빗썸 62조 오지급 사고와 빗썸 경영권 해체의 관계

빗썸 62조 오지급 사고와 빗썸 경영권 해체의 관계

[목차]

[사건]

[입체적 분석]

1. 기술적 관점

2. 내부통제적 관점

1) 결재라인 및 권한분리

2) DB상 수량의 차이 모니터링

3) 이벤트 관리 어드민

3. 법률적 관점

1) 오지급받은 가상자산을 매도 및 출금한 고객(어뷰저)에 대한 법적조치

2) 거래소 차원에서의 금융당국 및 관련 법령 준수 여부

4. 조직적 관점

[예상 개선점]

1. 시스템적 개선

2. 업무적 개선

[시기적 관점]

[그 외 질문]

중앙화된 거래소 방식을 써야하는 이유는 무엇인가?

[사건]

빗썸에서 ‘비트코인 시세 맞추기 이벤트’를 진행(20260120)했고, 이벤트 보상을 지급(20260206)했다.

당초 빗썸은 랜덤박스 이벤트를 통해 당첨자들에게 현금 2000원~5만원을 지급하려 했지만, 담당자 착오로 '원'이 아닌 'BTC'가 단위로 오입력됐다. 따라서 2천원 보상 대상자가 2천BTC(약 2천억원)을 지급받는 황당한 사태가 발생(20260206 19:00)했다.

오지급된 BTC 규모는 62만개이고 오지급 대상자는 695명이므로 1인당 수천억원 규모의 비트코인이 입금됐고 결론적으로 약 62조원 수준의 오지급 사고가 발생했다.

이후 빗썸은 십여분 안에 해당 사항을 인지한 것으로 보이며 오후 7시에 발생한 오지급 고객계정에 대해 7시 35분부터 계정 제재가 진행됐다. (빗썸 사건발생 타임라인 참조)

빗썸 홈페이지

또한 계정이 제재되기 전까지 매매를 했던 오지급 고객들은 매매가 실제 체결됐고 출금도 가능해서 약 30억 원이 현금으로 출금된 사실이 확인됐다.

추후, 빗썸은 애초에 62만개의 BTC를 보유하지 않았고 당시 블록체인상 지갑에는 단 5만여개의 비트코인만 가지고 있었다는 것이 알려지면서,

거래소는 모두 장부거래(DB상 거래를 부정적으로 칭하는 말)이고 사실상 가상자산을 가지고 있지 않아도 임의로 찍어내서, 개인들이 사고팔고 심지어 출금까지 할 수 있다는 사실이 드러나며 논란이 커지고 있는 상황이다.

즉, 거래소 시스템 자체에 대한 신뢰이슈가 발생했다.

[입체적 분석]

이 사고는 보안사고이기도 하지만, 보다 자세하게는 내부통제 사고(해킹 등이 아닌 내부 시스템 오류, 내부직원의 조작 미숙, 오인, 실수 등으로 발생하는 사고)로 볼 수 있다.

특히 본 사고가 주목을 받는 이유는 단순히 가상자산을 오지급한 것이 아니라, 거래소가 실제 보관하고 있는 가상자산 수량보다 더 많은 수량을 전산상으로 찍어낼 수 있다는 것을 대중들에게 인지시켰고 이에 따라 거래소가 전산상 보여주고있는 가상자산의 실체에 대한 신뢰문제가 대두되었기 때문이다.

1. 기술적 관점

중앙화된 모든 거래소는 장부거래의 형태를 띄므로, 실제 블록체인상 보유한 가상자산과 DB상 보유하고 있는 가상자산은 본질적으로 동일하지 않다. 이를테면, 가상자산 내에서 발생하는 이체는 블록체인 네트워크를 통해 이동하는 것이 아니라 거래소 내에서 DB상 수량을 변경하는 것이므로 블록체인 네트워크 수수료가 발생하지 않는다. 빗썸 거래소 A이용자가 B이용자에게 전송을 하면 이는 블록체인에 기록이 남지 않고 빗썸 내부에만 기록이 남게 되는 식이다. 따라서 거래소 이용자가 보유한 가상자산 수량에 대해 블록체인상 에어드롭이 발생하는 경우에도 거래소에서 전산상으로 인식해주지 않으면 이용자 보유잔고에 반영되지 않는다.

