가상자산해킹유출 대응 가이드, 피해 확인 후 가장 먼저 해야 할 일
1. 가상자산해킹유출 피해가 확인되면 무엇부터 살펴봐야 하나요?
가장 먼저 확인해야 할 것은 가상자산이 어떤 경로를 통해 외부로 빠져나갔는지입니다.
같은 가상자산해킹유출처럼 보여도 거래소 계정이 탈취된 경우와 개인지갑의 시드문구가 노출된 경우, 피싱 사이트에서 잘못된 서명이 이루어진 경우는 대응 방법과 책임관계가 다릅니다.
따라서 피해 사실을 확인한 직후에는 먼저 자신의 피해 유형을 구분해 보는 것이 좋습니다.
| 피해 상황 | 우선 확인할 내용 | 초기 대응 |
| 거래소 계정 탈취 | 로그인 기록, 출금기록, 2단계 인증 변경 여부 | 계정·출금 제한 요청 |
| 개인지갑 탈취 | 시드문구·개인키 노출 여부 | 남아 있는 자산의 안전한 지갑 이전 검토 |
| 피싱 사이트 접속 | 접속 URL, 서명 및 토큰 승인 내역 | 추가 승인·접근 차단 및 자료 보전 |
| 악성코드·원격제어 | 설치 프로그램, 접속·실행 기록 | 감염기기 추가 사용 중지 및 증거 보전 |
| 거래소 자체 해킹 | 사고 공지, 유출 대상 자산, 피해 범위 | 거래소 공지 및 피해접수 절차 확인 |
이처럼 피해 유형을 먼저 구분해야 이후에 어떤 자료를 확보하고 누구에게 책임을 물을 수 있는지도 보다 구체적으로 판단할 수 있습니다.
특히 거래소를 이용하던 중 피해가 발생했다면 개인 계정의 관리 문제뿐 아니라 거래소가 이용자 가상자산을 적절하게 보관하고 있었는지도 함께 확인할 필요가 있습니다.
「가상자산 이용자 보호 등에 관한 법률」 제7조는 가상자산사업자에게 자기 가상자산과 이용자의 가상자산을 분리하여 보관하고, 이용자로부터 위탁받은 가상자산과 동일한 종류와 수량을 실질적으로 보유하도록 정하고 있습니다.
또한 현행 「가상자산업감독규정」에서는 이용자 가상자산 경제적 가치의 80% 이상을 인터넷과 분리된 환경에서 보관하도록 규정하고 있습니다.
따라서 거래소에서 피해가 발생했다면 단순히 "계정이 해킹됐다"는 사실만으로 결론을 내리기보다, 어떤 방식으로 인증이 이루어졌고 어느 계정·지갑에서 어떤 출금이 발생했는지를 구체적으로 정리해야 이후 책임 여부도 판단할 수 있습니다.
2. 해킹 사실을 알게 됐다면 추가 유출을 막기 위해 무엇을 해야 하나요?
피해 사실을 확인했다면 우선 남아 있는 가상자산까지 추가로 유출되는 상황을 막아야 합니다.
거래소 계정에서 피해가 발생했다면 해당 거래소 고객센터나 사고접수 채널을 통해 계정 로그인 또는 출금 제한이 가능한지 확인하는 것이 우선입니다.
이때 단순히 거래소 비밀번호만 변경하고 끝내기보다는 이메일, 휴대전화, OTP 등 다른 인증수단까지 함께 탈취됐을 가능성도 확인해야 합니다.
개인지갑에서 문제가 발생한 경우에는 시드문구나 개인키 자체가 이미 노출됐을 수도 있습니다.
이 경우 동일한 지갑을 계속 이용하기보다 안전성이 확인된 환경에서 새로운 지갑을 생성하고 남아 있는 자산을 이전할 필요가 있는지 검토해야 합니다.
다만 피해를 입은 휴대전화나 PC를 곧바로 초기화하는 것은 주의할 필요가 있습니다.
