해킹으로 사라진 코인, 누구에게 책임을 물을 수 있나 — 거래소 책임의 요건과 한계, 개인 지갑 사고, 초기 회수 절차

어느 날 거래소 앱을 열었더니 보유하고 있던 코인이 모르는 지갑으로 빠져나가 있습니다. 출금 알림도 받지 못했거나, 받았을 때는 이미 여러 단계를 거쳐 흩어진 뒤입니다. 거래소에 문의하면 "고객님 계정에서 정상적인 인증을 거쳐 출금된 건이라 저희 책임이 아니다"라는 답이 돌아오고, 경찰에 신고하면 "해외 지갑으로 넘어가서 어렵다"는 말을 듣습니다. 그러나 해킹 피해에서 책임의 소재는 '누구의 영역에서 뚫렸는가'에 따라 완전히 달라지고, 회수 가능성은 초기 며칠에 무엇을 했는지에 따라 갈립니다. 이 글에서는 거래소에 책임을 물을 수 있는 경우와 그렇지 않은 경우, 2024년부터 시행된 가상자산이용자보호법이 바꾼 지점, 개인 지갑 사고에서 남아 있는 선택지, 그리고 사고 직후의 실무 절차를 정리해 드립니다.

먼저 '어디서 뚫렸는지'부터 나누어야 합니다

같은 '해킹 피해'라도 법적으로는 전혀 다른 사건이 됩니다. 상담을 받기 전에 아래 중 어느 쪽에 해당하는지부터 정리해 두시면 이후 논의가 훨씬 빨라집니다.

• 거래소 자체가 뚫린 경우 — 거래소 서버나 이른바 핫월렛(인터넷에 연결된 보관 지갑)이 침해되어 다수 이용자의 자산이 한꺼번에 빠져나간 유형입니다. 거래소의 보안 관리 책임이 정면으로 문제 됩니다.

• 내 계정만 탈취된 경우 — 아이디·비밀번호 유출, 문자 인증 우회, 악성 앱 설치 등으로 특정 이용자의 계정에서만 출금이 일어난 유형입니다. 거래소는 "정상 인증을 통과했다"고 주장하고, 이용자는 "이상거래를 걸러 냈어야 한다"고 다투게 됩니다.

• 개인 지갑에서 빠져나간 경우 — 메타마스크 등 본인이 직접 키를 보관하는 지갑에서 자산이 이전된 유형입니다. 거래소가 개입할 여지가 없어 상대방(가해자)에 대한 책임 추궁이 중심이 됩니다.

• 스마트컨트랙트·프로토콜이 뚫린 경우 — 디파이 서비스나 브릿지의 코드 취약점이 악용된 유형입니다. 운영 주체가 국외 법인이거나 익명인 경우가 많아 회수 난이도가 가장 높습니다.

• 속아서 스스로 보낸 경우 — 가짜 사이트에서 지갑을 연결하고 서명했거나, 투자를 가장한 요구에 응해 이체한 유형입니다. 엄밀히는 해킹이 아니라 사기로 구성되며, 대응 방향도 달라집니다.

중요한 것은 기술적 침해 지점과 법적 책임 지점이 반드시 일치하지는 않는다는 점입니다. 내 계정에서 출금이 일어났더라도 그 출발점이 거래소의 개인정보 유출이었다면 책임은 거래소로 옮겨 갈 수 있고, 반대로 거래소가 뚫린 것처럼 보여도 실제로는 이용자 단말의 악성코드가 원인인 경우가 있습니다. 처음부터 결론을 내리지 말고 자료를 모으는 것이 순서입니다.

거래소에 책임을 물을 수 있는 경우

이용자와 거래소 사이에는 이용약관에 따른 계약관계가 있습니다. 거래소는 단순한 중개 플랫폼이 아니라 이용자의 자산을 대신 보관하는 지위에 있으므로, 그 자산을 안전하게 관리할 계약상 보호의무를 부담합니다. 이 의무를 게을리한 결과 자산이 유출되었다면 채무불이행(민법 제390조)이나 불법행위(민법 제750조)에 따른 손해배상책임이 성립할 수 있고, 내부 직원의 소행이라면 사용자책임(민법 제756조)도 문제 됩니다.