즉 중앙화된 거래소 내에서의 가상자산 매매, 이체 등은 각 거래소의 내부DB(내부 서버)에만 기록이 남게되며, 외부 지갑주소로 출금시에만 블록체인상에서도 이체기록 및 고유값(TxID)이 남게 된다.

이벤트로 인한 가상자산 또는 원화의 지급은 전상상 수량을 각 고객 계정에 찍어주는 행위이므로, 오지급하는 사고는 언제든지 발생가능하다. (이러한 장부(DB)상 이체는 은행이나 증권사의 전산 시스템과도 동일하다)

그러나 이런 오지급사고가 ‘가능’한것과 실제 ‘발생’했다는 것은 다르다. 심지어 실제 지갑상 보관중인 가상자산 수량을 초과해서 오지급 했다는 것은 다른 차원의 문제가 된다.

2. 내부통제적 관점

일반적으로 대부분의 가상자산사업자(거래소)들은 이러한 전산상의 지급시에 아래와 같은 요소를 가진다.

1) 결재라인 및 권한분리를 통해, 최초 기안자, 검토자, 결재자(1차, 2차 등) 등을 걸쳐 승인절차를 거치도록 되어있다. 적어도 기안자와 결재자 두 명으로는 권한이 분리되어 있어야 한다.

>> 권한분리되어 있었고 두명 이상의 담당자가 있었을 것이지만, 검증이 충분하지 못했던 것으로 보인다.

2) 또한 시스템상 지갑에 있는 가상자산의 총 수량보다 DB상 가상자산의 총 수량이 많을 수 없기 때문에, 지갑상 수량과 DB상 수량의 차이를 적어도 하루 1회 모니터링하게 되며, 실제 지갑상 수량을 초과하는 DB상 수량 지급은 애초에 자동으로 반려되어야 한다.

>> 모니터링 시스템은 되어있었을 것이지만, (실제 보유 가상자산 < DB상 보유 가상자산) 발생시 후발적으로 알림을 보내는 형태였을 것이고, 해당 검증로직이 이벤트 지급절차에서는 빠져 있었을 것이다.

3) 이벤트 관리 어드민을 통해서, 각 이벤트별로도 지급총액이 미리 할당되어, 이를 넘어서는 금액은 애초에 이용자들에게 지급될수 없다.

>> 아마 이벤트 계정을 사용하지 않은 것으로 보인다. 거래소는 다양한 목적(수수료 정산, 회계처리, 이벤트 지급, 유지보수, 신규서비스 개발, 테스트 등)으로 내부 계정을 별도로 만들어서 사용하는데 만일 이벤트를 위한 계정을 별도로 운영했고 이벤트계정에 미리 잔고를 입력한 다음에 해당 이벤트 계정에서 고객계정에 잔고를 이체하는 방식으로 이벤트를 운영했다면 본 사고는 일어나지 않았을 것이다.

아마도 그냥 쌩으로 각 고객계정에 잔고를 그냥 찍어버린 것 같다. 여태 큰 사고가 안터졌던게 신기할 정도이다. (뉴스에 나오지는 않았지만 이런 운영방식으로는 평소에도 자잘한 오지급 사고 및 손실처리가 한번씩 발생해왔지 않았을까 싶다)

빗썸이 2013년 12월에 런칭되었는데, 수많은 이벤트를 수행해왔음에도 불구하고 아직까지도 이런 체계가 없었다는 것은 충격적이다.