해당 기기에는 피싱 사이트 접속기록, 악성 프로그램, 로그인 기록 등 어떤 경로로 계정이나 지갑이 침해됐는지를 확인할 수 있는 자료가 남아 있을 수 있기 때문입니다.
- 거래소 계정의 추가 출금 제한 요청
- 비밀번호·OTP 등 인증수단 침해 여부 확인
- 남아 있는 가상자산의 안전조치 검토
- 피해가 발생한 기기의 무분별한 초기화 자제
- 출금 알림 메일·문자·앱 알림 보전
- 거래소 고객센터 문의 및 답변 저장
이 단계에서 중요한 것은 모든 조치를 무작정 진행하는 것이 아니라, 추가 피해 방지와 증거 보전을 함께 고려하는 것입니다.
디센트 법률사무소에서는 초기 상담 과정에서 피해 발생 구조를 먼저 확인하여 거래소 계정 탈취인지, 개인지갑 침해인지, 피싱이나 원격접속이 관련된 사건인지 구분하고, 그에 따라 어떤 자료를 우선 보전하고 거래소에 무엇을 요청해야 하는지 정리하는 방식으로 대응할 수 있습니다.
3. 가상자산해킹유출 피해에서는 어떤 증거를 확보해야 하나요?
추가 유출을 막았다면 다음 단계는 탈취된 가상자산의 이동 경로를 확인할 수 있는 자료를 최대한 확보하는 것입니다.
특히 가상자산 사건에서는 단순한 피해 화면보다 언제, 어느 주소에서 어느 주소로 자산이 이동했는지를 확인할 수 있는 거래기록이 중요합니다.
가능하다면 다음 자료를 원본 상태에 가깝게 확보해 두는 것이 좋습니다.
- 피해 발생 일시
- 탈취된 가상자산 종류와 수량
- 피해 당시 원화 환산가액
- 출금 지갑주소
- 수신 지갑주소
- TXID 또는 Transaction Hash
- 사용한 거래소·지갑 서비스
- 로그인 및 접속 알림
- OTP·휴대전화·이메일 인증기록
- 비밀번호 변경 알림
- 거래소 고객센터 문의내역
- 피싱 사이트 URL
- 관련 문자·이메일·메신저 대화
- 의심되는 프로그램이나 앱 정보
이 가운데 TXID와 지갑주소는 이후 자산 이동 경로를 확인하는 기본 자료가 됩니다.
공개형 블록체인의 경우 블록체인 탐색기를 통해 최초 피해 주소에서 다른 주소로 자산이 이동한 내역을 확인할 수 있기 때문입니다.
거래소 내부에 남아 있는 기록도 중요합니다.
「가상자산 이용자 보호 등에 관한 법률」 제9조는 가상자산사업자가 가상자산 거래의 내용을 추적·검색하고 오류를 확인할 수 있는 거래기록을 거래관계가 종료된 때부터 15년간 보존하도록 규정하고 있습니다.
다만 사업자가 거래기록을 보존하고 있다는 사실과 피해자가 원하는 모든 내부자료를 즉시 제공받을 수 있다는 것은 별개의 문제입니다.
로그인 IP, 인증정보, 출금 승인 과정이나 내부 시스템 기록 등은 거래소가 자발적으로 제공하지 않을 수 있고, 수사 과정에서 적절한 절차를 거쳐 확보해야 할 수도 있습니다.
따라서 신고 전에는 현재 피해자가 직접 확보할 수 있는 자료와 향후 수사기관을 통해 확보해야 할 자료를 구분해 정리하는 작업이 필요합니다.
디센트 법률사무소에서는 피해자가 확보한 거래내역, TXID, 지갑주소, 거래소 답변 등을 토대로 피해 발생 시점부터 자산이 이동한 흐름을 시간순으로 정리하고, 이후 경찰 신고나 고소 과정에서 활용할 수 있도록 사건의 사실관계와 증거자료를 구조화하는 방식으로 지원할 수 있습니다.
