빗썸, 해커에 2억원 건다…거래소 경쟁, 이제는 '보안과 신뢰'

[경제일보] 빗썸이 국내 가상자산 거래소 최고 수준인 최대 2억원의 버그바운티(취약점 신고 포상제) 포상금을 내걸었다. 상장 종목과 수수료 경쟁에 치중했던 가상자산 거래소 업계가 이제는 보안과 신뢰를 핵심 경쟁력으로 내세우기 시작했다는 신호다.

가상자산은 몇 초 만에 거래되지만 보안 사고로 무너진 신뢰는 회복에 오랜 시간이 걸린다. 빗썸이 버그바운티 포상금을 대폭 올리고 프라이버시센터까지 개편한 배경에는 거래소가 단순 매매 플랫폼을 넘어 금융 인프라 수준의 통제 체계를 요구받고 있다는 현실이 자리한다.

빗썸은 플랫폼 보안 취약점을 선제적으로 발굴하기 위한 버그바운티 프로그램의 최고 포상금을 2억원으로 확대한다고 지난 2일 밝혔다. 버그바운티는 외부 보안 전문가가 서비스 취약점을 찾아 제보하면 심각도에 따라 포상금을 지급하는 제도다. 회사 측은 이번 포상 규모가 국내 가상자산 거래소 가운데 최고 수준이라고 설명했다. 국내 금융권의 버그바운티 포상금이 일반적으로 수천만원 수준에 머무는 것과 비교하면 이례적인 규모다.

빗썸은 2022년 9월 국내 가상자산사업자(VASP) 가운데 선제적으로 버그바운티를 도입했다. 올해 하반기부터는 기존 프로그램을 강화해 공지된 범위 안에서 블랙박스 침투 테스트를 수행할 수 있도록 하고 취약점 심각도에 따라 포상금을 차등 지급할 계획이다. 외부 공격자가 발견하기 전에 보안 취약점을 먼저 찾아 제거하겠다는 취지다.

더 주목되는 부분은 프라이버시센터 개편이다. 빗썸은 개인정보 처리 현황과 정보보호 활동을 이용자에게 공개하고 외부 취약점 점검 결과와 정보보호 자문위원회 정례 회의 내용도 공유할 계획이다. 거래소 보안이 내부 점검과 비공개 통제 중심에서 외부 검증과 이용자 공개를 결합한 구조로 진화하고 있는 셈이다.

배경에는 급변하는 규제 환경이 있다. 국내 가상자산사업자는 특정금융정보법에 따라 자금세탁방지 의무를 부담한다. 지난해 7월 시행된 가상자산이용자보호법 이후에는 이용자 자산 보호와 이상거래 감시 책임도 한층 강화됐다. 거래소는 고객확인(KYC) 과정에서 개인정보와 금융거래 정보를 대규모로 다룬다. 보안 사고는 단순한 시스템 장애가 아니라 실명계좌 제휴와 감독당국 대응, 시장 평판까지 흔드는 경영 리스크가 됐다.

글로벌 시장에서도 보안의 중요성은 갈수록 커지고 있다. 최근 해외 가상자산 거래소와 디파이(DeFi) 플랫폼을 겨냥한 해킹 피해가 잇따르고 있으며, 북한 연계 해킹 조직의 가상자산 탈취 사례도 꾸준히 보고되고 있다. 디지털자산 시장이 제도권 금융에 편입될수록 보안은 선택이 아닌 생존 조건으로 자리 잡고 있다.

빗썸이 보안 투명성을 전면에 내세우는 이유도 여기에 있다. 향후 스테이블코인과 커스터디, 기관투자자 서비스, 디지털자산 결제 인프라 시장이 커질수록 거래소 보안은 사업 확장의 전제 조건이 된다. 은행과 제휴하고 기관 고객을 유치하려면 보안 체계를 선언이 아니라 숫자와 절차, 검증 결과로 입증해야 한다.

남은 과제는 실효성이다. 최대 2억원이라는 포상금은 상징성이 크지만, 제보 범위와 취약점 등급 기준, 제보자 보호 원칙, 처리 기한, 패치 완료 후 공개 범위가 명확해야 제도가 제대로 작동할 수 있다. 프라이버시센터 역시 홍보 페이지에 그친다면 효과는 제한적이다. 개인정보 처리 현황과 자문위원회 권고 사항, 취약점 개선 사례가 정기적으로 공개될 때 비로소 신뢰 자산이 될 수 있다.

빗썸 관계자는 "투자자가 안심하고 거래할 수 있는 환경을 만들기 위해 버그바운티 포상금을 국내 최고 수준으로 상향했다"며 "프라이버시센터를 통해 정보보호 현황을 공유하고 개방형 보안 생태계를 조성하겠다"고 말했다.

한편 가상자산 거래소의 경쟁은 수수료와 상장 종목만으로 결정되지 않는 단계에 들어섰다. 보안과 개인정보 보호, 이상거래 대응 능력이 거래소의 체급을 가르는 기준이 되고 있다. 빗썸의 이번 조치가 일회성 발표를 넘어 실제 제보 건수와 처리 속도, 개선 사례로 이어질 때 시장은 이를 보안 비용이 아니라 금융 인프라로 가기 위한 신뢰 투자로 평가할 것이다.