만일 본 사고가 늦게 인지되었거나, 이용자별 출금한도가 적용되지 않았었다면 빗썸의 전체 비트코인이 털렸을 수도 있는 중대한 사고였다. 그러나 다행히 오지급 발생후 35분만에 대상 이용자들을 특정하고 거래 및 출금을 동결하였으며, 출금한도도 정상적으로 작동했다.

3. 법률적 관점

1) 오지급받은 가상자산을 매도 및 출금한 고객(어뷰저)에 대한 법적조치

민법 741조에 따라 부당이득 금액은 반환의 의무(부당이득반환청구권)가 있다. 따라서 어뷰저들에 대해서는 가압류가 가능하고 민사적으로 반환도 받을 수 있다. 당연히 원물 반환이 원칙이고, 원물반환이 불가하면 판결시에 지정된 시세를 기준으로 한다. 반환을 거부하여 발생하는 지연 이자와 소송 비용도 손해배상으로 청구될수 있다.

황당하게도 형사처벌은 성립되기 어렵다. 어뷰저들은 본인이 정당하게 받은 자산이 아닌 타인의 자산이라는 것을 인지했고 이를 고의로 판매하여 출금하였음에도 불구하고 처벌할 방법이 없는 것이다. 상식적으로 이해가 가지 않지만 이는 우리 법의 허점때문에 발생하는 법의 구멍이다.

일반적으로 착오송금에 대해서는 착오송금 4종(횡령죄, 배임죄, 점유이탈물횡령죄, 컴퓨터등사용사기죄)을 검토한다. 그러나 횡령죄와 점유이탈물횡령죄는 법령상의 ‘재물’을 대상으로 하는데 가상자산은 ‘유체물’이나 ‘관리할 수 있는 동력’에 해당하지 않으므로 ‘재물’에 포함되지 않는다.

<2019고합56, 수원지방법원_평택지원>

배임죄는 ‘타인의 사무를 처리하는 자’에 한하여 적용되는데, 단순 오입금을 받은 사람은 ‘타인의 사무를 처리하는 자’로 보기 어렵다는 것이 현재까지의 판결들이다. 컴퓨터등사용사기죄가 유일하게 가능성이 있지만, 오지급 받은 가상자산을 매도하고 출금했다고 해서 ‘부정한 명령의 입력’에 해당할지 여부는 불확실하며, 판례를 찾아보기도 어렵다.

비트코인은 ‘재산상의 이익’ 즉 ‘재산’에는 포함되지만, ‘재물’에는 포함되지 않는다는 것이 현행 법원의 꾸준한 판결이다. 이 부분은 일반상식과 시대의 변화에 따라 반드시 개선되어야할 부분으로 보인다. 이용우 의원(20230409)과 정준호 의원(20240625)도 관련 법안을 대표발의한바 있다. (착오송금된 가상자산 사용시 횡령죄로 규정하는 형법 개정안)

일부 어뷰저들이 형사법 처벌 대상이 아니라는 내용을 인지하고 악의적으로 타인의 가상자산을 반환하지 않고 버티는 케이스들이 전형적인 피해사례들이다.

2) 거래소 차원에서의 금융당국 및 관련 법령 준수 여부

가상자산사업자가 준수하는 대표적인 법령은 ‘특정 금융거래정보의 보고 및 이용 등에 관한 법률(특정금융정보법)’과 ‘가상자산 이용자 보호 등에 관한 법률(가상자산이용자보호법)’이다.

‘특정금융정보법’에서는 ‘제5조의2(금융회사등의 고객 확인의무)’ 2호의 나목에서, ‘고객이 실제 소유자인지 여부가 의심되는 등 고객이 자금세탁행위나 공중협박자금조달행위를 할 우려가 있는 경우’ ‘금융거래등의 목적과 거래자금의 원천 등 금융정보분석원장이 정하여 고시하는 사항’을 확인하도록 되어있다.