4. 이미 다른 지갑으로 이동한 가상자산도 추적하거나 동결할 수 있나요?
이미 다른 지갑으로 가상자산이 이동했더라도 블록체인상 이동 경로를 확인할 수 있는 경우는 있습니다.
다만 추적이 가능하다는 것과 실제 회수가 가능하다는 것은 구분해야 합니다.
공개형 블록체인에서는 최초 탈취 지갑에서 다른 지갑으로 이동한 거래가 기록으로 남습니다.
따라서 탈취된 자산이 이후 어느 주소로 이동했는지를 확인하고, 그 과정에서 국내외 중앙화 거래소로 유입된 정황이 있는지 살펴볼 수 있습니다.
특히 자산이 신원이 확인되는 중앙화 거래소의 입금주소로 이동한 것으로 확인된다면 해당 거래소가 보유한 계정정보와 거래기록이 수사에서 중요한 자료가 될 수 있습니다.
| 확인 요소 | 의미 |
| 현재 보관 지갑 | 탈취 자산이 아직 해당 주소에 남아 있는지 |
| 중앙화거래소 유입 | 거래소 계정을 통한 신원 확인 가능성이 있는지 |
| 자산의 추가 이동 | 여러 주소로 빠르게 분산됐는지 |
| 체인 변경 | 브리지를 통해 다른 네트워크로 이동했는지 |
| 자산 교환 | 다른 가상자산으로 전환됐는지 |
| 해외사업자 이용 | 해외 거래소의 협조나 국제공조가 필요한지 |
다만 블록체인상 자산 이동을 확인했다고 해서 곧바로 해당 자산을 동결할 수 있는 것은 아닙니다.
거래소마다 피해신고와 동결 절차가 다르고, 실제 동결이나 계정정보 확보를 위해서는 수사기관의 요청이나 영장 등 법적 절차가 필요한 경우도 있습니다.
또한 자산이 여러 지갑으로 분산되거나 다른 체인으로 이동한 뒤 다른 가상자산으로 교환된 경우에는 추적과 회수 과정이 더욱 복잡해질 수 있습니다.
따라서 "블록체인 기록이 있으니 반드시 회수할 수 있다"거나 반대로 "이미 다른 지갑으로 보냈으니 회수할 수 없다"고 단정해서는 안 됩니다.
이에 디센트 법률사무소에서는 확보된 TXID와 지갑주소를 기준으로 자산 이동 흐름을 정리하고, 특정 거래소로 자산이 유입된 정황이 확인되는 경우 해당 사실이 수사기관에 명확하게 전달될 수 있도록 자료를 구성해 드리고 있습니다.
해외 거래소가 관련된 경우에는 해당 거래소의 피해신고·자료보전 절차와 국내 수사기관을 통한 국제공조 필요성도 함께 검토할 수 있습니다.
5. 경찰 신고와 피해회복은 어떤 순서로 진행해야 하나요?
피해 사실과 기본적인 거래자료가 정리됐다면 수사기관 신고를 검토하는 단계로 넘어가야 합니다.
경찰청 사이버범죄 신고시스템(ECRM)을 통해 해킹 등 사이버범죄 피해를 신고할 수 있으며, 피해 일시와 피해내역, 범죄 피해 과정 등을 구체적으로 정리하도록 안내하고 있습니다.
가상자산 사건에서는 단순히 "코인을 해킹당했습니다"라고 설명하기보다 수사기관이 사건의 구조를 바로 파악할 수 있도록 자료를 정리해 제출하는 것이 중요합니다.
1) 피해 발생 경위
언제 마지막으로 정상적으로 계정을 사용했는지, 언제 이상 출금을 확인했는지 정리합니다.
2) 피해 자산
가상자산의 종류, 수량과 피해금액을 정리합니다.
3) 탈취 거래
TXID와 송·수신 지갑주소를 확인합니다.
