하루 한 번 대사하던 거래소 3곳, 5월까지 5분 단위로…오지급 땐 출금 말고 확인부터

금융당국이 거래소 이용자 자산을 5분 주기로 상시 대사(對査·장부상 보유량과 실제 보유량을 비교·검증하는 절차)하는 자동화 시스템을 모든 거래소에 의무화할 예정이다. 금융위원회는 4월 6일 신진창 사무처장 주재로 5대 가상자산거래소 대표와 디지털자산거래소 공동협의체(DAXA) 등이 참석한 간담회를 열고 점검 결과와 제도 개선 방향을 공유했다. 빗썸 오지급 사태 직후 꾸린 긴급대응반의 후속 조치다.

금융당국은 1,100만 명 이용자가 약 70조 원 규모의 가상자산을 거래소에 보관 중이라는 점을 강조했다. 이용자 입장에서는 제도가 바뀌는 것과 별개로, 내 계정에 자산이 잘못 들어왔을 때 어떻게 행동해야 하는지도 알아둘 필요가 있다.

긴급대응반이 들여다본 거래소의 허점

긴급대응반은 2월 8일 금융위원회, 금융정보분석원(FIU), 금융감독원, DAXA가 공동으로 구성했다. 2월 10일부터 3월 6일까지 약 한 달간 현장점검과 회계법인 실사, 서면조사를 벌였다. 점검 분야는 이용자 자산 보관 현황, 거래시스템 취약점, 내부통제체계 운영 실태 세 가지였다.

신진창 사무처장은 오지급의 표면적 원인으로 지목된 ‘인적 오류’를 넘어 거래소에 누적된 구조적·관행적 문제도 일부 드러났다고 밝혔다. 24시간 거래가 이뤄지는데도 장부와 지갑 상 고객 자산을 상시 대사하는 시스템 운영이 미흡했다는 것이다. 인적·시스템 오류에 대응할 위험관리체계도 전반적으로 미비하다고 지적했다.

구체적으로 상당수인 3개 거래소는 잔고대사를 일 단위(24시간)로만 하고 있었다. 오지급 같은 사고가 터져도 적시에 대응하기 어려운 구조다. 장부와 실제 보유량 사이에 큰 괴리가 생기면 시스템이 즉시 거래를 멈추는 ‘거래차단조치(킬스위치)’ 같은 대응 체계도 갖춰지지 않은 것으로 나타났다.

거래소들은 분기별로 회계법인 실사를 받고 있지만 공시는 형식적이었다. ‘장부 대비 실제 보유 비율’만 외부에 공개하는 수준이었기 때문이다.

5분 대사와 거래 차단, 무엇이 달라지나

금융당국은 오지급 사고 때 즉각 대응할 수 있도록 모든 거래소에 5분 주기의 상시 잔고대사 시스템 구축을 의무화할 예정이다. 5분이라는 주기는 절차별(데이터 집계·변환·표출 등) 평균 소요 시간, 전산시스템 부하, 업계의 실제 수행 사례(최소 5분) 등을 종합해 정했다. 대사 결과 대규모 불일치가 생기면 자동으로 거래를 막는 거래차단 기준도 구체화한다.

외부 회계법인 실사 주기는 매분기에서 매월로 짧아진다. 공시 범위도 넓어져 가상자산 종목별 지갑 및 장부상 보유 수량까지 공개 대상에 들어간다. 지금처럼 비율 하나만 보여주는 방식에서 벗어나 이용자가 종목별 보유 현황을 확인할 수 있게 하겠다는 취지다.

이용자 관점에서 5분 대사는 오류가 생긴 뒤 하루 가까이 방치될 수 있는 시간을 크게 줄이는 장치다. 다만 대사 시스템이 오류를 막아주는 것은 아니다. 오류를 빨리 포착해 거래를 멈추게 하는 안전망에 가깝고, 이미 계정에 들어온 자산을 이용자가 옮겨버린 뒤라면 분쟁이 남을 수 있다.

