[이코노미스트 김정훈 기자] 국내 가상자산 거래소 빗썸의 대규모 비트코인 오송금 사고가 가상자산 시장의 제도적 허점을 다시 드러냈다는 비판을 받고 있다. 내부 전산 오류로 수십조원 규모의 비트코인이 잘못 지급되는 초유의 사태가 발생하면서, 거래소 신뢰와 이용자 책임을 둘러싼 논란이 확산되고 있다.

특히 투자자들 사이에서는 “거래소가 없는 코인을 마음대로 만들어낼 수 있는 것 아니냐”, “오송금된 비트코인을 매도하면 처벌받는 것 아니냐”는 의문이 잇따르고 있다. 테라·루나 등 대형 가상자산 사건의 변론을 맡고 있는 김기동 가상자산 전문 변호사(법무법인 로백스 대표변호사)에게 이번 사태의 핵심 쟁점, 두 가지에 대해 들어봤다.

“없는 코인 찍어냈나”…장부 거래 논란의 실체

가상자산 업계에 따르면 빗썸은 지난 6일 오후 7시 ‘랜덤박스’ 이벤트 보상 입력 과정에서 단위를 ‘원’이 아닌 ‘비트코인(BTC)’으로 잘못 설정해 총 62만BTC를 오지급했다. 이는 당시 시세 기준 약 62조원 규모로, 빗썸이 보유한 비트코인 물량의 12배를 웃도는 수준이다.

빗썸은 사고 발생 약 35분 뒤 거래와 출금을 차단했지만, 일부 당첨자들은 이미 1788BTC를 매도했다. 이후 대부분을 회수했으나, 약 125BTC는 아직 회수되지 않은 것으로 알려졌다.

이번 사태의 첫 번째 쟁점은 거래소가 실제 보유하지 않은 비트코인을 생성할 수 있느냐다. 이에 대해 김 변호사는 “이번 사고는 비트코인이 새로 발행된 것이 아니라, 내부 장부에서 잔고가 잘못 표시된 사례”라고 설명했다.

중앙화 거래소(CEX)는 블록체인에서 즉시 거래를 처리하지 않고, 내부 전산 서버에서 잔고를 조정하는 ‘장부 거래’ 방식을 사용한다. 거래 속도와 수수료 부담을 줄이기 위한 구조다. 은행이나 증권사와 유사한 방식이다.

따라서 이번에 지급된 62만BTC는 블록체인상에서 새로 만들어진 코인이 아니라, 내부 데이터베이스에만 존재한 ‘유령 잔고’에 가깝다는 설명이다. 김 변호사는 “문제의 핵심은 코인을 찍어냈느냐가 아니라, 전산상 수치와 실제 보유 자산이 일치하지 않았다는 점”이라고 말했다.

준비금 증명(POR) 제도를 운영하고 있음에도 사고가 발생한 점도 논란이다. 김 변호사는 “POR은 신뢰 확보를 위한 필요조건일 뿐 충분조건은 아니다”라고 지적했다. POR은 분기 단위로 자산을 점검하는 사후 검증 성격이 강해, 순간적인 오류를 실시간으로 차단하기에는 한계가 있다는 것이다.

그는 “비정상 수량이 입력되는 즉시 시스템을 멈추는 하드스톱과 실시간 통제 기능이 작동했어야 했지만, 이 부분이 취약했다”고 설명했다.

특히 이번 사고는 일반 이용자 영역이 아닌 관리자 보상 기능에서 발생한 것으로 알려졌다. 관리자 기능에는 편의상 상한선이나 검증 로직이 느슨하게 적용되는 경우가 많다. 이른바 ‘취약지대’가 사고로 이어졌다는 분석이다.

대형 거래소들은 통상 다중 승인(4-eyes 원칙)과 직무분리 구조를 운영한다. 업비트는 전산 장부와 블록체인 지갑 잔고를 24시간 비교하는 시스템을 갖추고 있고, 코인원은 6단계 교차 검증 체계를 운영한다. 코빗 역시 이중 장부 방식을 적용한다. 결국 중앙화 거래소 자체가 위험한 게 아니라, 내부 통제 수준의 차이가 사고를 가른 셈이다.

