거래소 해킹 보상, 내 코인 털리면 누가 물어줄까?

이번 사고는 규모와 속도 모두 이례적이었습니다. 미국 블록체인 분석업체 TRM랩스는 한국시간 10월 30일 오전 5시 5분께부터 바이낸스의 10개 블록체인 지갑에서 자금이 빠져나갔고, 탈취액 대부분이 약 20분 사이에 유출됐다고 분석했습니다.

바이낸스가 자체 추산한 사고 영향 규모는 약 63억 달러로, 국내 언론은 우리 돈 약 8조 4천억 원으로 환산해 보도했습니다. 업계에서는 단일 해킹 사고로는 역대 최대 규모로 보고 있습니다.

원인에 대해 바이낸스는 초기 조사 결과 개발·운영 담당 엔지니어의 노트북이 침해됐을 가능성이 있다고 공지했습니다. 이를 통해 공격자가 내부 서비스 환경에 접근해 승인되지 않은 출금을 요청했을 수 있다는 설명이고, 지갑 개인키가 유출됐다는 증거는 발견하지 못했다고 덧붙였습니다.

미국 연방수사국(FBI)은 현지시간 10월 31일 발표에서 북한이 60억 달러 이상의 가상자산 탈취의 배후라고 밝혔습니다. FBI는 이 활동을 트레이더트레이터(TraderTraitor)라고 부르며, 탈취 자산이 주로 이더리움으로 전환되는 정황과 관련 지갑 주소 목록을 공개하고 거래 차단을 요청했습니다.

거래소 해킹 보상의 핵심은 결국 누가 손실을 떠안느냐입니다. 바이낸스는 10월 31일 공지에서 손실 보전 비율이 90%에 이르렀다고 밝혔습니다.

비트코인, 이더리움, 리플(XRP), 솔라나(SOL), 테더(USDT), 서클(USDC) 등 거래량 상위 10개 자산은 준비금이 전량 확보됐고, 나머지 10%는 유동성이 낮은 코인이라 장내 매수와 장외 거래로 차례로 물량을 확보하는 중이라고 설명했습니다.

재원은 어디서 나왔을까?

재원으로는 자체 비상기금인 이용자자산보호기금(SAFU), 선물 보험기금의 여유 자금, 사내 유보금이 투입됐습니다. 로이터 보도에 따르면 바이낸스는 약 63억 4천만 달러의 회사 자금을 손실 보전용으로 따로 떼어 두었고, SAFU는 다시 채워 약 10억 달러 수준으로 유지하겠다고 밝혔습니다.

출금 서비스는 11월 1일부터 단계적으로 재개됐습니다. 또 UTC 10월 31일 0시 기준 자산증명 스냅숏을 찍었고, 영지식 증명 계산에 시간이 걸려 11월 3일부터 이용자가 자기 자산 보관 여부를 직접 확인할 수 있다고 안내했습니다.

국내에서는 2024년 7월 19일부터 시행된 가상자산이용자보호법이 기준입니다. 금융위원회 자료를 보면 이용자 보호 장치는 크게 세 가지입니다.

• 예치금 은행 보관: 이용자가 맡긴 원화 예치금은 거래소 고유재산과 분리해 은행 등 관리기관에 예치·신탁해야 하며, 상계·압류가 금지됩니다. 거래소 신고 말소나 파산 때는 관리기관이 이용자에게 우선 지급합니다.
• 콜드월렛 80% 이상: 이용자 가상자산은 회사 자산과 분리 보관하고, 경제적 가치 기준 80% 이상을 인터넷과 분리된 콜드월렛에 매일 유지해야 합니다.
• 보험·공제 또는 준비금: 해킹·전산장애 등 사고 책임을 이행하기 위해 보험·공제에 가입하거나 준비금을 적립해야 합니다. 콜드월렛 보관분을 뺀 이용자 가상자산 가치의 5% 이상, 원화마켓 거래소는 최소 30억 원, 코인마켓 거래소 등은 최소 5억 원이 기준입니다.

직접 계산해 본 예시(가정): 이용자 가상자산이 1조 원인 거래소라면 콜드월렛 80%를 지킬 때 핫월렛은 최대 2,000억 원이고, 그 5%인 100억 원 이상이 보험 보상한도와 준비금 등을 합친 최소 재원이 됩니다.

