입해 보안 지원을 받는 곳은 원화 거래소 5곳뿐이다. 가상자산사업자는 정보보호관리체계(ISMS) 인증을 받아야 하지만 금융회사에 적용되는 전자금융거래법상 보안 취약점 분석·평가 의무는 없다. 이에 금융위는 지난 12일 금융보안원 가입 확대와 거래소에 특화된 보안 점검 기준 개선 등을 추진하기로 했다.

한편, 가상자산 거래를 추적·분석하는 업체도 해킹 피해를 입었다. 글로벌 블록체인 분석업체 체이널리시스는 지난달 30일 해킹 사실을 공개한 데 이어 이달 4일 이용자들의 계정정보와 인증정보가 유출됐다고 밝혔다. 다만 수사기관의 조사자료가 유출된 정황은 현재까지 확인되지 않았다. 황석진 동국대 국제정보보호대학원 교수는 “외부 서비스 침해가 민감한 수사·금융정보의 보안에 영향을 미칠 가능성은 고려해야 한다”고 말했다.

김예슬 기자