두나무 '늑장 신고' 억울? … '네이버 합병 간담회' 이후 논란은 여전

[이백현 기자]

업비트. 사진=두나무

[디지털포스트(PC사랑)=이백현 기자] 가상자산 거래소 업비트를 운영하는 두나무가 대규모 해킹 사고를 인지하고도 신고를 미뤘다는 '늑장' 논란에 휘말렸다. 24시간 이내에 한국인터넷진흥원(KISA)에 신고해야 한다는 법적 요건은 충족했지만, 신고와 공지를 즉각 하지 않고 의도적으로 네이버와의 합병 기자간담회 이후로 미룬 게 아니냐는 의혹을 받고 있다.

9일 업계에 따르면 업비트는 지난달 27일 오전 4시 42분경 일부 가상자산의 비정상 출금 정황을 포착했다. 이후 오전 5시 27분 솔라나 계열 자산의 입출금을 중단했고, 오전 8시 55분에는 전체 디지털 자산 입출금을 일괄 중단했다.

그러나 일반 이용자와 시장에 해킹 사실을 공식적으로 알린 시점은 같은 날 낮 12시 33분으로, 최초 이상 거래 인지 시점으로부터 약 7시간이 지난 뒤였다. 이 과정에서 두나무는 네이버와의 합병 관련 기자간담회를 예정대로 진행했다.

정보통신망법상 침해사고 발생 사실을 인지한 경우 24시간 이내 한국인터넷진흥원(KISA)에 신고해야 한다. 이에 두나무는 법적 신고 요건은 충족한 것으로 파악된다. 두나무는 사고 당일 오전 10시 58분경 금융감독원에 침해사고를 처음 신고했으며, 이어 KISA에는 같은 날 오전 중 관련 내용을 보고했다. 이는 최초 해킹 인지 시점 기준 24시간 이내로, 현행 법상 신고 의무 위반으로 보기는 어렵다.

다만 이번 논란의 핵심은 법정 시간과는 별개로 '의도적 신고 지연'이 아니냐는 것에 있다. 두나무는 사건 당일 오전 8시 55분에 이미 디지털 자산 입출금을 일괄 중단했지만, 금융감독원 신고(10시 58분) KISA 신고(11시 57분)와 공지 시점(12시 33분)은 네이버 합병 기자간담회(10시 50분경 종료) 이후로 늦어졌기 때문이다.

이에 두나무가 이용자 보호보다 대외 일정과 경영 이슈를 우선한 것 아니냐는 논란은 가라앉지 않고 있다. 금융당국과 수사기관은 현재 구체적인 침투 경로와 책임 소재를 중심으로 추가 조사를 진행 중이다.

두나무 측은 "비정상 출금을 해킹으로 확정하기까지는 면밀한 검증 절차가 필수적"이라며, 이 과정에서는 불가피하게 일정 시간이 소요될 수밖에 없었다"고 해명했다.

<저작권자 Copyright ⓒ 디지털포스트(PC사랑) 무단전재 및 재배포 금지>