디지털자산법 표류에…가상자산 해킹, 배상 기준이 없다

'디지털자산기본법' 입법이 차일피일 미뤄지면서, 국내 가상자산 거래소가 해킹돼도 거래소 자체적인 보전 조치에 의존해야만 하는 상태다. 관련 입법을 통해 이용자 피해 구제 체계를 명확히 해야 한다는 지적이 나온다.

3일 법조계와 가상자산 업계에 따르면, 현행 가상자산이용자보호법에는 해킹 등 보안 사고로 이용자 자산이 탈취됐을 때 가상자산사업자(VASP)가 부담해야 할 손해배상 책임과 범위를 구체적으로 정한 규정이 없다.

현행법은 이용자 예치금 보호와 가상자산 보관·관리, 보험 가입, 준비금 적립 등 사고 예방과 이용자 자산 보호에 초점을 맞추고 있다. 해킹 사고에 대비한 재원 확보 의무는 있지만, 실제 사고가 발생했을 때 사업자가 어떤 요건으로 얼만큼 배상해야 하는지에 대한 기준은 명확하지 않은 셈이다.

이처럼 해킹 등 사고로 인한 손해배상 규정이 미비하다 보니 국내 가상자산 거래소 피해 보전은 주로 거래소 자체적인 조치를 통해 이뤄져 왔다.

가상자산 거래소 업비트 운영사 두나무는 지난해 11월 27일 발생한 솔라나 네트워크 계열 가상자산 약 445억원 규모 탈취 사고와 관련해 이용자 피해를 자체 자산으로 보전했다. 빗썸 역시 2018년 약 350억원 규모의 가상자산 탈취 사고 당시 회사 자산으로 피해를 보상하겠다고 밝힌 바 있다.

국회에서도 관련 입법 논의가 진행 중이다. 민병덕·박상혁 더불어민주당 의원 등이 각각 발의한 디지털자산기본법에는 해킹 등 보안 사고로 발생한 이용자 손해에 대한 가상자산사업자의 배상 책임을 명시하는 내용이 담겼다.

그러나 디지털자산기본법은 국회에 계류 중이다. 향후 법안 조율과 통합안 마련, 국회 통과, 시행까지 상당 시간이 소요될 수 있는 만큼 그사이 발생하는 해킹 사고에 대한 손해배상 책임과 범위는 불투명하다.

특히 해킹 사고가 발생할 때마다 개별 사업자 자체 보상 방침에 의존하는 방식만으로는 이용자 피해 구제의 예측 가능성을 확보하기 어렵다는 지적이 나온다. 사업자의 귀책사유와 배상 범위, 이용자 피해 구제 절차 등을 명문화해 거래소별로 보상 수준이 달라질 수 있는 불확실성을 줄여야 한다는 것이다.

황석진 동국대 교수는 “가상자산 해킹 사고로 인한 책임 배상은 현행 개인정보보호법을 적용받을 수 있다”면서도 “다만 디지털자산기본법을 통해 사업자에 대한 세부적인 책임 명시 의무를 지게 해 명확하게 할 필요가 있다”고 말했다.

반면 금융회사와 전자금융업자 등에 적용되는 전자금융거래법(전금법)은 특정 전자금융사고에 대한 손해배상 책임을 명시하고 있다.

전금법 제9조에 따르면 금융회사 또는 전자금융업자는 ▲접근매체의 위조·변조로 발생한 사고 ▲계약체결 또는 거래지시의 전자적 전송·처리 과정에서 발생한 사고 ▲정보통신망에 침입해 거짓이나 그 밖의 부정한 방법으로 획득한 접근매체를 이용해 발생한 사고 등에 대해 손해배상 책임을 진다.

차상진 법무법인 비컴 변호사는 “해킹 등 사고로 인한 가상자산사업자의 손해배상 책임을 지우려면 전자금융거래법과 같은 규정이 있어야 한다”며 “이 경우 사업자의 과실 여부를 중심으로 결론을 낼 수 있어 이용자도, 사업자도 모두 소모적 분쟁을 줄일 수 있다”고 주장했다.

사업자 자자체 보전에 기댄 피해 배상…자금 부족 시 보상 불투명

무엇보다 입법 공백 문제는 가상자산사업자가 자체적으로 피해를 보전하지 않거나 충분한 배상 여력을 갖추지 못한 경우 발생한다. 해킹 사고에 대한 법적 배상 기준이 없는 상황에서 이용자 피해 구제가 사업자의 대응 방침과 재무 상태에 따라 달라질 수 있기 때문이다.

물론 현행 가상자산이용자보호법에 별도 손해배상 책임 규정이 없더라도 이용자는 민법 등에 따라 자산 반환이나 손해배상을 청구할 수 있다. 다만 사업자의 귀책사유와 손해 발생 경위 등을 일일이 따져야 하는 데다, 실제 배상금을 지급할 수 있는 자금 여력이 부족하다면 배상을 받지 못할 가능성이 있다.

김동환 법무법인 디엘지 변호사는 “기본적으로 사업자 귀책으로 해킹 사고가 발생했을 때 이용자는 가상자산이나 원화 등에 대한 반환청구권을 행사할 수 있다”면서도 “이용자에게 자산을 돌려주지 못할 정도로 사업자의 자금 상태가 좋지 않을 때는 불확실한 문제가 발생할 수 있다”고 가능성을 제시했다.

그는 이어 “법정화폐와 달리 아직 가상자산에 대한 법적 지위가 명확하지 않아 가상자산에 대한 우선 집행순위가 있을지는 자세히 들여다봐야 한다”고 덧붙였다.