빗썸 개인정보 유출·암호화폐 탈취 사건 (2017)

2017년 6월 국내 최대 가상화폐 거래소 빗썸의 한 직원 PC가 해킹당해 회원 개인정보가 무더기로 빠져나갔다. 해커들은 악성코드가 담긴 파일을 이메일로 보내는 방식으로 직원 컴퓨터를 감염시켰다. 이 PC에 저장돼 있던 회원 3만1506건의 개인정보가 외부로 유출됐다. 거래소가 중앙 서버가 아닌 직원 단말을 통해 뚫렸다는 점에서 내부 보안 관리의 허점이 드러났다. 급성장하던 국내 암호화폐 거래소의 보안 수준이 도마에 올랐다.

해커들은 유출한 개인정보를 이용해 이른바 사전대입공격 등으로 다수의 빗썸 계정을 뚫었다. 이를 통해 회원들이 보유한 암호화폐 약 70억 원 상당이 무단으로 빠져나갔다. 유출된 개인정보가 곧바로 실질적 재산 피해로 이어진 전형적 사례였다. 일부 회원은 보이스피싱 등 2차 피해까지 입은 것으로 파악됐다. 개인정보 유출과 가상자산 탈취가 결합된 복합 침해라는 점에서 심각성이 컸다.

사건이 알려지자 계좌에서 암호화폐가 사라졌다는 회원들의 피해 신고가 잇따랐다. 일부 회원은 해커가 유출된 정보로 자신을 사칭해 접근했다며 불안을 호소했다. 빗썸은 피해 접수 창구를 열고 이용자 보호 대책을 내놨지만 논란은 가라앉지 않았다. 거래소가 회원 자산 보호를 위한 최소한의 보안 조치를 갖췄는지가 쟁점으로 떠올랐다. 급증하던 암호화폐 투자자들의 자산 안전에 대한 경각심이 커졌다.

방송통신위원회는 빗썸의 개인정보 보호 조치가 미흡했다고 보고 과징금 4350만 원과 과태료 1500만 원을 부과했다. 이는 거래소가 개인정보를 안전하게 관리할 의무를 다하지 못했다는 행정적 판단이었다. 다만 유출 규모와 피해에 견줘 제재 수위가 지나치게 낮다는 비판이 제기됐다. 당시 암호화폐 거래소를 규율할 마땅한 법·제도가 미비했다는 한계도 드러났다. 사건은 가상자산 거래소 규제 필요성 논의에 불을 지폈다.

형사재판에서 법원은 개인정보를 유출한 빗썸 측에 벌금 3000만 원을 선고했다. 유출 규모와 이용자 피해에 비해 처벌이 가볍다는 지적이 다시 나왔다. 시민단체와 전문가들은 개인정보 유출에 대한 처벌 강화가 필요하다고 목소리를 높였다. 가상자산이라는 새로운 자산을 다루는 거래소에 대한 규율 공백이 재확인됐다. 이 판결은 이후 거래소 보안 의무 강화 논의의 배경이 됐다.

개인정보 유출과 코인 증발로 피해를 봤다며 소송을 낸 회원들은 2심에서도 패소했다. 재판부는 빗썸이 배상 책임을 질 만한 위법이나 인과관계가 충분히 입증되지 않았다고 판단했다. 대형 유출임에도 개별 회원이 손해와 인과관계를 입증하기 어렵다는 한계가 또다시 드러났다. 회원들은 거래소의 관리 책임을 끝까지 물었으나 법적 벽에 부딪혔다. 이 판결은 가상자산 피해 구제의 어려움을 상징하는 사례가 됐다.

이후 이어진 관련 소송에서는 해킹당한 빗썸이 투자자들에게 손해를 배상하라는 취지의 판결이 나오기도 했다. 재판부는 거래소가 이용자 자산과 정보를 보호할 책임을 소홀히 한 부분을 인정했다. 같은 사건을 둘러싸고 배상 책임 인정 여부가 재판부에 따라 엇갈리며 법적 다툼이 길게 이어졌다. 이는 가상자산 거래소의 보안 책임 범위가 여전히 확립되지 않았음을 보여줬다. 빗썸 사건은 국내 거래소 보안·책임 논쟁의 대표 사례로 남았다.