다만 법이 정한 것은 사고에 대비한 최소 재원과 보관 방식입니다. 실제 보상 여부와 범위는 사고 경위와 책임 판단에 따라 달라질 수 있으니, 사고가 나면 거래소 공지와 금융당국 안내를 함께 확인하시는 편이 안전합니다.

같은 코인이라도 어느 거래소에 맡겼느냐에 따라 거래소 해킹 보상의 근거가 달라집니다. 국내 법의 의무는 국내에 신고된 가상자산사업자에게 적용되므로, 해외 거래소 계정은 그 거래소의 약관과 자체 정책을 봐야 합니다.

표에서 보듯 국내 거래소는 법으로 정한 최소 장치가 있고, 해외 거래소는 회사의 의지와 재무 여력이 보상의 크기를 좌우하는 구조입니다. 해외 거래소를 쓰신다면 그 거래소가 공개하는 기금 규모와 자산증명 자료를 주기적으로 확인해 두시는 것이 좋습니다.

국내 사례로는 업비트 공지가 참고가 됩니다. 업비트는 2025년 11월 27일 오전 4시 42분께 솔라나 네트워크 계열 자산 약 445억 원이 내부에서 지정하지 않은 외부 지갑으로 전송된 사실을 확인했다고 공지했습니다.

업비트는 비정상 출금이 핫월렛에서 발생했고 콜드월렛에는 침해가 없었다고 밝혔습니다. 이후 공지에서 피해 자산 약 445억 원 가운데 회원 피해분은 약 386억 원이며, 회원 피해 자산은 업비트 보유 자산으로 전액 보전했다고 안내했습니다.

이 사례에서 확인할 수 있는 점은 두 가지입니다. 첫째, 콜드월렛 보관 비율이 높으면 피해가 핫월렛 범위로 묶입니다. 둘째, 실제 보상은 거래소가 공지로 밝힌 방식과 재원으로 이뤄졌다는 점입니다. 그래서 사고가 나면 거래소 공식 공지를 기준으로 판단하는 것이 가장 정확합니다.

해킹 소식이 들리면 가장 먼저 할 일은 거래소 공식 공지 확인입니다. 입출금이 막혔다면 그 사유와 재개 일정이 공지에 나옵니다.

가상자산이용자보호법 시행령은 전산장애나 해킹 등 사고가 발생했거나 발생이 명백히 예상되어 긴급한 필요가 있을 때 거래소가 입출금을 차단할 수 있도록 하고, 이 경우 차단 기간은 2개월 범위에서 필요한 최소한으로 하되 부득이하면 두 차례까지 연장할 수 있게 정하고 있습니다.

• 공지 날짜 기준으로 내 보유 자산 화면과 거래내역을 캡처해 둡니다.
• 바이낸스처럼 자산증명 확인 기능이 열리면 내 계정 잔고가 포함됐는지 직접 확인합니다.
• 공지가 아닌 문자·메신저로 온 보상 신청 링크는 누르지 않습니다.

특히 대형 해킹 직후에는 보상 신청을 사칭한 피싱이 따라붙기 쉽습니다. 거래소가 이용자에게 개인키나 시드 문구, OTP 번호를 묻는 경우는 없다고 생각하고 대응하시면 됩니다.

거래소 해킹 보상은 거래소 쪽 사고를 다루지만, 내 계정이 털리는 경우는 이야기가 다릅니다. 개인 계정 보안은 스스로 챙겨야 하는 영역입니다.

1. 2단계 인증: 문자 인증보다 OTP 앱 기반 2단계 인증을 켜 둡니다.
2. 출금 주소 화이트리스트: 미리 등록한 주소로만 출금되게 설정하면 계정이 노출돼도 낯선 주소로 빠져나가기 어렵습니다.
3. 피싱 차단: 거래소 주소는 즐겨찾기로만 접속하고, 검색 광고나 메시지 링크로 로그인하지 않습니다.
4. API 키 정리: 쓰지 않는 자동매매 API 키는 삭제하고, 쓰는 키에는 출금 권한을 주지 않습니다.
5. 장기 보관 분리: 오래 보관할 자산은 개인 하드웨어 지갑으로 옮기는 방법도 있습니다. 다만 개인 지갑은 분실·유출 책임이 본인에게 있으니 시드 문구를 오프라인으로 안전하게 보관해야 합니다.

체크 순서 팁: 2단계 인증 → 출금 화이트리스트 → API 키 정리 순으로 10분 안에 끝낼 수 있습니다. 오늘 한 번 점검해 두시면 다음 해킹 뉴스에도 덜 불안합니다.