금융위원회는 2026년 11월 12일 신진창 부위원장 주재로 가상자산업권 보안 대책회의를 열어 최근 국내외 가상자산거래소의 침해사고 현황과 대응 방안을 점검했다. 금융위는 해킹·침해사고가 의심되는 경우 일정 조건 아래 사업자가 입출금을 선제적으로 차단할 수 있도록 비조치 의견서를 발급하기로 했으며, 보안사고 비상 대응 가이드라인과 금융보안원의 보안 지원 방안도 논의했다.
현행 가상자산이용자보호법은 정당한 사유 없이 사업자가 입출금을 차단하지 못하도록 하고, 해킹사고 발생이 명백한 경우에만 차단을 허용한다.
업계에서는 해킹이 의심되는 단계에서도 선제적으로 차단할 수 있는지 불분명하다는 의견이 나왔다.
신 부위원장은 최근 이어진 정보유출과 침해사고를 지적하며 일부 사업자의 보안 인식이 가상자산시장 성장과 업계에 대한 기대와 달리 제도화 이전에 머물러 있다고 말했다. 이용자 자산을 맡아 보관·관리하는 사업자에게 전통 금융회사와 같은 수준의 보안체계가 필요하다며 보안 인식의 근본적인 전환을 촉구했다.
금융위는 현재 준비 중인 디지털자산법(안)에 디지털자산업자(현 가상자산사업자)가 금융회사에 준하는 IT 안전성 확보 의무와 손해배상책임을 갖추도록 하는 내용을 담을 예정이다.
법 제정에 시간이 걸리는 만큼, 법 제정 전에도 현 단계에서 조치할 수 있도록 ‘가상자산사업자 보안사고 비상 대응 가이드라인’을 마련했다.
인공지능(AI)을 이용한 사이버공격 등 새로운 침해 위협에 대응하기 위한 가이드라인은 일주일 내내 24시간 거래가 이뤄지는 시장 특성에 맞춰 사업자가 상시 모니터링·대응체계를 갖추고 담당 인력을 상시 배치하도록 했다. 비정상적인 대규모 거래 등 사고 발생이 의심되면 필요한 통제 조치를 즉시 시행해야 한다.
상시 모니터링·대응체계를 운영하기 어려운 사업자는 체계가 정상적으로 운영되는 시간에만 입출금을 처리하고, 그 시간을 이용자에게 사전에 안내해야 한다. 충분한 인력을 배치해 이용자의 입출금 요청에도 제때 대응하도록 했다.
이용자 위탁 가상자산은 콜드월렛에 최대한 보관하고, 핫월렛에는 거래지원에 필요한 최소 수량만 두도록 했다.
복수의 핫월렛에 나눠 보관하는 방안도 고려하도록 했다. 콜드월렛은 인터넷과 분리해 자산을 보관하는 방식으로 해킹 등에 상대적으로 안전하다.
현행 가상자산업감독규정상 콜드월렛 의무 보관비중은 80%이며, 전체 사업자의 콜드월렛 보관 비중은 95% 이상이다. 해킹 등으로 이용자 피해가 생겼을 때 보상이 원활히 이뤄지도록 보험 보상한도와 준비금 적립액도 충분히 확보하도록 했다.
가이드라인에는 금융회사에 적용되는 전자금융거래법상 IT 안전성 확보 의무에 준하는 조치도 담겼다.
사업자는 가상자산 거래의 전자적 전송·처리를 위한 정보기술·정보보호 인력과 시설, 거래 안전에 필요한 기술적·관리적·물리적 조치에 관한 안전성 기준을 마련해야 한다. 정보처리시스템과 정보통신망의 취약점을 분석·평가하고 결과에 따라 보완해야 하며, 침해사고가 발생하거나 외부의 비정상적 접근 시도 등 침해 가능성이 발견되면 금융당국에 신속히 알려야 한다.
금융보안원 사원 가입은 현재 28개 가상자산사업자 가운데 5개 원화마켓 거래소만 마친 상태다.
금융위는 사업자별 이용 규모 등을 고려해 추가 가입을 추진한다. 가입 사업자에게는 침해 위협 정보 공유, 보안 취약점 점검, 금융보안 전문교육 등을 제공하고, 가입이 어려운 사업자에게는 중소금융사 수준의 취약요인 탐색·경보체계·보안조치를 지원할 예정이다.
가상자산사업자는 현행 전자금융거래법상 취약점 분석·평가 대상이 아니며, 특정금융정보법상 ISMS 인증 외에는 별도의 점검 의무가 없다.
금융위는 금융보안원이 사원기관을 대상으로 보안 점검을 수행하고, 직접 점검할 수 없는 사업자는 자체적으로 또는 정보보호전문업체를 통해 점검하도록 ‘가상자산거래소 특화 보안 점검 기준’을 제공할 계획이다. 클라우드 위주 운영과 핫월렛 탈취 위협 등 금융회사와 다른 업무환경을 고려해 가상자산 컴플라이언스·블록체인·월렛·스마트컨트랙트 분야를 별도로 마련하고, 거래 검증 강화와 월렛 접근 통제 등을 반영해 기존 보안 점검 기준을 연내 개선할 예정이다.
금융위는 업계의 보안 쇄신 노력을 지원하고, 가상자산업권에 안전한 보안체계가 자리 잡도록 관련 제도를 계속 정비할 계획이다.