결국 쟁점은 '기대되는 보안조치를 다했는가'입니다

법원은 이런 유형의 사건에서 사업자가 결과적으로 뚫렸다는 사실만으로 곧바로 책임을 인정하지는 않습니다. 사고 당시의 보안기술 수준, 업계에서 일반적으로 채택하고 있던 보호조치, 법령이 요구하는 기술적·관리적 조치의 이행 여부, 침해 방식의 예견가능성과 회피가능성, 그리고 사업자가 얻는 이익의 정도 등을 종합해 '사회통념상 합리적으로 기대되는 수준의 보호조치를 다했는지'를 기준으로 판단한다는 것이 확립된 법리입니다. 기존 개인정보 유출 사건들에서도 이 기준이 적용되어, 법령상 요구되는 조치를 이행하고 있었다면 사업자의 책임이 부정된 사례가 적지 않습니다.

따라서 실제 소송에서는 "얼마를 잃었다"가 아니라 "거래소가 무엇을 하지 않았는가"를 구체적으로 지목할 수 있느냐가 승패를 가릅니다. 실무에서 자주 문제 되는 지점은 다음과 같습니다.

• 보관 자산의 상당 부분을 인터넷과 분리된 지갑에 두지 않고 온라인 지갑에 방치한 경우

• 평소 거래 패턴과 전혀 다른 대량·심야·최초 주소 출금인데도 이상거래로 탐지하거나 지연시키지 못한 경우

• 새로운 기기·아이피에서의 접속, 출금 비밀번호 변경, 출금 주소 등록 같은 위험 이벤트에 추가 인증이나 유예시간을 두지 않은 경우

• 이용자가 사고를 알리고 출금 중단을 요청했는데도 처리가 지연되어 피해가 확대된 경우

• 이용자 정보 유출 사실을 인지하고도 통지·조치를 게을리한 경우

덧붙여 해킹 과정에서 개인정보가 함께 유출되었다면 별도의 책임 구조가 작동합니다. 개인정보보호법은 개인정보처리자가 법을 위반해 손해를 입힌 경우, 스스로 고의·과실이 없음을 증명하지 못하면 책임을 면할 수 없다고 정하여 입증책임을 사업자에게 돌려놓았습니다(제39조). 나아가 고의나 중대한 과실로 개인정보가 유출된 경우에는 손해액의 최대 5배 범위에서 배상액을 정할 수 있고, 실제 손해를 일일이 증명하기 어려울 때는 300만 원 이하 범위에서 법정손해배상을 청구할 수도 있습니다. 코인 유출액 자체와는 별개의 청구이지만, 사고 원인을 밝히는 지렛대가 되는 경우가 많습니다.

전자금융거래법의 무과실책임은 그대로 적용되지 않습니다

많이 오해하시는 부분입니다. 은행 계좌에서 보이스피싱이나 위조된 접근매체로 돈이 빠져나간 경우, 전자금융거래법 제9조는 금융회사나 전자금융업자가 원칙적으로 그 손해를 배상하도록 정하고 있습니다. 이용자의 고의나 중대한 과실이 있는 예외적인 경우가 아니라면 사업자가 부담하는, 사실상 무과실책임에 가까운 구조입니다.

그런데 가상자산은 전자금융거래법이 말하는 전자화폐나 전자지급수단에 해당하지 않는다고 보는 것이 일반적인 해석이고, 가상자산사업자도 특정금융정보법에 따라 신고한 사업자일 뿐 전자금융업자가 아닙니다. 결국 이 조항을 그대로 끌어다 쓰기는 어렵고, 앞서 본 일반 민사법리에 따라 거래소의 과실을 이용자 측이 주장·증명해야 합니다. 은행 사고와 코인 거래소 사고의 결론이 달라지는 가장 큰 이유가 여기에 있습니다.

