▲ 가상자산업권은 전자금융거래법의 적용을 받지 않고 특정금융정보법과 가상자산이용자보호법 등 별도의 법률에 따라 규율된다는 점에서 기존 주요 금융업권과 차이가 있다. 사진은 생성형 AI 챗GPT로 만든 이미지. <챗GPT>

[비즈니스포스트] “가상자산업권 등 현재 ‘전자금융거래법’이 적용되지 않는 업권에 대해서도 은행 등 주요 금융회사 수준으로 보안조치를 강화하고 사고발생 시 신속한 대비태세를 갖출 수 있도록 다각적 방안을 추진하겠다.”
28일 금융당국이 가상자산업권 침해사고 관련 긴급점검을 진행한 뒤 배포한 보도참고자료에서 전달한 메시지다.
가상자산 시장은 빠르게 일상에 침투해 주식처럼 흔하게 거래가 이뤄지고 있다.
하지만 가상자산거래소는 금융당국의 감독을 받으면서도 은행이나 증권사 등 기존 금융사와 별도의 법적 체계를 적용받고 있다. 금융업과 밀접하게 연결돼 있지만 법적 지위와 규제 기준에서는 차이가 있는 셈이다.
30일 금융권에 따르면 최근 은행과 저축은행, 보험사, 증권사 등에서 침해사고가 잇따르고 있다.
가상자산업권에서도 빗썸과 고팍스, 코인마켓 거래소 프라뱅 등에서 보안사고가 발생했다.
빗썸에서는 외부 비인가자의 접근으로 고객 844명과 임직원 715명의 개인정보가 유출된 사실이 확인됐다. 고팍스에서도 개인정보 침해사고가 발생했다.

그 가운데 코인마켓 거래소 프라뱅에서는 핫월렛에 보관된 가상자산이 탈취돼 약 1억 원의 자산 피해가 발생한 것으로 파악됐다. 프라뱅은 피해 자산을 전액 회사 자산으로 보전하겠다고 밝혔다.
시장에서 프라뱅 사고는 최근 은행과 저축은행, 보험사, 증권사 등 금융권 전반에서 잇따른 침해사고 가운데 실제 자산 피해가 확인된 ‘첫 사례’라며 주목을 받았다.
여기서 가상자산업권의 법적 지위를 둘러싼 '아이러니'가 드러난다.
잇따른 금융권 침해사고 가운데 첫 자산피해 사례로 거론된 곳이 정작 ‘전자금융거래법’상 ‘금융회사’가 아니라 기존 금융회사 규제와 다른 규제를 적용받는 가상자산사업자이기 때문이다.
금융당국은 14일 침해사고가 발생한 금융사를 집계하면서 가상자산사업자를 포함해 16개사로 발표했다. 가상자산사업자는 금융당국의 금융권 침해사고 집계에는 포함되지만 전자금융거래법상 금융회사와는 다른 법적 규율을 받는다.
같은 가상자산사업자라도 업비트와 빗썸 등 원화마켓 거래소와 프라뱅 같은 코인마켓 거래소 사이에도 상당한 규모 차이가 있다.
금융정보분석원(FIU)과 금융감독원이 발표한 ‘2026년 상반기 가상자산사업자 실태조사’에 따르면 원화마켓 거래소는 상반기 1018억 원의 영업이익을 냈지만 코인마켓 거래소는 같은 기간 202억 원 영업손실을 봤다. 거래소당 평균 직원 수도 원화마켓 347명인 반면 코인마켓 24명에 그친다.

원화마켓과 코인마켓 거래소 사이에 경영 여력의 격차가 큰 만큼 금융당국의 보안 강화 방침이 실제 현장에서 얼마나 실효성 있게 작동할 수 있을지도 의문이다.
보안 강화만으로 모든 사고를 예방하기 어려운 만큼 사고가 발생한 뒤 이용자를 보호할 제도적 장치를 갖추는 일도 중요하다.
가상자산 시장에 참여하는 이용자 규모는 작지 않다. 2026년 상반기 가상자산사업자 실태조사에 따르면 6월 말 기준 가상자산거래소에서 고객확인(KYC)을 거쳐 거래할 수 있는 계정은 1117만5천 개이며 가상자산을 1억 원 이상 보유한 계정도 약 11만 개로 집계됐다.
일반 금융투자상품에는 금융소비자보호법(금소법)에 따른 투자자 보호규정이 적용되고 금융감독원 금융분쟁조정 등 제도적 구제절차도 마련돼 있다. 반면 일반 가상자산 거래에는 금소법이 적용되지 않아 동일한 보호체계를 기대하기 어렵다.
2024년 시행된 가상자산이용자보호법은 거래소에 해킹 등에 대비한 보험·공제 가입이나 준비금 적립 의무를 부과하고 있다.
하지만 사고가 발생했을 때 사업자의 손해배상책임 범위와 입증책임을 구체적으로 정한 별도 규정은 미비하다. 거래소가 피해 보상에 소극적일 경우 이용자가 거래소의 고의나 과실을 입증해야 하는 부담이 발생할 수 있다.

▲ 코인마켓 거래소 프라뱅에서는 1억 원대 자산 피해가 발생했다. <프라뱅>


 실제로 올해 1월에는 이러한 문제를 개선하기 위해 가상자산사업자의 전산사고 손해배상책임과 입증책임 관련 규정을 마련하는 가상자산이용자보호법 개정안이 발의되기도 했다.
디지털자산기본법 등 후속 입법을 통한 제도 보완도 아직 마무리되지 않은 상태다.
금융당국은 이번 사고 이후 가상자산사업자에 대한 긴급점검을 진행하고 은행 등 주요 금융회사 수준의 보안 강화와 피해 발생 시 전액배상 등 이용자 보호조치가 이뤄지도록 감독하겠다는 방침을 밝혔다.
가상자산거래소에 은행 수준의 보안체계를 요구하는 것은 필요하다. 다만 거래소마다 인력과 경영 여력이 다른 현실에서 보안 강화만으로 모든 사고를 막을 수 있다고 기대하기는 어렵다.
이를 위해서는 사고 예방과 함께 사고 이후 이용자가 어떤 절차로 피해를 구제받을 수 있는지, 그 책임은 누가 어디까지 부담해야 하는지에 대한 규제 마련도 선행돼야 한다.
가상자산의 법적 지위를 둘러싼 논의가 이어지는 동안에도 투자자의 자산과 정보는 실제 위험에 노출돼 있다. 인공지능(AI)을 활용한 금융권 해킹이 고도화한다는 점, 이 역시 피해구제 체계를 비롯해 가상자산을 하루 빨리 제도권 안으로 품어야 하는 이유다. 김지영 기자