보이스피싱, 출금지연 예외계좌로 피해 75.5% 새나가…신고는 은행·거래소·경찰 동시에

가상자산을 이용한 보이스피싱이 거래소의 출금 지연 제도를 우회하는 사례가 늘면서 금융당국이 대응 기준을 다시 정비했다. 금융위원회에 따르면 2025년 6월부터 9월까지 가상자산거래소에서 발생한 사기이용계좌 2,526건 중 1,490건, 59%가 출금 지연 예외대상 계좌에서 나왔다. 피해 금액 기준으로는 전체 2,257억 원 중 1,705억 원, 75.5%가 예외대상 계좌를 통해 빠져나갔다.

가상자산 보이스피싱은 대체로 세 단계를 거친다. 이용자가 이 흐름을 미리 알아두면 실제 상황에서 무엇을 먼저 해야 할지 판단하는 데 도움이 된다.

3단계로 진행되는 수법

1단계에서 범죄자는 수사기관, 금융기관, 가족을 사칭해 피해자에게 접근한다. “계좌가 범죄에 연루됐다”거나 “안전계좌로 옮겨야 한다”며 압박하고, 문자나 메신저로 거래소 접속을 유도하는 방식이다.

2단계에서는 피해자가 자신의 은행 계좌에서 거래소 연계계좌로 돈을 보내도록 유도한다. 돈이 들어오면 범죄자가 거래소 계정에서 가상자산을 매수한다.

3단계에서는 매수한 가상자산을 다른 지갑이나 해외 사업자로 전송한다. 자산이 여러 경로로 흩어지면 추적이 급격히 어려워진다. 금융위원회는 그간 거래소가 이런 의심거래를 탐지하고 계정을 정지할 법적 근거가 충분하지 않았다고 설명했다.

출금 지연 예외 기준, 왜 뚫렸나

금융당국은 2025년 5월 디지털자산거래소 공동협의체(DAXA) 및 가상자산거래소와 함께 가상자산 출금 지연 제도를 처음 시행했다. 신규 이용자 등에 대해 출금을 일정 시간 제한하는 자율 조치였다.

문제는 거래소마다 출금 지연 예외를 적용하는 기준이 제각각이었다는 점이다. A거래소는 거래일수와 회원 이력, B거래소는 입출금 횟수, C거래소는 거래금액과 금융사고 이력을 기준으로 삼는 등 최소기준이 명확하지 않았다. 가입기간이나 매매이력 같은 예외기준을 쉽게 충족할 수 있다면 범죄자가 범죄수익금을 즉시 인출할 길이 열려 있었던 셈이다.

이에 금융당국은 가상자산 거래횟수, 거래기간, 입출금금액을 필수적으로 고려하고 구체적인 예외불가 요건을 명시하는 통일된 표준내규를 마련했다. 2026년 4월에는 예외 출금 고객에 대한 사후관리와 집중 모니터링을 포함한 강화된 표준내규가 시행됐다. 금융위원회 시뮬레이션 결과, 통일된 기준을 적용하면 출금 지연 예외 대상 고객이 기존 대비 1% 이내로 감소하는 효과가 나타났다.

다만 청산 등 보이스피싱과 무관한 사유로 즉시 출금이 필요한 정상 이용자를 위해서는 출금 지연 예외를 계속 허용해 소비자 불편을 최소화할 방침이다. 예외적용 고객에 대해서는 자금 원천 확인 등 강화된 고객확인 절차를 연 1회 이상 주기적으로 실시하는 모니터링 시스템도 구축될 예정이다.

이용자가 즉시 해야 할 신고 순서

거래소 직원이라도 전화로 비밀번호, 인증번호, 시드문구를 요구하면 사기로 판단하고 즉시 통화를 끊어야 한다. 이미 돈을 송금했다면 순서가 중요하다.

첫째, 은행에 즉시 지급정지를 요청한다. 둘째, 거래소 고객센터에 연락해 거래소 계정, 입금시각, 자산종류, 지갑주소를 알리고 출금 및 이전거래 중지를 요청한다. 셋째, 경찰청 112 또는 전기통신금융사기 통합신고대응센터에 신고한다.

지연 시간이 길어질수록 자산이 여러 주소로 분산될 가능성이 커진다. 거래소의 답변을 기다린 뒤 다음 절차를 밟는 방식은 피해야 한다. 은행, 거래소, 경찰에 동시에 접수하는 것이 원칙이다. 문자 링크를 눌렀거나 악성 앱을 설치한 경우라면 KISA(한국인터넷진흥원) 118에 신고하고, 휴대전화 전원을 분리한 뒤 금융앱 비밀번호는 다른 기기에서 변경해야 한다.

신고할 때는 근거 자료를 최대한 보존해야 한다. 대화방 원본, 발신번호, 송금확인증, 거래소 주문내역, 트랜잭션 해시, 상대방 지갑주소가 그 대상이다. 피해환급은 자동으로 전액 보장되는 절차가 아니며, 피해자산이 이미 출금되거나 세탁된 경우에는 수사와 환급 절차가 별도로 진행된다는 점도 유의해야 한다.

가상자산까지 넓어지는 피해구제

가상자산을 악용한 보이스피싱 범죄자가 늘어난 배경에는 법적 사각지대가 있었다. 은행이나 증권사 같은 일반 금융회사는 보이스피싱 의심 거래를 상시 모니터링하고 필요시 거래 지연이나 지급정지 조치를 취할 의무가 있었지만, 가상자산거래소는 현행법상 같은 수준의 의무를 지지 않았다.

이런 격차를 좁히기 위한 통신사기피해환급법 개정안이 2026년 3월 12일(현지시각 기준 국내 발표) 국회 본회의를 통과했다. 개정안은 가상자산거래소에도 일반 금융회사와 동일한 수준의 보이스피싱 방지 및 피해구제 의무를 부과한다. 거래소는 가상자산 거래의 목적을 확인하고, 의심 자금 유통을 상시 감시하며, 범죄가 의심되면 즉시 계정을 지급정지해야 한다. 가상자산거래소도 2025년 10월부터 운영 중인 보이스피싱 정보공유·분석 AI 플랫폼 ‘ASAP’에 의심 거래 정보를 공유하게 된다.

또 하나의 핵심 변화는 피해구제 대상 자산의 범위가 ‘금전’에서 ‘가상자산’까지 확대된다는 점이다. 그간에는 피해자가 가상자산을 직접 탈취당하거나, 범죄자가 피해자의 금전을 가상자산으로 전환한 경우 충분한 환급을 받기 어려웠다. 개정안은 피해자가 원하면 거래소가 해당 가상자산을 매도해 현금으로 지급할 수 있는 근거도 신설해 가상자산 거래 경험이 적은 피해자의 편의를 높였다.

이 개정안은 법률 공포 6개월 후인 2026년 10월 시행될 예정이다. 금융위원회는 시행 전까지 세부 기준과 절차를 담은 하위법령 개정 등 후속 조치를 마무리할 계획이라고 밝혔다.