가상자산이용자보호법이 바꾼 지점

2023년 제정되어 2024년 7월 19일부터 시행된 「가상자산 이용자 보호 등에 관한 법률」은 이 지형을 상당 부분 바꾸어 놓았습니다. 이 법이 해킹 피해액을 자동으로 물어 주는 제도를 만든 것은 아니지만, 거래소가 지켜야 할 의무를 법으로 못 박아 두었기 때문에 그 위반 자체가 민사상 과실을 인정하는 유력한 근거가 됩니다. 시행 전에 발생한 사고라면 이 법상 의무 위반을 그대로 주장하기는 어렵지만, 그때에도 거래소가 계약상 보호의무를 부담한다는 점은 다르지 않으므로 일반 민사법리로 과실을 다투게 됩니다.

보관 방식과 보험·준비금 의무

이 법은 가상자산사업자에게 다음과 같은 의무를 부과하고 있습니다.

• 이용자 예치금은 은행에 예치하거나 신탁하여 사업자 고유재산과 분리해 관리하고, 이용료를 지급하도록 했습니다.

• 이용자가 위탁한 가상자산의 경제적 가치 기준 100분의 80 이상을 인터넷과 분리하여 보관하도록 했습니다. 이른바 콜드월렛 의무입니다. 이 비율을 지키지 않은 상태에서 온라인 지갑이 뚫렸다면, 사고와 의무 위반 사이의 연결고리를 지적하기가 훨씬 쉬워집니다.

• 해킹·전산장애 등 사고에 따른 책임을 이행하기 위해 보험에 가입하거나 준비금을 적립하도록 했습니다. 배상 재원을 미리 마련해 두라는 취지입니다.

• 이용자별 거래내역을 포함한 거래기록을 생성·보관하도록 하여, 사후에 사고 경위를 추적할 수 있는 자료가 남게 했습니다.

• 이상거래를 상시 감시하고 필요한 조치를 취하도록 했습니다.

실무적으로 중요한 것은 마지막 두 가지입니다. 거래기록 보관 의무가 있으므로 사고 당시의 접속 기록, 인증 이력, 출금 처리 경위에 관한 자료를 거래소가 보유하고 있을 수밖에 없고, 소송에서 이를 제출하도록 요구할 수 있습니다. 이상거래 감시 의무가 명문화되어 있으므로 "정상 인증을 거쳤으니 끝"이라는 항변도 예전만큼 통하지 않습니다.

사고가 났을 때의 신고·공시 의무

가상자산사업자는 해킹이나 전산장애로 이용자에게 피해가 발생할 우려가 있는 사고가 생기면 금융당국에 보고하고 필요한 조치를 취해야 합니다. 이용자 입장에서는 감독당국에 사고 신고가 접수되어 있는지, 검사나 조치가 이루어졌는지가 중요한 정황이 됩니다. 금융감독원 민원 접수와 정보공개 요청을 병행해 두면, 개인이 확보하기 어려운 사고 경위 자료를 확인할 수 있는 통로가 열리는 경우가 있습니다.

개인 지갑·계정이 털렸다면 어디까지가 본인 책임인가

냉정하게 말씀드리면, 개인키나 시드구문(복구문구)을 본인이 보관하는 지갑에서 자산이 빠져나간 경우 관리 책임은 원칙적으로 본인에게 있습니다. 시드구문을 사진으로 찍어 클라우드에 올려 두었거나, 메신저·메모 앱에 저장해 두었거나, 출처가 불분명한 앱과 지갑을 연결하고 서명한 경우가 대표적입니다. 거래소나 지갑 제작사는 그 키를 보관하지 않으므로 되돌려 줄 방법 자체가 없습니다.

