쿠팡 일주일째 유출 경로조차 파악 못해…보상도 나몰라라(종합)

뒤늦게 ‘노출’ 아닌 ‘유출’로 공지…정확한 진상조사 결과 해넘길 듯

박태우 yain@kookje.co.kr 김해림 기자
| 입력 : 2025-12-07 19:39:10
| 본지 4면

- 코인 해킹사고 제재·배상규정 無
- 업비트 54분만에 1040억개 털려

쿠팡에서 약 3370만 개 계정의 고객정보가 유출된 사실이 알려진 지 일주일이 지났지만 정확한 유출 규모와 경로조차 파악이 되지 않고 있다. 445억여 원의 피해가 발생한 업비트 해킹 당시 54분 만에 1000억 개가 넘는 코인이 외부 전송된 것으로 밝혀지는 등 연이은 대형사고로 이용자의 불안만 커진다.

■해 넘기는 쿠팡 조사 “보상 먼 얘기”

업비트 해킹 시도 54분 만에 코인 1000억 개가 넘게 외부 전송된 것으로 확인됐지만 현행법상 이를 직접 제재하거나 배상을 강제할 조항이 없어 우려가 크다. 7일 서울 서초구 두나무가 위치한 건물의 업비트 로고. 연합뉴스

7일 유통업계에 따르면 이번 정보 유출은 지난 6월 24일부터 지난달 8일까지 ５개월에 걸쳐 이뤄진 것으로 파악됐다. 그러나 현재 이 사고에 대한 민관 합동 조사가 진행 중이어서 정확한 유출 규모와 범위는 확정되지 않았다. 피해 규모가 역대 최대인 만큼 민관 합동 조사의 결과가 나오려면 적지 않은 시간이 걸릴 것으로 보인다.

특히 정부가 앞서 ‘면밀한 조사’를 강조해 최종 결과 발표는 내년에야 가능하다고 보는 시각이 우세하다. 앞서 박대준 쿠팡 대표는 지난 3일 국회 정무위 전체회의에서 보상 관련 질의에 “적극적으로 검토하겠다”고 답변했으나 아직 보상과 관련한 움직임을 보이지 않고 있다.

쿠팡은 정보 유출 사건과 관련 정부의 지시에 따라 수정 공지와 피싱을 포함한 2차 피해 방지 등을 7일 내놨다. 쿠팡은 이날 공지문에서 “새로운 유출 사고는 없었으며 앞서 11월 29일부터 안내해 드린 개인정보 유출 사고에 대해 사칭·피싱 등 추가피해 예방을 위한 주의사항을 안내해 드리는 것”이라고 밝혔다. 쿠팡은 “경찰 조사에서 2차 피해 의심 사례는 발견되지 않았다고 발표했다”고 강조했다. 앞서 쿠팡은 정보 ‘유출’이 아닌 ‘노출’로 통지해 개인정보보호위원회로부터 시정 조치를 요구받았다.

■업비트, 54분만 1000억 개 유출

이날 국회 정무위원회 소속 강민국 의원실이 금융감독원에서 제출받은 자료에 따르면 이번 해킹 시도는 지난달 27일 오전 4시42분부터 오전 5시36분까지 총 54분간 이뤄졌다. 알 수 없는 외부 지갑으로 전송된 가상자산 규모는 솔라나 계열 24종 코인 1040억6470만여 개(약 445억 원)에 달했다. 1초당 코인 약 3200만 개(약 1370만 원)가 빠져나간 것이다.

업비트는 해킹 시도를 인지한 지 18분 만인 오전 5시 긴급회의를 연 데 이어 오전 5시27분에 솔라나 네트워크 계열 디지털자산 입출금을 중단했다. 오전 8시55분에는 모든 디지털자산 입출금을 중단했다. 그러나 해킹 사실을 금감원에 처음 보고한 시점은 오전 10시58분으로, 해킹 사고 인지 이후 6시간이 넘게 흐른 뒤였다. 한국인터넷진흥원(KISA)에 보고한 시점은 오전 11시57분이고, 경찰에는 오후 1시16분, 금융위원회에는 오후 3시에 별도 보고를 했다. 비정상 출금 행위가 이뤄졌음을 홈페이지에 공지한 시간은 낮 12시33분이다. 모두 업비트 운영사인 두나무와 네이버파이낸셜 합병 행사가 끝난 오전 10시50분 이후에 이뤄졌다.

하지만 현행법상 가상자산 해킹 등 보안사고에 대해 직접 제재하거나 배상을 강제할 조항이 없어 ‘규제 공백’ 우려도 커진다. 전자금융거래법은 전자금융업자에 거래 안전성·신뢰성을 확보할 것을 의무로 규정하고, 불가피한 사고 위험에 대한 시스템 관리자로서 금융기관의 무과실 책임까지 인정한다. 적용 대상에 가상자산사업자는 포함되지 않는다. 금융당국은 가상자산 2단계 입법 때 해킹·전산 사고를 막지 못하면 배상 책임을 부과하는 방안을 검토하지만, ‘뒷북 대응’이라는 비판이 나온다.