가상자산 해킹 사건의 종류와 대처방법
가상자산 해킹 사건의 종류는 다양합니다. 제3자에 의한 개인 계정 해킹, 해킹의 탈을 쓴 사기 및 횡령, 시스템적 결함을 이용한 가상자산 탈취, 거래소 대한 해킹 등이 있습니다. 해킹 사건의 종류에 따라 각 당사자의 대처 방법은 다르며 경험에 비추어 하나씩 살펴 보겠습니다.
첫째, 제3자에 의한 개인 계정 해킹입니다.
- 개인 계정에 대한 관리 책임은 원칙상 개인에게 있고 제3자로부터 해킹을 당했다는 명확한 증거가 없는 이상 거래소에 대하여 책임을 묻기 힘듭니다.
로그인 정보는 개인의 관리 영역에 있는 것으로 보아 관리 소홀을 하지 못한 개인의 탓이 큰 것인 셈입니다. 실제로 로그인 IP가 평상시에 로그인하지 않는 곳에서 발생했다고 하더라도 그 책임이 온전히 거래소에 있다고 단정하기 어렵습니다.
- 우리나라는 특금법을 통해 가상자산사업자에 대하여 ISMS 인증, AML 등 안전장치를 요구하고 있고 트래블룰, STR, CTR 등 법적 의무를 부과하고 있기 때문에 업비트 등 특금법상 규제를 받는 거래소에서 해킹이 일어나는 경우는 거의 없습니다.
- 만약 우리나라 거래소 중 가상자산사업자로 신고한 거래소에서 개인 계정 해킹 사건이 발생하였고 거래소가 트래블룰, STR, CTR을 위반한 사실이 확인되면 해킹된 금액에 대하여 특금법 위반을 이유로 한 손해배상청구가 가능합니다.
- 문제는 특금법상 가상자산사업자가 아닌 거래소나 해외 거래소에서 해킹이 일어나는 경우입니다. 이들에 대하여는 트래블룰, STR, CTR 등 법적 의무가 인정되지 않을 가능성이 있고 해외 거래소 사건은 우리나라에서 관할권이 인정되지 않아 소제기가 불가능할 수도 있습니다.
- 결국, 특금법상 가상자산사업자로 신고하지 않은 거래소나 해외 거래소를 이용할 때에는 이러한 리스크가 존재한다는 사실을 명심할 필요가 있습니다. 가능하면 규제를 받는 거래소를 이용할 것을 권합니다. 특금법상 가상자산사업자 현황은 아래 링크에서 확인할 수 있습니다.
둘째, 해킹의 탈을 쓴 사기 및 횡령입니다.
- 외부로는 해킹을 당했다고 공지하지만 실제로는 해킹을 당한 사실이 없고 '먹튀'를 하거나 내부에서 '사고'가 일어나는 경우입니다.
그 중에서 자체 월렛을 사용하는 코인재단이나 스캠 거래소에서 종종 일어납니다.
- 즉, 재단이나 거래소에서 코인을 자유자재로 움직이는 경우입니다. 이러한 종류는 엄밀히 말해서 '해킹'이라고 보기 어렵고 전 과정이 '사기'인 것입니다. 코인에 대한 소유권이 온전히 이용자에게 있지 않거나 실제로 코인을 발행하지 않았는데 코인이나 금액에 대한 '표시'만 하는 경우입니다.
- 이러한 경우도 해킹인지 사기인지 불분명하고 그에 대한 증거를 수집하기도 힘듭니다. '먹튀'의 경우에는 사기꾼이 해외로 도피하거나 자금을 은닉하는 경우가 많습니다. 그렇기 때문에 의심이 드는 경우 증거자료를 빠르게 수집하고 고소 등 법적 절차를 진행하는 것이 최선입니다.
- 개인지갑, 스캠 거래소에 대해 조금 더 첨언하자면 코인 구매를 유도하면서 특정 지갑을 설치하라고 한다면 사기일 가능성이 농후합니다. 더군다나 누구인지 모르는 사람이나 회사로 입금하라고 하면 사기라고 봐야 합니다. 지급보증서나 원금보장을 하는 경우에도 사기입니다.