4) 계정 침해 정황
해외 IP 접속, 비밀번호 변경, OTP 변경, 이메일 탈취 등 확인되는 정황을 정리합니다.
5) 탈취 이후 이동 경로
다른 지갑 또는 거래소로 이동한 내역이 확인된다면 함께 제출합니다.
이러한 자료를 미리 정리해두면 수사기관이 어느 거래소나 사업자로부터 어떤 자료를 확보해야 하는지 판단하는 데 도움이 될 수 있습니다.
이에 디센트 법률사무소에서는 피해경위와 자산 이동내역을 정리한 뒤, 형사 고소·신고 과정에서 수사기관이 확인해야 할 거래소 계정, 접속기록, 인증기록, 지갑주소 등을 구체화해 제출하는 대응을 검토해 드리고 있습니다.
수사가 시작된 이후에도 새로운 지갑주소나 거래소 유입 정황이 확인되면 추가 자료로 정리하여 제출할 필요가 있습니다.
6. 자주 묻는 질문(FAQ)
Q1. 해킹으로 코인이 다른 지갑으로 넘어갔는데 거래를 취소할 수 있나요?
이미 블록체인에 기록된 전송을 은행 이체취소와 같은 방식으로 되돌리기는 일반적으로 어렵습니다.
따라서 거래 자체를 취소하려 하기보다 탈취 자산의 현재 위치와 이동 경로를 확인하고, 이후 거래소로 유입됐는지 등을 살펴보는 것이 중요합니다.
해외 거래소로 이동했다는 이유만으로 회수가 불가능하다고 단정할 수는 없습니다.
다만 해당 거래소의 소재 국가와 정책, 이용자 신원정보 보유 여부, 자산의 현재 상태, 국내 수사기관과의 협조 가능성 등에 따라 필요한 절차와 난이도가 달라질 수 있습니다.
추가 피해를 막기 위한 조치는 필요하지만 사건 자료가 모두 확보되기 전에 무조건 초기화하는 것은 주의해야 합니다.
피해 기기에는 접속기록이나 피싱 URL, 악성 프로그램 등 침해 경위를 확인할 자료가 남아 있을 수 있으므로 필요한 증거를 먼저 보전한 뒤 안전조치를 진행하는 방법을 검토할 필요가 있습니다.
7. 정리 및 유의사항
가상자산해킹유출 피해가 발생했다면 가장 먼저 추가 출금을 막고 TXID, 지갑주소, 로그인·인증기록 등 사건을 확인할 수 있는 자료를 확보해야 합니다.
이미 가상자산이 외부 지갑으로 이동했다면 최초 피해 거래부터 이후 자산 이동 경로를 확인하고, 특정 거래소로 유입된 정황이 있는 경우 수사기관을 통한 자료 확보와 동결 가능성을 검토할 필요가 있습니다.
또한 피해 원인이 거래소의 인증이나 보관시스템과 관련된 것으로 의심된다면 거래소의 법적 의무와 손해배상 가능성도 함께 살펴봐야 합니다.
이에 디센트 법률사무소는 피해 거래내역, TXID, 지갑주소, 거래소 이용내역 등을 검토해 피해 발생 구조와 자산 이동 경로를 정리하고, 경찰 신고·고소 과정에서 필요한 사실관계와 증거자료를 구체화할 수 있도록 지원해 드리고 있습니다.
탈취 자산이 국내외 거래소로 이동한 정황이 확인되는 경우에는 거래소 자료보전·동결 요청 가능성과 수사기관을 통한 추가 조치를 검토하고, 거래소의 보안·보관의무와 관련된 사고라면 손해배상 등 피해회복 절차까지 함께 살펴볼 수 있습니다.
가상자산은 짧은 시간에도 여러 지갑과 거래소를 거쳐 이동할 수 있으므로, 피해를 확인했다면 우선 현재 확보할 수 있는 자료부터 정리하는 것이 중요하기에, 더 늦기 전에 전문가의 조력을 받아 잃어버린 자금을 꼭 회수하시기 바랍니다.
