Upbit 해킹 후 한국 규제당국의 인내심 상실

한국은 자국 최대 플랫폼인 Upbit에서 약 $3,000만 규모의 침해 사고가 발생하여 심각한 보안 허점이 드러난 후, 암호화폐 거래소에 은행 수준의 의무를 부과할 준비를 하고 있습니다.

한국 주요 금융 감독 기관인 금융위원회(FSC)는 암호화폐 거래소가 무과실 책임, 더 엄격한 IT 위험 기준, 확대된 감사 기준, 수익에 연동된 벌금에 직면할 수 있다고 밝혔습니다.

11월 27일 발생한 Upbit 해킹은 북한의 라자루스 그룹에 의해 수행된 것으로 추정되며, 한국 기업 및 금융 기관을 대상으로 한 AI 강화 사이버 공격의 광범위한 증가의 일부입니다.

“라자루스 그룹은 그들이 매우 역동적이며, 암호화폐와 같은 새로운 기술이 등장할 때 시대에 맞춰 변화하고 적응할 것임을 입증했습니다,”라고 금융 범죄 관리 전문가인 로버트 산체스는 말했습니다.

AI를 활용한 사칭

Upbit 공격은 아마도 침해된 관리자 자격 증명을 포함했을 가능성이 높으며, 이는 블록체인 취약성보다는 내부 운영상의 약점을 시사합니다.

그는 현대 공격자들이 LinkedIn과 같은 사이트에서 잠재적 표적을 ‘감시’하는 데 상당한 시간을 할애한다고 말했습니다.

“그들은 관리자를 식별하고 심지어 사기 행위를 지원하기 위해 AI를 사용할 수도 있습니다,”라고 산체스는 말했습니다. “그들은 때때로 직원을 사칭하며 정보를 점진적으로 수집하여 암호화폐 계정의 보호된 개인 키에 접근하기 위해 역공학 기법을 사용합니다.”

각성제

금융감독원 이찬진 원장은 업비트의 보안 취약점이 2024년 7월 도입된 가상자산 사용자 보호법 2차 개정안을 추진해야 하는 이유를 보여준다고 밝혔다. 한국은 현재 법이 서비스 제공자를 보안 실패에 대해 완전히 책임지게 하지 않는다고 지적했다.

FSS에 따르면, Upbit은 침해 사실을 당국에 알리기까지 6시간을 기다렸습니다. 한국 의원들은 이 거래소가 인터넷 거인 네이버와의 고조된 합병을 가리기 위해 공개를 지연시켰다고 비난했습니다.

“시스템 보안은 가상자산의 생명선입니다,”라고 이찬진은 말하며, 새로운 개정안이 자본시장법과 비교할 수 있는 규제 구조를 도입할 것이라고 덧붙였습니다.

암호화폐 거래소는 더 높은 심사를 받게 됩니다

Upbit이 북한과 연관된 라자루스 그룹의 표적이 된 것은 이번이 처음이 아닙니다. 2019년 11월 26일 해커들은 핫 월렛에서 약 $4,900만 달러를 훔쳤습니다. Upbit은 손실이 사용자 계정에서 발생하지 않았다고 명확히 했습니다.

이 사건은 더 넓은 패턴의 일부입니다. 안랩(AhnLab)이 11월 27일 발표한 ‘2025 사이버 위협 동향 및 2026 전망’ 보고서에 따르면, 작년 10월부터 올해 9월까지 북한 관련 사이버 해킹 활동이 총 86건 기록되었습니다.

Jae Myung Lee 대통령은 데이터 침해에 대한 기업의 과실에 대한 처벌 강화를 촉구했습니다. 수석 비서실장인 강훈식은 Upbit이 IT 보안 예산을 임시방편으로 관리하고 사이버보안을 위한 전용 예산이 부족했다고 비판했습니다.

Upbit은 도난당한 고객 자금을 전액 변상할 계획이며, 침해와 관련된 $177만 달러의 자산을 동결한 것으로 보고되었습니다. 회사는 도난 자산의 추적 및 회수에 전념하고 있다고 밝혔습니다.