본 사고에서는 고객이 실제 소유자가 아닌 자산에 대해서 거래자금 원천에 대한 확인없이 출금까지 이루어졌으므로 위 법령이 위반되었을 소지가 있다. 그러나 위 법령은 고객의 자금세탁을 막기 위한 취지이고 거래소의 전산상 실수를 고려한 법안은 아니므로 법을 문자그대로가 아니라 맥락으로 고려한다면 처벌대상이 되기는 어렵다고 생각한다.

(이런걸로 일일히 다 문자그대로 따져서 처벌하면 사업을 할 수가 없다)

‘가상자산 이용자 보호 등에 관한 법률’에서는 ‘제7조(가상자산의 보관)’ 3항 2호에서 ‘가상자산사업자는 자기의 가상자산과 이용자의 가상자산을 분리하여 보관하여야 하며, 이용자로부터 위탁받은 가상자산과 동일한 종류와 수량의 가상자산을 실질적으로 보유하여야 한다.’라고 정의하고 있다.

따라서, 실질적으로 보유하고 있지 않은 수량의 가상자산을 이용자들에게 잔고로 지급하고 출금시켜주었으므로 법령이 위반되었을 소지가 있다. 하지만 마찬가지로 가상자산의 지급이 오류로 인한 것이고 약 35분 내외로 일시적이었으며, 오지급 가상자산을 이용자들로부터 정상적으로 위탁받은 가상자산으로 볼 수 있는지 여부에 대한 이론의 여지가 있을 것이므로 처벌대상이 되기는 어렵다고 생각한다.

<금융위, 빗썸 불러 긴급 점검회의…전 거래소 조사 예고, KBS(20260207)>

결론적으로 법률위반 리스크는 높지 않다고 생각한다. 그러나 금융당국에서 사업자를 압박할 수 는 있는 충분한 근거는 될 수 있을 것으로 보인다.

4. 조직적 관점

위 마케팅 지급에 대한 권한분리 및 결재라인 측면에서, 아마도 담당자중 한명(기안자)은 마케팅 담당자였을 것으로 생각된다. 일반적으로 마케팅 담당자는 보안담당자가 아니므로 업무범위상 보안에 익숙하지 않고 저연차인 경우가 많을 것으로 생각된다. 따라서 책임자 역할을 하기에는 직무상 어려울 수 있으나 그럼에도 불구하고 발생가능한 보안사고들에 대한 다양한 교육과 마케팅 지급 프로세스에 대한 절차 및 매뉴얼 개선은 필수적일 것으로 보인다.

반면에, 담당자들(마케팅, 기획자, 개발자 등)의 보안의식 이슈로만 보기는 어려울 수도 있는 것이, 빗썸이라는 회사에서 보안교육이 미진했다고는 가정하기는 어렵기 때문이다. 아마도 이벤트 지급 시스템은 최근의 다른 여러 시스템과는 달리 워낙 오래된 시스템이라, 현재의 보안기준으로 맞추어 개선되지 못했다는 것이 합리적인 추론일 것으로 생각된다. 따라서, 이번 기회에 빗썸이 기존에 활용하던 전체 시스템을 전수검토하지 않을까 생각된다.

경영진 차원에서는 당연하게도 본 위기를 최대한 기회로 활용하여, 우선순위에 밀려 기존에 풀지못했던 묵혀둔 숙제들을 최대한 많이 풀고 가게 되는 계기가 되지 않을까 싶다.

