[사진 = 연합뉴스]

[디지털데일리 조윤정기자] 금융감독원이 445억원 규모의 업비트 해킹 사고와 관련해 운영사 두나무에 대한 검사를 마치고 본격적인 제재 절차에 들어갔다. 사고 사실을 이용자들에게 뒤늦게 알린 이른바 ‘늑장 공지’와 보안·내부통제 체계가 핵심 쟁점이 될 전망이다.

20일 금융권에 따르면 금감원은 최근 두나무에 지난해 11월 발생한 해킹 사고의 검사 결과를 담은 검사의견서를 전달했다. 사고 발생 약 8개월 만에 검사 결과를 통보하면서 두나무에 대한 제재 절차도 본궤도에 올랐다.

이번 검사는 지난해 11월27일 발생한 업비트 해킹 사고를 계기로 진행됐다. 당시 솔라나 네트워크 기반 가상자산이 외부 지갑으로 유출됐으며 피해 규모는 당시 시세 기준 약 445억원으로 집계됐다.

두나무의 사고 공지 시점도 핵심 쟁점으로 꼽힌다. 해킹은 당일 오전 4시42분부터 5시36분까지 약 54분간 이어졌지만, 두나무는 예정돼 있던 네이버파이낸셜과의 합병 관련 일정을 마친 뒤 이용자들에게 사고 사실을 알렸다.

이를 두고 시장에서는 두나무가 이용자 보호보다 기업 일정을 우선한 것 아니냐는 비판이 제기됐다. 금감원은 사고 인지와 금융당국 보고, 입출금 중단, 이용자 공지 등이 적시에 이뤄졌는지를 집중적으로 들여다본 것으로 전해졌다.

두나무는 사고 이후 유출 자산 가운데 약 26억원어치를 동결해 회수 절차를 진행하고 있다. 회원 피해로 이어진 약 386억원 상당의 자산은 회사 자체 재원으로 전액 보전했다.

금감원은 두나무의 해킹 예방 체계와 내부통제, 사고 이후 대응 과정 전반을 점검하는 한편 가상자산이용자보호법 등 관련 법규 위반 여부를 살펴봤다.

앞으로 두나무의 소명 절차를 거쳐 제재 수위를 담은 사전 통지서가 전달될 예정이다. 이후 제재심의위원회 심의와 금융위원회 의결 등을 거쳐 최종 제재 수위가 확정된다.

다만 중징계 여부는 아직 불투명하다. 현행 가상자산이용자보호법은 사업자에게 해킹·전산장애 등에 대비한 보험 가입이나 준비금 적립 의무를 부과하고 있지만, 해킹 발생 자체를 곧바로 제재하는 구조는 아니다.

이에 따라 실제 제재 여부와 수위는 해킹 피해 규모보다 두나무가 사고 예방과 이용자 자산 보호 의무를 충실히 이행했는지, 사고 발생 후 당국 보고와 이용자 공지가 적절했는지에 따라 갈릴 것으로 보인다. 금융당국도 앞서 이용자 자산 보호와 사고 보고 과정에서 법규 위반이 있었는지를 중점적으로 들여다본 것으로 알려졌다.