[규제 동향] 가상자산사업자 보안 강화, 지금 점검해야 할 운영과 법적 책임

핵심 요지

금융위원회는 2026년 11월 12일 가상자산업권 보안 대책회의에서 상시 모니터링·사고보고, 핫월렛 보관 최소화, 콜드월렛·보험·준비금 확충을 주문했습니다. 해킹 의심 단계의 선제적 입출금 차단을 위한 비조치의견서 발급과 디지털자산법 입법도 추진합니다. 다만 이번 발표를 새로운 법률상 의무가 모두 시행되었거나 입출금 차단에 대한 포괄적 면책이 생긴 것으로 이해해서는 안 됩니다.

I. 이번 발표에서 구분해야 할 세 가지

보안체계를 강화하라는 감독당국의 요구와 법률 개정의 효력은 구분해야 합니다. 금융위원회는 입법 전이라도 필요한 보안조치를 즉시 취할 것을 당부했습니다. 사업자는 이를 단순한 장래 과제로 미루기보다, 현행 의무를 확인하면서 실제 운영에서 부족한 부분을 먼저 보완할 필요가 있습니다.1)

이 글은 2026년 11월 13일 확인한 금융위원회 보도자료를 기준으로 합니다. 별도 비조치의견서·가이드라인 전문과 세부 적용조건은 확인되지 않았으며, 보도자료에 디지털자산법의 확정 시행일은 제시되어 있지 않습니다.

II. 보안팀만의 문제가 아닌 운영체계 점검

i. 24시간 모니터링은 실제 조치 권한까지 연결되어야 합니다

금융위는 비정상적인 대규모 거래 등 사고가 의심되는 상황에서 즉시 필요한 통제를 시행할 수 있도록 담당 인력의 상시 배치를 요구했습니다. 상시 대응이 어려운 사업자는 대응체계가 정상적으로 운영되는 시간에만 입출금을 처리하고, 이를 이용자에게 미리 안내하도록 제시했습니다.2)

실무적으로는 탐지 시스템의 유무보다 경보를 받은 사람이 무엇을 할 수 있는지가 중요합니다. 야간·주말에도 입출금 제한을 결정할 책임자와 대체 담당자가 있는지, 보안팀·준법부서·고객응대 담당자가 같은 절차에 따라 움직이는지 확인해야 합니다. 운영시간을 조정할 때에는 실제 처리 가능시간과 약관·홈페이지 안내가 어긋나지 않는지도 함께 살펴야 합니다.

ii. 콜드월렛 비중뿐 아니라 핫월렛 노출액을 관리해야 합니다

보도자료에 따르면 현행 콜드월렛 의무 보관비중은 80%이고, 전체 사업자의 실제 보관비중은 95% 이상입니다. 95%는 현황 설명이지 이번에 새로 정한 법정 최저비율이 아닙니다. 금융위가 강조한 방향은 핫월렛 보관 수량을 거래지원에 필요한 최소 수준으로 유지하고, 복수의 핫월렛에 분산하는 방안도 검토하라는 것입니다.2)

사업자는 일률적인 비율만 볼 것이 아니라 자산별 출금 수요, 핫월렛 보충 절차, 승인권한과 키 접근통제를 함께 점검할 필요가 있습니다. 분산 보관을 도입하더라도 동일한 키나 권한이 여러 월렛에 공통으로 사용된다면 위험이 충분히 분리되는지 별도로 확인해야 합니다.

iii. 보험·준비금은 실제 보상 가능성을 기준으로 검토해야 합니다

금융위는 이용자 피해를 원활하게 보상할 수 있도록 보험 보상한도와 준비금 적립액의 충분한 확보를 주문했습니다.2) 보험 가입 사실만 확인하는 데 그치지 말고 담보하는 사고 유형, 면책사유, 자기부담금, 보상한도와 사고 통지절차를 확인해야 합니다. 준비금 역시 사고 발생 시 사용할 수 있는 절차와 규모를 함께 검토하는 것이 바람직합니다.

iv. 피해가 확정되기 전의 보고체계를 준비해야 합니다

발표는 침해사고뿐 아니라 외부의 비정상적 접근 시도 등 침해 가능성이 발견된 경우에도 신속하게 금융당국에 알리는 방향을 제시했습니다.2) 사고의 원인과 피해액이 모두 확정될 때까지 기다리기보다, 확인된 사실과 아직 조사 중인 내용을 구분하여 전달할 수 있도록 내부 보고서식과 연락체계를 정비할 필요가 있습니다.