하지만 라자루스 그룹은 당국의 추적을 피하기 위해 설계된 정교한 도구를 사용하는 것으로 악명 높기 때문에 도난 자금의 추적이 극히 어렵습니다.

“암호화폐 믹서는 거래를 섞고 추적 경로를 단절하도록 설계되었습니다,”라고 금융 범죄 전문가인 로버트 산체스는 설명했습니다. “라자루스는 기술의 익명성을 해제하는 진전이 이루어지고 있음에도 불구하고 이를 일상적으로 사용하는 것으로 알려져 있습니다.”

더 가파른 운영 부담

한국은 플랫폼이 침해에 직접적으로 책임이 없더라도 거래소가 고객 손실을 변상하도록 요구하는 무과실 책임 규칙을 검토 중입니다. 이는 전통적으로 암호화폐 거래소가 아닌 한국 내 은행 및 금융 기관에 적용되는 조치입니다.

이 규칙은 해킹 발생 시 정부가 암호화폐 거래소에 연간 수익의 최대 3%까지 벌금을 부과할 수 있도록 합니다. 이 처벌은 업계가 보안을 더 심각하게 받아들이도록 유도하기 위한 것입니다.

하지만 한국의 암호화폐 산업은 이미 디지털 자산에서 상업적 타당성을 찾는 데 어려움을 겪고 있습니다.

“비트코인을 제외한 많은 알트코인은 여전히 명확한 목적을 결여하고 있으며, 이와 관련된 기업들은 잘 운영되지 않고 있습니다,”라고 비트코인 스타트업 Nonce Lab의 CEO인 루이 코는 말했습니다. “일부 프로젝트는 투자에 의존하여 생존하지만, 이는 지속 가능하지 않습니다.”

코는 한국이 해킹에 대해 거래소를 재정적으로 책임지게 하려는 노력이 소규모 플랫폼을 시장에서 퇴출시킬 수 있다고 말했습니다.

“한국의 암호화폐 시장은 여전히 매우 작습니다. 몇몇 대형 거래소를 제외하고 대부분의 암호화폐 기업은 고객에게 진정한 가치를 창출하는 데 어려움을 겪고 있습니다.”

그는 현재 암호화폐 규제는 모든 암호화폐 관련 기업이 암호화폐 거래소와 동일한 엄격한 요구 사항을 충족해야 함을 의미한다고 말했습니다.

“최소 보안 기준인 ISMS를 유지하는 데에는 매년 약 1억 원(USD 75,000)이 소요됩니다. 이 분야의 대부분의 기업가는 운영을 시작하기 위해 이러한 수준의 자본이 필요합니다.”

한국은 주요 온라인 서비스 제공자에게 정보보안관리시스템(ISMS)이라는 정부 지원 사이버 보안 체제를 준수하도록 요구합니다.

코는 한국의 강화된 규제 체계로 인해 불확실성이 증폭되어 일부 암호화폐 기업이 해외로 눈을 돌리거나 지하 거래를 가속화할 수 있다고 지적합니다. 그는 알트코인 프로젝트가 불법 채널을 통해 토큰을 발행하여 피라미드식 판매 구조와 주요 투자자 손실을 초래하는 추세를 강조합니다.

한국은 금융행동특个工作반(FATF)과의 확대된 협력을 통해 보안 및 AML 규칙을 강화함에 따라 입법 개정이 2026년 상반기에 예상됩니다.

로버트 산체스는 교육이 위협에 대처하는 데 있어 진정한 방패라고 말했습니다.

“사칭 및 스피어 피싱은 공격자가 사용하는 가장 일반적인 전술 중 하나이므로, 이러한 영역에서의 교육과 훈련은 모든 조직에서 표준 관행이어야 합니다,”라고 그는 말했습니다. “이러한 위협에 대응하기 위해서는 견고하고 명확하게 정의된 내부 절차가 필요합니다.”