“받고 팔면 범죄인가”…법적 책임 논란

두 번째 쟁점은 오송금된 가상자산을 처분한 이용자가 처벌 대상이 되는지 여부다. 현행 형법상 타인의 재산을 착오로 취득하고 반환하지 않으면 횡령이나 배임이 성립할 수 있다. 그러나 가상자산은 법적 지위가 불명확해 처벌이 쉽지 않다는 시각도 존재한다.

과거 판례는 비트코인을 전자정보로 보고 형법상 재물로 인정하지 않아 무죄 판단을 내린 사례가 있다. 또한 오지급 자산을 받은 이용자를 ‘타인 사무처리자’로 보기 어렵다며 배임 성립을 부정한 판결도 있었다.

다만 김 변호사는 “가상자산의 사회·경제적 지위가 크게 바뀌었다”며 “과거 판례만으로 무죄를 단정하기는 어렵다”고 말했다. 가상자산 이용자보호법 시행 등 제도 환경이 달라진 만큼, 현재 동일 사건이 발생하면 판단이 달라질 가능성이 있다는 것이다.

비교 사례로는 삼성증권 ‘유령주식’ 사건이 거론된다. 2018년 삼성증권이 배당 입력 과정에서 ‘1000원’을 ‘1000주’로 잘못 입력해 전산상 존재하지 않는 주식이 계좌에 들어갔고, 일부 직원이 이를 매도하면서 시장이 급락했다. 당시 직원들이 잘못 입고된 주식을 매도해 시장 혼란을 일으켰고, 법원은 이를 처벌했다. 김 변호사는 “내 계좌에 들어왔다는 이유만으로 자유롭게 처분할 수 있다는 논리는 이제 통하지 않을 수 있다”고 말했다.

다만 가상자산은 자본시장법과 규율 체계가 달라 형사 처벌을 위해서는 부정거래 성립 등 입증 부담이 크다는 한계도 있다.

“민사 책임은 불가피”…부당이득 반환 쟁점

형사 책임과 별개로 민사 책임은 비교적 명확하다는 평가다. 법률상 원인 없이 얻은 이익은 반환해야 한다는 부당이득 반환 원칙에 따라, 매도로 얻은 이익은 반환 대상이 될 수 있다.

김 변호사는 “사고 직후 온라인 커뮤니티를 통해 ‘매도해도 무죄’라는 글이 확산되며 추가 매도를 부추겼을 가능성도 있다”며 “향후 책임 범위를 둘러싼 소송이 이어질 수 있다”고 전망했다.

김 변호사는 이번 사태를 “가상자산 산업의 성장 속도를 제도와 내부 통제가 따라가지 못해 발생한 사고”라고 평가했다. 이용자보호법이 시행됐지만, 지배구조·내부통제·보상 체계는 여전히 금융권보다 느슨하다는 지적이다.

한편 이번 사고를 계기로 중앙화 거래소 전반에 대한 점검이 본격화될 전망이다. 이미 금융당국은 원화 거래소를 대상으로 전수조사에 착수했으며, 관리자 권한 설계 구조와 실시간 정합성 관리 체계, 이상 징후 발생 시 차단 프로세스 등을 집중적으로 들여다볼 방침이다.

업비트 등 일부 거래소는 자산 이동 시 다중 승인과 직무분리 체계를 엄격히 적용하고 있다는 점을 강조하고 있다. 다만 이번 사태를 계기로 각 거래소의 내부 통제가 실제로 얼마나 실효적으로 작동하고 있는지가 향후 핵심 검증 대상이 될 전망이다.

ⓒ이코노미스트(https://economist.co.kr) '내일을 위한 경제뉴스 이코노미스트' 무단 전재 및 재배포 금지