III. 해킹이 의심되면 입출금을 막아도 될까요?

보도자료는 해킹 의심 단계에서 선제적으로 입출금을 차단할 수 있는지에 관한 업계의 불확실성을 해소하기 위해, 일정 조건 아래 차단조치를 취할 수 있도록 비조치의견서를 발급하기로 했다고 설명합니다. 확인된 것은 발급 방침이며, 해당 의견서의 실제 발급 여부와 적용 대상·조건은 별도 원문으로 확인해야 합니다.3)

i. 비조치의견서와 법 개정·포괄적 면책은 다릅니다

따라서 “해킹이 의심되기만 하면 언제든 입출금을 막을 수 있다”거나 “차단에 따른 책임이 모두 면제된다”고 안내해서는 안 됩니다. 어떤 사실관계와 조치가 비조치 대상인지 확인하기 전에는 그 범위를 일반화하기 어렵습니다. 특히 이용자에 대한 계약상 의무나 민사상 손해배상책임까지 일괄적으로 없어지는지는 이번 보도자료만으로 판단할 수 없습니다.

ii. 차단 판단과 해제 판단을 함께 남겨야 합니다

예를 들어 야간에 특정 자산의 비정상적인 대규모 출금이 탐지되었다면, 단순히 “보안상 이유”라고 기록하는 것만으로는 충분하지 않을 수 있습니다. 어떤 경보와 거래정보를 바탕으로 판단했는지, 어느 자산·기능을 왜 제한했는지, 제한을 계속할 필요가 있었는지를 시간순으로 남기는 편이 이후 설명과 분쟁 대응에 도움이 됩니다.

위 항목은 보도자료의 세부 의무를 그대로 옮긴 것이 아니라, 사업자가 자체 대응절차를 정비할 때 활용할 수 있는 실무 점검안입니다. 실제 차단의 적법성과 보고·통지 요건은 현행 법령, 약관, 개별 사고와 향후 공개될 비조치의견서 조건을 함께 검토해야 합니다.

IV. 지금은 문서와 실제 운영을 맞출 때입니다

우선 입출금 운영시간·긴급 제한 절차와 이용자 안내를 대조하고, 야간·주말 연락망 및 사고 보고체계가 실제로 작동하는지 확인하는 것이 좋습니다. 다음으로 핫월렛 노출액, 키 접근권한, 보험·준비금의 보상 여력을 점검하고, 부족한 항목마다 담당자와 보완 일정을 정할 필요가 있습니다.

금융위는 디지털자산법을 통한 금융회사 수준의 IT 안전성·손해배상책임 규율을 예고하고, 금융보안원 가입 확대와 보안 점검 기준의 연내 개선도 추진한다고 밝혔습니다.4) 법 제정을 기다리는 동안 아무 조치도 하지 않는 것과, 아직 확정되지 않은 계획을 이미 시행 중인 의무로 안내하는 것 모두 피해야 합니다.

이번 발표의 실무적 의미는 보안정책 문서의 보유 여부를 넘어, 실제 사고 때 누가 탐지하고 판단하며 이용자와 당국에 설명할 수 있는지를 점검하라는 데 있습니다. 입출금 통제, 약관·사전고지, 사고 대응절차를 각각 따로 두지 않고 하나의 흐름으로 검토하는 것이 출발점입니다.

출처

1) 금융위원회, 2026. 11. 12. 보도자료, I. 회의개요 및 II. 주요 논의사항.

2) 같은 보도자료, II. ① 가상자산사업자 보안사고 비상 대응 가이드라인 마련.

3) 같은 보도자료, II. ② 해킹 관련 가상자산사업자 입출금 차단 비조치 의견.

4) 같은 보도자료, II. ③ 보안성 점검 지원 및 III. 향후 계획.

https://www.fsc.go.kr/no010101/88133

디센트 법률사무소 뉴스레터에 게재된 내용과 의견은 일반적인 정보 제공을 목적으로 하며, 디센트 법률사무소의 공식 견해나 구체적 사안에 대한 법률의견을 제시하는 것이 아닙니다. 뉴스레터와 관련된 문의사항이 있을 경우 문의하기 버튼을 통해 문의주시기 바랍니다.