다만 이것이 "아무에게도 책임을 물을 수 없다"는 뜻은 아닙니다. 자산을 가져간 사람에 대한 형사·민사 책임은 그대로 남아 있고, 유출 경로에 제3자의 잘못이 개입했다면 그 제3자에 대한 책임도 별도로 검토할 수 있습니다.

제3자의 과실이 개입한 유형

본인 부주의로만 정리하기 어려운 사안들이 있습니다.

• 휴대전화 번호 자체가 탈취된 경우(이른바 심스와핑) — 타인이 본인 명의로 유심을 재발급받아 문자 인증을 가로채는 방식입니다. 이용자가 잘못한 것이 없고 본인확인 절차의 허점이 원인이므로, 통신사나 대리점의 본인확인 의무 위반을 다툴 여지가 있습니다. 하급심에서는 본인확인 절차가 형식적으로 이루어진 사정 등을 들어 통신사 측 책임을 일부 인정한 사례가 알려져 있으나, 사안별로 결론이 갈리므로 절차 진행 경위를 구체적으로 확보해 두는 것이 중요합니다.

• 다른 서비스의 개인정보 유출이 출발점인 경우 — 유출된 정보로 계정이 특정되고 침입이 이루어졌다면 그 유출 사업자에 대한 책임 문제가 됩니다.

• 가짜 앱·가짜 거래소가 유통 경로에서 걸러지지 않은 경우 — 플랫폼의 관리 책임이 논의될 수 있습니다.

• 지인·동업자·직원이 접근권한을 이용한 경우 — 사실상 가장 회수 가능성이 높은 유형입니다. 상대방이 특정되어 있고 국내에 재산이 있기 때문입니다.

코인을 빼간 사람에게 묻는 형사책임

가해자가 특정되면 적용되는 죄명은 대체로 다음과 같습니다.

• 정보통신망 침입 — 정당한 접근권한 없이 또는 허용된 권한을 넘어 정보통신망에 침입하는 행위는 정보통신망법 제48조 제1항 위반으로 5년 이하의 징역 또는 5천만 원 이하의 벌금에 처해집니다. 악성프로그램을 전달·유포한 경우에는 7년 이하의 징역 또는 7천만 원 이하의 벌금으로 더 무겁게 처벌됩니다.

• 컴퓨터등사용사기 — 권한 없이 정보를 입력하거나 변경해 정보처리를 하게 하고 재산상 이익을 취득한 행위는 형법 제347조의2에 따라 10년 이하의 징역 또는 2천만 원 이하의 벌금에 해당합니다. 타인의 계정으로 로그인해 코인을 출금한 행위가 여기에 포섭되는 것이 보통입니다.

• 사기 — 가짜 사이트나 거짓 투자 제안으로 피해자가 스스로 이체하게 만든 경우에는 형법 제347조 사기죄가 적용됩니다.

• 특정경제범죄가중처벌법 — 사기나 컴퓨터등사용사기의 이득액이 5억 원 이상이면 3년 이상의 유기징역, 50억 원 이상이면 무기 또는 5년 이상의 징역으로 가중됩니다. 코인 사건은 액수가 쉽게 커지므로 이 구간에 들어가는 경우가 드물지 않습니다.

여기서 자주 나오는 질문이 "왜 절도죄가 아닌가"입니다. 형법상 절도죄나 횡령죄의 객체는 유체물인 '재물'인데, 가상자산은 재물이 아니라 재산상 이익에 해당한다고 보는 것이 판례의 태도입니다. 그래서 코인을 빼간 행위는 절도가 아니라 컴퓨터등사용사기 등으로 의율됩니다. 같은 맥락에서 착오나 시스템 오류로 잘못 이체된 코인을 받은 사람이 이를 임의로 처분한 경우, 판례는 그 사람이 이체한 사람에 대한 관계에서 '타인의 사무를 처리하는 자'에 해당하지 않는다고 보아 배임죄 성립을 부정하고 있습니다. 형사처벌이 어렵다는 뜻이므로, 이런 사안은 민사상 부당이득반환청구로 접근해야 실익이 있습니다. 처음부터 형사고소만 붙들고 있다가 시간을 흘려보내는 일이 실무에서 가장 흔한 실수 중 하나입니다.