[예상 개선점]

1. 시스템적 개선

1) 지갑과 장부상 가상자산 수량 대조 모니터링 간격 축소(기존 하루 1회 > 향후 매5분)

2) 이벤트 관리 계정 도입

3) 원화 및 가상자산 이벤트 지급시에 지급 경로UI 완전 분리(원화와 가상자산간 헷갈릴 수 없도록)

4) 이벤트 어드민에 이벤트 등록시, 지급 가상자산 정보도 함께 등록해서, 등록된 가상자산만 실제 이벤트 계정에서 지급할 수 있도록 강제 지정

5) 장부상 입금/출금 작업시 전체 지갑 잔고를 초과하는 가상자산 수량 추가 작업은 원천 차단.
(*다소 무식해도 예외없는 적용도입: 예를들어, 만일 테스트 때문에 임의의 코인을 장부상에서 대량으로 활용할 필요가 있다면, 그만큼 수량의 코인을 블록체인 상에서도 발행해서 테스트할것)

2. 업무적 개선

-마케팅 지급 관련 또는 시스템 개발 관련 업무매뉴얼 및 절차 개선 및 교육

-보안교육시 사내에서 발생한 실제 사고사례에 해당 사고내용 추가

결국 금융당국에서는 위와 같은 개선을 최소치로 요구할 것으로 보인다.

[시기적 관점과 정책리스크]

현재 가상자산사업자들은 국회나 금융당국으로부터 전방위 압박을 받고 있다.

스테이블코인 관련 법안이나, 대주주 지분 제한(15~20%로 제한) 등 이해관계가 첨예한 법안들도 상정 준비중에 있다.

가상자산 거래소나 스테이블코인을 새로운 먹거리로 보고 대부분의 대기업들과 금융사들이 눈독을 들이고 있다. 어느때보다 기존 가상자산사업자들의 경영능력과 사업능력에 대한 설득이 필요한 시기이다.

이미 대주주가 있는 가상자산거래소에 대한 지분 제한은 사유재산권을 박탈하는 것으로서 헌법상상의 과잉금지원칙에도 위반할 가능성이 높다는 우려에도 아랑곳하지 않고, 정부와 여당마저 대주주 지분 제한법에 무게를 싣고 있다.

<[단독] 한정애 "거래소 지분제한·은행 중심 스테이블코인 발행 법안 발의", 지디넷코리아(20260210)>

한 의장은 이날 오전 열린 원내대책회의에서도 가상자산 거래소 지분 제한의 필요성을 시사했다.

그는 지난 6일 발생한 빗썸의 비트코인 오지급 사고를 언급하며 “이번 사태는 가상자산에 대한 신뢰 기반을 흔드는 문제로, 근본적인 대책 마련이 시급하다”고 지적했다. 이어 “대주주 적격성 심사 등을 통해 시스템의 맹점을 보완하고, 지배구조 분산을 통해 국민이 신뢰할 수 있는 가상자산 거래의 토대를 마련해야 한다”고 강조했다.

<대주주 지분 규제한다…코인거래소·네이버 충격, 이데일리(20260203)>

빗썸은 원화거래소중 대주주 지분률(73.56%)이 가장 높다. 빗썸이 강제로 지분을 타사에 매각하게 되면 한 군데가 아니라 3군데 이상에 매각(각 15-20% 가정)해야하므로 경영권 자체가 사라지면서 거래소의 향방을 창업주가 결정할 수 없게 된다.

업비트와 네이버간의 결합도 물거품이 된다. 지난해 11월 양사는 각각 이사회를 열고 포괄적 주식교환을 공식화했다. 주식을 교환하면 두나무는 네이버파이낸셜의 100% 자회사가 된다. 그러나 대주주 지분 제한이 생기면, 네이버파이낸셜에서 두나부(업비트)를 인수하는 것 자체가 불가능해지므로 해당 딜은 무산된다.

개인적인 상식으로는 법을 만들어서 회사의 지분을 탈취한다는 것이 이해되지 않는다. 그것도 향후부터 적용이 아니라 소급적용을 검토한다는 것은 더더욱 이해하기가 어렵다. 기존의 금산분리법과는 달리 명분이 없다는 점에서도 차원이 다른 접근으로 보인다.

물론 모든 창업자들이 회사지분을 끝까지 계속 가져가고 싶어하지는 않을 것이다. 오히려 창업자들중에는 이참에 모든 것을 내려놓고 외로운 책임감과의 싸움에서 편해지기를 바라는 이들이나 다른 이해관계자들을 더 많이 개입시키고 확장하는 것을 원하는 이들도 있을 것이다.

