업비트, 54분 만에 코인 1000억개 털려…당국에는 늑장보고

[이데일리 이수빈 기자] 지난달 국내 1위 가상자산거래소 업비트에서 대규모 해킹 사고가 발생한 가운데 해킹 시도 54분 만에 코인 1000억개가 외부로 전송됐던 것으로 밝혀졌다.

국내 최대 가상자산 거래소 업비트에서 발생한 445억원 규모 가상자산 해킹 사건의 배후로 북한 정찰총국 산하 해킹조직 라자루스가 유력하게 지목되고 있다. 사진은 28일 서울 한 지하철역에 설치된 업비트 광고.(사진=연합뉴스)

7일 국회 정무위원회 소속 강민국 국민의힘 의원실이 금융감독원에서 제출받은 자료에 따르면 이번 해킹시도는 지난달 27일 오전 4시 42분부터 오전 5시 36분까지 총 54분간 이뤄졌다.

이 시간 동안 솔라나 계열 코인 24종이 총 1040억 6470만 4384개가 외부로 전송됐다. 피해액은 총 444억 8059만 4889원으로 1초당 1373만원(코인 3212만개)이 빠져나간 셈이다. 이 중 업비트 회원 피해 자산은 약 386억원으로 이 중 약 23억원을 동결했다. 업비트 회사 피해 자산은 약 59억원이다.

해킹으로 외부 전송된 솔라나 계열 코인 피해 현황을 살펴보면 피해 코인 갯수로는 봉크(BONK)가 약 1031억개(99.1%)로 가장 많았다. 그 다음으로는 캣인어독스월드(MEW)가 약 4억개(0.4%), 펏지펭귄(PENGU)이 2억개(0.2%) 순으로 나타났다. 피해 금액 기준으로는 솔라나(SOL)가 약 190억원(42.7%)으로 가장 많았으며 그 다음 펏지펭귄이 39억원(8.7%), 오피셜트럼프 29억원(6.6%)으로 집계됐다.

문제는 업비트가 이 같은 해킹 피해 사실을 금융당국에 늑장신고했다는 점이다. 업비트 지갑실에서 솔라나 네트워크 계열 자산 일부가 내부에서 지정하지 않은 지갑 주소로 전송된 정황을 최초 확인한 시간은 27일 오전 4시 42분경이다. 이를 금감원에 유선 보고한 시점은 약 6시간이 경과한 10시 58분이며 시스템을 통해 문서로 공식 보고한 시점은 11시 45분으로 기록됐다. 한국인터넷진흥원(KISA)에는 11시 57분, 경찰에는 오후 1시 16분에 보고했다. 금융위원회에는 오후 3시께 유선으로 별도 보고했다.

가상자산 이용자 보호 등에 관한 법률에 따르면 가상자산사업자는 이상거래가 의심되는 경우 지체 없이 금융위원회 및 금감원장에게 통보하도록 돼 있다.

업비트가 지난 2019년 해킹 이후 대대적인 보안컨설팅을 진행했음에도 또 다시 피해가 발생했다는 점에서 우려가 계속되고 있다. 2019년부터 올해 11월까지 7년간 업비트는 총 33건의 보안컨설팅을 수행했다. 집행된 사업비만 해도 약 170억원에 달한다.

강민국 의원은 “금융당국은 국내 가상자산거래소 1위 기업인 업비트가 해킹으로 445억원 상당의 코인이 유출됐음에도 6시간이나 늑장신고한 것에 대해 관련법 위반 의무를 철저히 확인해야 할 것”이라고 지적했다. 또 “금번 업비트 해킹에서 솔라나 계열 코인만 전량 유출된 것이 솔라나 플랫폼 자체의 구조적 문제인지 혹은 업비트 결제 계정 방식 문제인지에 대한 조사도 필요하다”고 했다.

한편 업비트 관계자는 “피해자산은 모두 업비트가 충당해서 이용자에겐 피해가 없도록 조치했다“라며 ”비정상 출금 후 추가 출금을 막는데 집중했고, 비정상 출금이 침해사고라고 최종 확인된 즉시 당국에 보고했다“고 말했다.