사고 직후에 해야 할 일 — 순서가 성패를 가릅니다

가상자산은 이동 속도가 빠르고, 몇 단계만 거치면 추적 난이도가 급격히 올라갑니다. 아래 순서대로 움직이시는 것이 좋습니다.

1. 남아 있는 자산부터 지킵니다. 거래소 계정이라면 즉시 출금 정지를 요청하고 비밀번호·인증수단을 전부 교체합니다. 개인 지갑이라면 남은 자산을 새로 만든 지갑으로 옮기고, 기존 지갑이 승인해 둔 컨트랙트 권한을 해제합니다. 침해된 지갑은 절대 다시 쓰지 않습니다.

2. 증거를 그 자리에서 고정합니다. 출금 내역과 트랜잭션 해시(TXID), 받는 지갑 주소, 시각, 알림 문자·이메일, 접속 기록, 의심스러운 링크와 대화 내용을 화면 캡처와 파일로 남깁니다. 시간이 지나면 앱에서 조회 기간이 제한되거나 상대방이 대화를 삭제하는 경우가 많습니다.

3. 수사기관에 신고합니다. 경찰서 사이버수사팀이나 온라인 신고 창구를 통해 접수하고, 위 자료를 시간순으로 정리해 제출합니다. 신고가 접수되어야 거래소에 대한 계정 동결·자료 확보가 수사 절차를 통해 가능해집니다.

4. 자금이 흘러간 경로를 추적합니다. 블록체인 탐색기로 이동 경로를 따라가면서, 국내 거래소 입금 주소로 들어간 흔적이 있는지 확인합니다. 국내 거래소로 들어오는 순간이 회수의 결정적 기회입니다. 그 시점에는 실명확인 계정이 연결되어 있어 상대방을 특정할 수 있기 때문입니다.

5. 민사 보전조치를 검토합니다. 상대방이 특정되면 그 사람이 거래소에 대해 가지는 가상자산 출금청구권이나 예치금 반환청구권을 대상으로 가압류를 신청할 수 있습니다. 형사절차만으로는 돈이 자동으로 돌아오지 않으므로, 재산이 확인되는 즉시 묶어 두는 것이 중요합니다.

6. 거래소의 책임을 다툴 사안인지 판단합니다. 사고 경위 자료, 약관, 보안조치 이행 여부에 관한 자료를 확보해 앞서 본 기준에 비추어 검토합니다. 금융감독원 민원과 분쟁조정 절차를 먼저 활용해 자료를 확보하고, 그 결과를 보고 소송 여부를 정하는 방식도 많이 씁니다.

7. 소멸시효를 확인합니다. 불법행위에 따른 손해배상청구권은 손해와 가해자를 안 날부터 3년, 행위가 있은 날부터 10년이 지나면 소멸합니다(민법 제766조). 부당이득반환청구권은 별도의 시효가 적용되므로, 형사 결과를 기다리다 민사 시효를 놓치지 않도록 함께 관리해야 합니다.

자주 묻는 질문

거래소가 약관을 근거로 책임이 없다고 하는데, 그대로 받아들여야 하나요?

그렇지 않습니다. 약관에 "회사는 이용자의 귀책으로 인한 손해에 책임지지 않는다"는 조항이 있더라도, 사업자 자신의 고의나 중대한 과실로 인한 책임까지 전부 면제하는 조항은 약관규제법상 효력이 부정될 수 있습니다. 무엇보다 실제 쟁점은 약관 문구가 아니라 거래소가 법령과 업계 기준이 요구하는 보안·감시 조치를 실제로 이행했는지입니다. 답변서 한 통으로 결론이 정해지는 것은 아니므로, 사고 경위 자료부터 요구해 보시기 바랍니다.

