(조세금융신문=진민경 기자) 금융감독원이 445억원 규모의 해킹 피해가 발생한 업비트 운영사 두나무에 대한 검사를 마무리했다. 이제 관건은 사고 규모가 아니라 현행법의 테두리 안에서 두나무에 어느 수준까지 책임을 물을 수 있느냐다.

20일 금융당국에 따르면 금감원은 최근 두나무에 업비트 가상자산 유출 사건과 관련한 검사의견서를 보냈다. 지난해 11월 27일 사건이 발생한 뒤 약 7개월 만이다.

당시 업비트에서는 오전 4시42분부터 5시36분까지 54분 동안 솔라나 네트워크 계열 가상자산이 외부 지갑으로 빠져나갔다. 유출액은 발생 시점의 시세를 기준으로 약 445억원으로 집계됐다.

금감원은 해킹 발생 경위뿐 아니라 두나무의 사고 인지 이후 대응 과정도 중점적으로 들여다봤다. 침해 사실을 인지한 이후 이용자에게 이를 알리고 피해 확산을 막는 과정이 적절했는지도 주요 검사 대상에 포함됐다.

두나무는 해킹 사고 당일 예정돼 있던 네이버파이낸셜과의 합병 관련 행사가 끝난 뒤에야 유출 사실을 공개했다. 해킹이 종료된 시점과 공지 사이에 간격이 생기면서 이용자 보호보다 대외 행사를 앞세운 것 아니냐는 늑장 대응 논란이 일었다.

두나무는 유출 자산 가운데 26억원 상당을 동결해 회수 절차를 진행했으며, 회원 피해액 386억원은 자체 재원으로 전액 보전했다.

검사의견서 발송은 처분을 확정하는 단계가 아니다. 금감원이 현장에서 확인한 사실과 법 위반 가능성을 회사에 전달하고 소명을 받는 절차다. 당국은 두나무의 답변을 검토한 뒤 구체적인 조치 수준을 담은 제재의견서를 사전 통지할 예정이다.

다만 검사 결과가 곧바로 중징계로 연결될지는 불확실하다. 현행 가상자산이용자보호법에는 해킹이나 전산 장애 자체를 직접 제재할 수 있는 명시적인 조항이 마련돼 있지 않기 때문이다.

결국 처분 수위는 유출 사건 그 자체보다 두나무의 예방 체계와 사후 조치 과정에서 이용자 보호 의무 등 다른 법 위반 사항이 확인됐는지에 따라 갈릴 가능성이 크다.

이찬진 금감원장도 지난해 말 기자간담회에서 이번 사태와 관련해 “제재 (권한) 부분에 상대적으로 한계가 있다”면서도 “그냥 넘어갈 성격의 것은 아니다”라고 언급한 바 있다.

두나무에 대한 조치안은 금감원 제재심의위원회의 심의를 거쳐 증권선물위원회와 금융위원회 의결을 통해 확정될 예정이다.

[조세금융신문(tfmedia.co.kr), 무단전재 및 재배포 금지]