해킹으로 가상화폐 4억 증발…법원 “거래소 책임 못 물어”

재판부 “전자금융거래법 적용은 타당하지 않아”

신소영 기자 [e-mail]

“해킹 사건으로 개인정보를 유출당해 빗썸 계좌에 있던 가상화폐를 도난당했다”며 이용자가 빗썸 운영사를 상대로 손해배상 소송을 냈지만 패소했다.

서울중앙지법 민사30부(재판장 이상현)는 비트코인 거래자 박아무개씨가 온라인 가상화폐거래소 빗썸을 운영하는 비티씨(BTC)코리아닷컴을 상대로 낸 손해배상 소송에서 원고 패소 판결했다고 24일 밝혔다.

지난해 11월30일 박씨는 빗썸에서 보유하고 있던 가상화폐를 매도하려 계정에 접속했다. 당시 박씨 계정엔 4억7800여만원 상당의 원화(KRW) 포인트가 남아 있었다. 그러나 불과 2시간 뒤 박씨의 계정은 해킹을 당했고 박씨가 보유하고 있던 포인트는 가상화폐인 이더리움으로 교환돼 빗썸 직원의 승인을 받아 출금됐다. 박씨 계정에 남은 돈은 121원 상당의 원화 포인트와 0.7794185 이더리움뿐이었다. 이에 박씨는 ‘빗썸 측이 전자금융거래법에 따라 금융기관과 비슷한 고도의 보안조치를 해야 했다’며 4억7800여만원의 손해배상 소송을 냈다.

재판부는 빗썸 쪽 손을 들어줬다. “금융위원회 허가 없이 가상화폐 거래를 중개하는 빗썸에게 전자금융업자에 준해 전자금융거래법을 적용하는 것은 타당하지 않다”고 본 것이다. 재판부는 빗썸이 전자금융거래법이 정한 ‘금융회사’나 ‘전자금융업자’에 해당하지 않는다고 판단했다. 빗썸과 같은 가상화폐 또한 △재화나 용역을 구입할 수 없고 △가치 변동이 커 현금·예금으로 교환할 수 없으며 △투기 수단으로 주로 이용되고 있다는 점에서 전자금융거래법이 정한 ‘전자화폐’에 해당하지 않는다고 봤다.

박씨는 지난해 빗썸에서 발생한 대규모 개인정보 유출 사건을 언급하면서 빗썸이 ‘선관주의 의무’(선량한 관리자로서 주의 의무)를 다하지 않았다고 주장했다. 지난해 4월 빗썸 관계사가 악성코드 공격을 받아 빗썸 회원 3100여명의 개인정보가 유출된 바 있다. 그해 4월부터 석달 가까이 이어진 해킹 공격으로 5천여개의 계정(아이디, 비밀번호)이 해커에 의해 탈취당하기도 했다.

하지만 재판부는 박씨가 본 피해와 빗썸이 당한 해킹 공격 사이에 인과관계가 있다고 판단하기 어렵다고 봤다. 재판부는 “박씨가 해킹 피해를 입었을 당시 해커가 어떤 방법을 이용해 로그인했는지 알 수 없고 해킹 공격으로 유출된 정보에 박씨의 정보가 포함됐다고 볼 만한 증거도 없다”고 설명했다. 또한 “컴퓨터, 스마트폰 등을 통해 접속하면 위치나 시간에 따라 아이피 주소가 변경될 수 있다. 박씨가 주로 사용하는 아이피 주소와 다른 주소로 접속한 것을 막지 못했다 해서 빗썸이 주의 의무를 다하지 못한 것으로 보기는 어렵다”고 밝혔다.

재판부는 박씨의 핸드폰이나 컴퓨터가 해킹당해 개인정보가 탈취됐을 가능성도 있다고 봤다. 해킹 발생 당시 빗썸이 10차례에 걸쳐 출금 인증코드 문자메시지를 박씨의 휴대폰으로 전송해 이더리움 출금 절차가 진행되고 있다는 사실을 알렸지만, 박씨가 이 메시지를 수신하지 못한 사실에 비춰봤을 때 “박씨의 휴대폰이 해킹당하거나 복제당했을 가능성도 있다”고 재판부는 밝혔다.

고한솔 기자 [e-mail]