개인 지갑에서 털린 건 신고해도 소용없다고 하던데요?

회수 난이도가 높은 것은 사실이지만, 신고 자체를 포기하실 일은 아닙니다. 자금이 국내 거래소를 한 번이라도 거치면 계정 동결과 상대방 특정이 가능해지고, 최근에는 수사기관이 온체인 분석을 활용하는 사례도 늘고 있습니다. 또한 신고 기록이 남아 있어야 이후 같은 지갑 주소가 다른 사건에서 등장할 때 병합 수사가 이루어지고, 몰수·추징 재산에서 피해 회복을 받을 통로도 생깁니다.

해커가 해외에 있으면 회수는 불가능한가요?

가해자 본인을 잡는 것과 자금을 묶는 것은 다른 문제입니다. 국외 조직이 배후에 있더라도 국내에서 자금을 현금화하는 인출책이나 계정 대여자는 국내에 있는 경우가 많고, 이들에 대해서는 형사책임과 함께 민사상 공동불법행위 책임을 물을 수 있습니다. 실제로 회수가 이루어지는 상당수 사건이 최종 해커가 아니라 자금 이동 경로에 있던 국내 관여자를 통해 해결됩니다.

손해액은 사고 당시 시세로 계산하나요, 지금 시세로 계산하나요?

다툼이 많은 지점입니다. 불법행위로 인한 손해배상에서는 원칙적으로 불법행위 당시의 시가가 기준이 되지만, 가상자산은 가격 변동 폭이 커서 그 이후의 가격 상승분을 어떻게 볼 것인지가 문제 됩니다. 반환 자체를 구하는 방식으로 청구를 구성하는 방법도 있습니다. 어떤 청구원인으로 구성하느냐에 따라 인정 금액이 달라질 수 있으므로, 소 제기 전에 이 부분을 먼저 정리하는 것이 좋습니다.

거래소가 "일부만 보상하겠다"고 제안했는데 받아들여도 되나요?

합의서에 "이 사고와 관련하여 향후 일체의 민형사상 청구를 하지 않는다"는 취지의 조항(부제소 합의)이 들어 있는지 반드시 확인하셔야 합니다. 사고 원인이 완전히 규명되기 전에 이런 합의를 하면, 나중에 거래소의 중대한 관리 부실이 드러나더라도 추가 청구가 막힐 수 있습니다. 지급 금액보다 문구가 더 중요한 경우가 많습니다.

법무법인 도모가 함께하겠습니다

코인 해킹 사건에서 결과를 가르는 것은 피해 금액의 크기가 아니라, 사고 경로를 얼마나 빨리 특정하고 자금이 국내로 들어오는 지점을 잡아내느냐입니다. 여기에 더해 거래소를 상대로 다툴 사안인지, 상대방을 특정해 민사 보전으로 갈 사안인지, 형사고소가 실익이 있는 사안인지를 초기에 구분해야 합니다. 절도죄가 성립하지 않는 구조, 전자금융거래법의 무과실책임이 그대로 적용되지 않는 구조를 모르고 접근하면, 몇 달을 들여 진행한 절차가 결론에 아무런 도움이 되지 않는 일이 생깁니다.

코인이 사라진 뒤 거래소로부터 "책임이 없다"는 답변을 받으셨거나, 경찰에 신고는 했는데 이후 무엇을 해야 할지 막막하시다면, 시간이 더 흐르기 전에 점검해 보시기를 권합니다. 트랜잭션 기록과 출금 경위 자료가 남아 있는 동안에는 확인할 수 있는 것이 훨씬 많습니다. 비슷한 상황으로 고민하고 계신다면 법무법인 도모로 문의해 주시기 바랍니다. 확보된 자료를 바탕으로 회수 가능성이 있는 경로와 실제로 물을 수 있는 책임의 범위를 함께 짚어 드리겠습니다.