코인거래소 프라뱅, 핫월렛 해킹에 1억 피해…서비스 중단

국내 가상자산 거래소 프라뱅의 핫월렛(인터넷에 연결된 거래소 지갑)에서 비정상적인 출금이 일어났다. 지금까지 파악된 피해는 약 1억 원이다. ㈜프라뱅은 26일 홈페이지에 올린 사과문에서 10월 24일께 외부 비인가자의 접근으로 침해사고가 발생했다며 회원 자산 보호를 위해 서비스 이용을 잠정 중단했다고 밝혔다. 피해 자산은 정확히 파악한 뒤 전액 회사 자산으로 보전하겠다고 했다.

프라뱅은 원화 입출금 없이 가상자산끼리 거래하는 코인마켓 거래소다. 29일 현재 홈페이지에 접속하면 거래 화면 대신 사과문만 나온다.

24일 탐지, 이틀 뒤 사과문

회사 설명에 따르면 프라뱅은 24일 핫월렛에서 비정상 출금을 탐지한 직후 비상대응체계를 가동하고 거래소 시스템 전체를 점검했다. 이 과정에서 보안 취약점이 발견됐고, 서비스를 멈췄다. 관련 법령에 따라 관계 기관에 사고 사실을 신고했고 원인과 규모를 조사하고 있다고 회사는 밝혔다. 어떤 코인이 얼마나 빠져나갔는지, 서비스를 언제 다시 여는지는 사과문에 나오지 않는다.

1. 10월 2일외부 비인가자가 회원 20명의 개인정보를 빼냄 (머니투데이방송 보도)
2. 10월 14일금융위원회, 침해사고가 확인된 금융회사 16곳 발표…가상자산사업자 중 스트리미(고팍스 운영사)·프라뱅 포함
3. 10월 24일프라뱅 핫월렛에서 비정상 출금 탐지, 비상대응체계 가동
4. 10월 26일프라뱅 사과문 게시…피해 약 1억 원, 서비스 잠정 중단, 전액 보전 방침
5. 10월 28일금융위원회, 빗썸 등과 가상자산업권 침해사고 긴급 점검회의

"회원님의 피해 자산을 정확히 파악하여 전액 회사 자산으로 보전하는 조치를 취할 예정입니다."

㈜프라뱅 사과문

이달 2일엔 회원 20명 개인정보가 새 나갔다

프라뱅의 침해사고는 이번이 이달 들어 두 번째다. 금융위원회는 14일 '제2차 긴급 상황대응 회의'를 열고 신한은행 침해사고 전후로 사고가 확인된 금융회사가 은행·저축은행·가상자산사업자 등 16곳이라고 밝혔다. 가상자산 업권에서는 스트리미와 프라뱅이 명단에 올랐다. 당시 확인된 전체 정보 유출 규모는 약 10만 건이었다.

머니투데이방송 보도에 따르면 프라뱅에서는 2일 외부 비인가자가 회원 20명의 이름·성별·국적·생년월일·연락처·주소·직장 등 12개 항목을 빼냈다. 프라뱅은 당시 해당 IP를 차단하고 홈페이지 취약점을 점검·보완했다고 밝혔다. 스트리미가 운영하는 고팍스에서는 다른 사이트에서 새 나간 것으로 보이는 이메일·비밀번호로 고객 계정에 접속하려는 시도가 있었고, 고객 자산 피해는 없었다고 같은 보도는 전했다.

금융위, 빗썸까지 불러 긴급 점검

금융위원회는 28일 유영준 디지털금융정책관 주재로 금융감독원·금융보안원·디지털자산거래소 공동협의체(DAXA)·빗썸 등과 가상자산업권 침해사고 긴급 점검회의를 열었다. 금융위에 따르면 빗썸은 외부의 비정상 접근으로 빗썸과 자회사·협력업체 임직원 정보가 유출된 정황을 확인했고, 이용자 정보 유출 여부는 확인 중이라고 보고했다. 침해된 곳은 가상자산 거래 핵심 전산시설이 아닌 임직원 업무 지원 시스템이며, 가상자산 지갑 주소처럼 부정 결제나 자산 이전에 쓰일 수 있는 정보 유출은 아직 확인되지 않았다고 했다.

금융위·금감원·금보원은 현장 조사에 착수했고, 피해가 생기면 전액 배상 등 소비자 보호 조치가 이뤄지도록 관리·감독하겠다고 밝혔다. 가상자산업권처럼 전자금융거래법이 적용되지 않는 곳도 은행 수준으로 보안 조치를 끌어올리는 방안을 추진한다고 덧붙였다.

콜드월렛 보관·보험 가입은 법적 의무

가상자산이용자보호법은 거래소가 이용자 가상자산 가운데 일정 비율 이상을 인터넷과 분리해 보관하도록 정하고 있다. 시행령은 그 비율을 70% 이상 범위에서 금융위원회가 고시하도록 했다. 같은 법은 해킹·전산장애 사고 책임을 이행하기 위해 보험이나 공제에 가입하거나 준비금을 쌓도록 의무를 지운다. 프라뱅은 피해 회원 보전 재원을 회사 자산이라고만 밝혔다.