- 카톡 오픈채팅방에서 수익인증하는 경우나 금감원, 국세청, 국정원을 들먹이는 경우에도 사기입니다. 출금하기 위해서 수수료를 요구하는 경우도 사기입니다. 너무나 뻔해 보이는 수법에도 돈에 눈이 머는 경우 속수무책으로 당하는 경우가 많습니다. 특히 감당할 수 없는 대출까지 받아서 투자하지 마시기 바랍니다.
셋째, 시스템적 결함을 이용한 가상자산 탈취 사건도 종종 있습니다.
- 주인이 없는 공개된 지갑을 우연히 발견하거나 코드 오류로 의도치 않게 더 많은 코인을 획득하는 경우입니다.
법률상 원인이 없는 이득에 해당하기 때문에 이는 부당이득으로 반환해야 합니다.
- 물론 실무적으로 해킹의 증거가 없다면 해결하기 어려운 것도 사실입니다.
주인이 없는 지갑인 경우에는 청구할 수 있는 사람이 없기 때문에 소송이 할 수 없고, 의도적인 해킹이 아니라면 처벌할 수 있는 법적 근거가 없기 때문입니다.
넷째, 거래소 대한 해킹은 조금 더 복잡합니다.
- 거래소가 해킹되어 이용자의 자산이 유출되고 그로인하여 거래소가 출금을 중지했다면 이는 계약 위반으로 인한 손해배상의 대상이 됩니다.
즉, 출금을 중지한 거래소에 대하여 소송을 제기할 수 있습니다.
- 법원도 같은 입장입니다. 이용자가 거래소에 대하여 계정에 입금된 가상자산의 인출을 요구할 경우, 거래소는 가상자산을 반환할 의무를 부담하는데, 거래소가 해킹을 당하였다고 출금을 거부한다면 손해배상책임이 인정됩니다.
- 하지만 거래소가 해킹을 당했으나 출금을 중지하지는 않는 대신에 1 USDT를 예치한 사람에게 0.5 USDT만 반환하는 경우에는 이용자는 거래소를 상대로 그 차액에 대하여 반환하라는 소송을 제기할 수 있는 것이 원칙입니다.
- 물론 가상자산의 경우 그 특성상 변동성이 있기 때문에 스테이블코인이라고 하더라도 그 가격이 보장되는 것은 아니므로 1 USDT를 예치한 사람에게 1 USDT를 전부 반환하였으나 아무도 이를 1 USD로 교환해 주지 않는다면 어떠할까요? 그 1 USDT는 0.5 USD 가치인 그냥 또 하나의 코인이고 코인 가격은 시장에서 정해지므로 아무런 문제가 없다고 할 수 있을까요? 아니면 USD라는 단어를 표방하고 대외적으로 투자자에게 가격이 고정될 것이라는 외관을 형성하였으므로 그 차액에 대한 책임이 있는 것일까요? 답은 아직 아무도 모릅니다.
가상자산, 특히 해킹 사건에 관한 판례가 많지도 않고 실제로 소송으로 진행되었을 경우 구체적인 사실관계에 따라 결론이 달라질 수 있습니다.
코인 사기, 해킹을 원천적으로 방지할 수는 없습니다. 다 잃더라도 자신이 감당할 수 있는 금액만 투자하고 최대한 리스크가 낮은 거래만 하는 것이 최선입니다.
마지막으로 사기를 당했다면 우선 증거자료를 수집하고 최대한 빠르게 법적절차를 진행해야 합니다. 고소하거나 소송한다고 해서 피해금액을 돌려 받으리라는 보장은 없습니다. 하지만 "주장 없으면, 판단 없다"라는 원칙과 같이 가만히 있으면 사기꾼은 돈을 챙겨 도망가고 아무도 도와주지 않습니다.
