두나무, 3,600만 달러 규모 해킹 발생 8개월 만에 제재 절차 직면

2026년 7월, 한국 금융감독원(FSS)이 국내 최대 가상자산 거래소 업비트의 운영사인 두나무를 대상으로 공식적인 제재 절차에 착수했다. 이는 2025년 11월 발생한 약 3,600만 달러 규모의 핫월렛 해킹 사건 이후 약 8개월 만에 이루어진 조치다. 규제 당국은 이번 절차를 통해 가상자산 사업자의 보안 관리 책임을 엄중히 묻겠다는 의지를 보이고 있다.

금융감독원의 이번 제재 절차 개시는 가상자산 서비스 제공업체의 IT 보안 실패에 대해 직접적인 책임을 묻기 위한 한국 규제 당국의 중대한 전환점을 의미한다.

현재 금융감독원은 구체적인 제재 수위를 확정하지 않았으나, 두나무 측에 조사 결과를 통보하고 이에 대한 소명 기회를 부여한 것으로 알려졌다. 두나무는 향후 위원회 심의 과정에서 조사 결과에 대해 이의를 제기하거나 보안 강화 조치를 소명할 수 있다. 이번 사건은 가상자산 시장의 규제 프레임워크가 정립되는 과정에서 중요한 선례가 될 것으로 보인다.

2025년 11월의 침해 사고: 3,600만 달러의 유출

2025년 11월 27일 발생한 보안 사고는 업비트의 핫월렛을 정밀하게 타격하여 약 445억 원(당시 가치 약 3,600만 달러) 상당의 솔라나 기반 자산을 유출시켰다. 조사 결과, 공격자는 관리자 권한을 탈취하거나 사칭하는 수법을 사용한 것으로 파악되었으며 이는 과거 2019년 발생했던 해킹 방식과 유사한 패턴을 보였다. 보안 전문가들과 당국은 이번 공격의 배후로 북한의 해킹 조직인 라자루스 그룹(Lazarus Group)을 지목하고 있다.

• 2025년 11월 27일 오전 4시 42분: 해킹 시작 및 최초의 무단 유출 탐지
• 오전 5시: 업비트 관계자 긴급 회의 소집
• 오전 5시 27분: 솔라나 네트워크 입출금 중단 조치
• 당일 업무 종료 시점: 해킹 사실에 대한 공식 대외 발표

업비트는 해킹 사실을 인지한 시점과 실제 대중에게 공지한 시점 사이의 간극으로 인해 '지연 공시' 논란에 휩싸였다. 특히 해킹 발표가 네이버 파이낸셜과 관련된 주요 비즈니스 행사가 종료된 이후에 이루어졌다는 점이 비판의 핵심이다. 규제 당국은 이러한 공시 타이밍이 투자자 보호 원칙에 어긋나는지 여부를 집중적으로 들여다보고 있다.

한국의 현행 가상자산 관련 법령에는 해킹이나 IT 보안 실패에 대해 직접적으로 제재할 수 있는 명시적 조항이 부족하다는 점이 규제의 걸림돌로 지적된다. 2026년부터 본격적으로 시행되는 가상자산 기본법은 디지털 자산 사고에 대한 무과실 책임 원칙을 도입할 계획이지만, 이번 두나무 사례는 법적 공백기 속에서 진행되고 있다. 이에 따라 금융감독원은 기존의 감독 규정을 최대한 활용하여 책임을 물을 방침이다.

기업 운영 및 경영진에 미치는 영향

두나무는 현재 한국 법상 금융회사로 분류되지 않아, 제재를 받은 임원에 대한 5년간의 취업 제한 규정이 직접적으로 적용되지 않을 가능성이 크다. 이로 인해 이석우 대표를 비롯한 경영진이 제재 결과와 관계없이 직무를 유지하거나 연임에 도전할 수 있는 구조적 특이점이 존재한다. 하지만 규제 당국과의 마찰은 향후 기업의 대외 신인도와 사업 확장에 상당한 부담으로 작용할 전망이다.

특히 두나무가 추진 중인 네이버 파이낸셜과의 지분 교환 거래는 이번 제재 절차의 결과에 따라 영향을 받을 수 있다. 양사는 해당 거래의 완료 기한을 2026년 12월 31일로 연장한 상태이며, 여러 단계의 규제 승인 절차를 남겨두고 있다. 이번 보안 사고 조사가 해당 거래의 승인 여부를 결정짓는 직접적인 사유는 아니더라도, 심사 과정에서 부정적인 요인으로 고려될 수 있다는 분석이 나온다.

결론적으로 이번 두나무에 대한 제재 절차는 한국 가상자산 시장의 투명성과 보안 수준을 한 단계 높이는 계기가 될 것으로 평가받는다. 2026년 말까지 이어질 규제 정비 과정에서 이번 사례는 향후 발생할 수 있는 유사 사고에 대한 처벌 수위와 책임 범위를 설정하는 기준점이 될 것이다. 투자자들은 규제 당국의 최종 결정이 시장의 신뢰 회복에 어떤 영향을 미칠지 주목하고 있다.