그럼에도 불구하고, 대주주가 15% 미만으로 쪼개진다고해서 위기대응 능력이 생기거나 시스템이 개선되거나, 보안에 투자를 더 많이 하거나 대주주의 책임감이 더욱 커진다는 근거는 제시된바 없다.

그러나 언제나처럼 이번에도 가상자산사업자들에 대한 상황이 별로 좋게 돌아가고 있지 않은 것 같다.

빗썸의 오지급 사고는 기존 대주주들의 경영능력을 의심케하는 좋은 명분이 된다.

금번 사고는 업계 차원에서 매우 불리한 이정표가 될 것으로 보인다.

[그 외 질문]

그렇다면 관리적 리스크가 존재하는 중앙화된 거래소 방식을 써야하는 이유는 무엇인가?

탈중앙화된 거래소를 사용하면 오지급 사고 등이 없고 개인지갑을 사용하므로 블록체인상 실제 개인별 주소에 보유한 장부거래 이슈도 없을텐데 왜 중앙화된 거래소가 존재하는가?

1) 확장성

현존하는 비트코인류 블록체인 시스템은 거래가 아니라 이체에 초점이 맞춰 설계되었다. 따라서 초당 1000~10,000회 이상의 거래확정(settlement), 수만의 이용자가 동시에 대규모의 포지션(개인별 잔고현황)을 변경하는 행위(atomic transfer) 등을 소화할 수 없다.

2) 규제순응

블록체인상 가상자산은 본질적으로 수량(현재 잔고 - 이체 수량 - 수수료 = 남은 수량 ≥ 0)만 맞고, 검증인 또는 채굴자(validator = miner)가 블록을 서명하여 발행하기만 하면 이체가 확정된다. 그러나 가상자산사업자는 다양한 법규상 의무(KYC, AML, 시장감시, 그 외 현행법규)를 수행해야한다. 그에 맞게 제재를 가하려면 모든 지갑에 대한 독립적인 권한(각 블록체인 지갑주소에 대한 개인키)을 가지고 가상자산의 이동을 온전히 통제해야하는 것이다.

즉 현행법상 이용자의 제재문제 때문에 중앙화된 거래소 방식은 필수적이다.

‘USDC와 같은 일부 가상자산이 활용하는 스마트 컨트랙트 등의 방식으로 제재를 기술적으로 구현할 수 있지 않냐’고 물어볼 수 있지만 거래소에는 모든 형태의 가상자산이 상장되어 있으므로, 결국 거래소에서 통일적으로 모든 가상자산에 제재를 가하려면 개인키를 직접 통제하는 중앙화된 방식을 고집할 수 밖에 없는 것이다.

3) 이용자친화적 UI/UX

이용자들이 원하는 빠른 정산, 무료에 가까운 또는 완전 무료 이체 수수료, 수수료 관련 이벤트 등은 모두 장부상 거래 환경에서만 가능한 것들이다.

또한 전체 가상자산을 대상으로한 복잡한 형태의 거래 상품(선물, 마진 등)들의 자유로운 확장도 중앙화된 거래소들에서만 제공이 가능하다. (일부 탈중앙화된 거래소에서 선물거래 등을 제공하기도 하지만, 이는 거래형태에 제한 제약, 서비스 업데이트를 위한 합의과정에 대한 제약, 취급 가상자산에 대한 제약 등 다양한 제약을 가진다)

또한 이런 대규모 사고가 터졌을때 중앙화된 거래소는 실효적인 법적책임주체로 역할할 수 있다.

위와 같은 사유로 현재 중앙화된 거래소들의 역할은 탈중앙화된 거래소로 대체되기 어렵다. 본질적으로 서비스 제공 방식과 역할이 다르다고 볼 수 있다.