수작업 지급과 내부통제, 어디를 조이나

점검에서 가장 구체적으로 드러난 약점은 이벤트 보상 지급처럼 담당자의 수작업이 필요한 ‘고위험거래’였다. 2개 거래소는 고유계정과 고위험거래 계정을 분리하지 않아 지급 금액 오기 같은 인적 오류에 취약했다. 4개 거래소는 사전 지급 계획과 실제 지급 대상·종목을 자동으로 맞춰보는 검증(Validity Check) 시스템이 없었다.

더 눈에 띄는 대목은 승인 체계다. 4개 거래소에서 담당자 1인 또는 부서장 1인의 승인만으로 지급이 이뤄지고 있었다. 당국은 계정 분리, 자동 검증, 다중 승인체계를 의무화하고 담당자의 지급 입력 단계에서 ‘제3자 교차 검증’도 의무화할 계획이다. 지급 금액별로 승인권을 차등화하고 다중 승인을 유도하는 방안도 포함된다. 입력한 단위나 총량이 사전 계획과 다르면 해당 거래가 자동 거부되는 구조다.

내부통제 쪽에서는 업계 자율의 ‘표준 내부통제기준’이 이미 있었지만 이행 점검이 부실했다. 2개 거래소는 임직원 가상자산 매매 점검 등 소수 항목에만 준법감시 프로그램을 운영했다. 다른 2개 거래소는 준법감시인의 연 1회 이상 주기적 점검과 이사회 보고를 빠뜨렸다. 위험관리기준이 없는 거래소가 3곳, 위험관리책임자 임명과 위험관리위원회 설치가 안 된 거래소가 4곳이었다.

당국은 ‘표준 준법감시 프로그램’을 제정하고 점검 주기를 연 1회에서 반기마다로 줄인다. 점검 결과는 금융당국에 보고해야 한다. 업계 공동의 ‘표준 위험관리기준’을 만들고 위험관리 조직도 갖추게 한다는 계획이다.

일정과 제재, 그리고 이용자 행동 요령

일정은 빠듯하다. 금융당국과 DAXA는 4월 중 자율규제 제·개정을 마무리하고 5월까지 상시 잔고대사 등 전산시스템 구축을 완료할 계획이다. 이 내용은 ‘2단계 가상자산법’(디지털자산법)에도 반영한다. 간담회에서 DAXA와 5개 거래소는 자율규제 고도화와 내부통제 강화를 담은 ‘업계 공동 결의문’도 발표했다.

금융감독원은 2월 10일부터 3월 6일까지 빗썸을 검사해 조직·업무·전산시스템 등 내부통제 전반의 문제점을 확인했다. 가상자산이용자보호법 위반 여부에 대한 법률 검토를 마치는 대로 제재 절차에 착수한다는 방침이다.

그렇다면 이용자는 무엇을 확인해야 할까. 거래소 오지급은 전형적인 투자사기와 달리 내 계정에 자산이 잘못 들어오는 방식으로 시작된다. 문제는 그 뒤다. 잔고 증가를 실제 보상으로 오인하거나 온라인 커뮤니티의 ‘빨리 출금하라’는 말을 듣고 다른 지갑으로 옮기면 분쟁과 형사책임으로 이어질 수 있다. 잔고가 갑자기 늘었다면 출금하지 말고 거래내역과 이벤트 약관, 지급 사유부터 확인해야 한다.

고객센터가 반환을 요청하면 공식 앱 공지와 거래소 대표 채널로 진위를 다시 확인한다. 개인 지갑이나 직원 개인계좌로는 자산을 보내지 말아야 한다. 이미 출금했다면 트랜잭션 해시(블록체인 거래 기록 식별값)와 이동 경로를 거래소에 제출하고 반환 협의 내용을 문서로 남기는 것이 좋다.

법적 근거도 짚어둘 필요가 있다. 가상자산이용자보호법 제10조 4항은 부정한 수단·계획·기교의 사용, 중요사항의 거짓 표시, 거짓 시세 이용 등을 금지한다. 그러나 이 조항이 모든 오지급 사건의 민사상 책임을 자동으로 정리해 주는 것은 아니다. 거래소가 계정 정지나 출금 제한을 할 때는 사유·범위·해제 조건·이의제기 방법을 문의해야 한다. 피해가 생겼다면 금융감독원 민원과 경찰 신고를 병행할 수 있다.