가상자산 해킹은 자산을 추적할 수 있어도 되찾기는 어렵다. 체이널리시스 추정에 따르면 2025년 탈취된 가상자산은 34억 달러 이상이고, 그중 20.2억 달러가 북한 연계 조직의 몫이다. 국내에서도 2025년 11월 업비트에서 솔라나 기반 자산 약 445억 원이 빠져나갔다(p.24).
털린 뒤 되찾을 수 있을까? 소송 실무를 하는 변호사의 답은 "드물다"이다. 블록체인 이체는 즉시, 최종적으로, 국경 없이 끝나지만 동결명령·판결·국가 간 사법공조는 느리고 나라 단위로 움직이기 때문이다(p.24).
그래서 보안만큼 사고 뒤의 자산 동결과 분쟁 해결 제도가 중요하다. 이용자는 약관의 분쟁 조항과 상속 절차를, 기업은 긴급 구제 수단과 키 관리 문서를 지금 확인할 수 있다(p.23, p.25).
이 글은 KCBCA Signals Vol.1 Issue 1에 실린 법률가 두 명의 기고(p.22–25)를 바탕으로 한다.
가상자산 해킹, 왜 되찾기 어려울까
허왕 변호사는 KCBCA Signals 기고에서 문제는 암호화가 부족한 것이 아니라고 말한다. 즉시·최종적이고 국경이 없는 이체와, 느리고 나라 단위이며 서류에 기대는 법적 절차 사이의 불일치가 진짜 구조적 빈틈이라는 것이다(p.24).
피해가 닿는 범위도 넓어지고 있다. 스테이블코인이 결제·송금·급여에 쓰이게 되면 가상자산 해킹이나 오송금은 트레이더의 계좌만이 아니라 가맹점의 운영자금, 가족의 저축, 상속 재산까지 직접 건드린다(p.24).
북한 해킹 조직의 탈취·세탁 패턴
2025년 북한 연계 조직의 탈취액 20.2억 달러에는 바이비트 한 곳의 15억 달러가 포함된다. 이들의 대형 탈취 자금은 보통 약 45일 주기로 세탁되지만, 국가 간 증거·자산 요청에는 몇 달이 걸릴 수 있다(p.24).
수사당국은 2025년 11월 업비트 해킹을 라자루스 그룹과 연관된 공격으로 봤다. 업비트는 2019년에도 피해를 입은 거래소이다. 이번 손실은 자체 준비금으로 감당할 수 있었지만, 작은 사업자는 그럴 수 없다는 것이 기고자의 지적이다(p.24).
2026년 9월 해외 거래소 비트겟(Bitget)에서도 약 3억 8,800만 달러가 빠져나갔지만, 10월 초까지 동결된 것은 약 110만 달러이다. 최고경영자는 "많이 회수할 것으로 기대하지 않는다"고 말했고, 손실은 회사가 자체 자본으로 떠안았다. 회사 측은 북한 해킹 조직의 수법과 매우 비슷하다고 밝혔지만, 조사 보고서는 배후를 특정하지 않았다. (CNBC, 2026년 10월 2일)
지금의 자산 동결은 사고 뒤 조율이다
업비트 사고 뒤 추적 가능한 자산은 토큰 발행사와 그때그때 조율해 동결됐다. 허왕 변호사는 동결이 "호의가 아니라 규칙이어야 한다"고 말한다(p.25).
회수 제도, 무엇이 바뀌어야 할까
제안의 핵심은 회수 능력을 사고 뒤의 과제가 아니라 면허 요건으로 다루자는 것이다(p.25).
| 제안 | 내용 |
|---|---|
| 동결 능력의 법적 의무 | 면허 받은 발행사·수탁사가 적법한 명령에 따라 정해진 시간 안에, 공개된 기준으로 동결·재발행 |
| 신속 사법 절차 | 주소로 특정한 온체인 자산의 가압류 전용 절차, 거래소·발행사 송달 규칙(해외 사업자는 의무 국내 대리인) |
| 국경 간 골든아워 공조 | 한국·일본·싱가포르·홍콩·UAE·미국의 규제기관·금융정보분석기구·거래소·발행사를 잇는 24시간 연락 체계(트래블룰 인프라 활용) |
| 승계 설계 | 수탁사는 키 보유자의 사망·판단 능력 상실에 대비한 상속 절차를, 기업은 키 승계를 회사 권한처럼 문서화 |
세탁은 일 단위로 진행되는 만큼, 공조도 일 단위로 움직여야 한다는 것이 골든아워 제안의 취지이다(p.25).
분쟁 해결 제도의 빈칸과 세 기둥
Youjoun Ha 변호사는 법원이 가상자산 분쟁에서 세 가지 벽에 부딪힌다고 본다. 상대가 지갑 주소뿐이면 어느 나라 법원의 관할인지 불분명하고, 스마트컨트랙트 코드와 온체인 자금 흐름을 판단하기 어려우며, 시간 단위로 움직이는 시장에서 몇 년 뒤의 판결은 가치가 크지 않을 수 있다(p.22).
대안은 세 기둥이다. 면허와 연계한 의무 전문 중재, 법률과 블록체인 기술을 함께 아는 이중 전문 패널, 172개국이 가입한 뉴욕협약에 따른 중재판정의 국경 간 집행이다(p.22–23).
국내 상황에 대한 지적도 있다. 가상자산이용자보호법(2024)은 예치금을 보호하고 불공정거래를 규제하지만 전문 분쟁 절차는 두지 않았다(p.23). 다음 단계인 디지털자산기본법은 기고 시점(2026년 9월) 기준 정부안이 아직 제출되지 않았고, 최종 통과는 2027년 상반기로 밀릴 수 있다(p.24).
이용자와 기업이 지금 확인할 것
가상자산 해킹을 완전히 막을 수는 없어도, 사고 뒤의 길은 미리 확인해 둘 수 있다.
| 누가 | 확인할 것 |
|---|---|
| 이용자 | 거래소·수탁 서비스 약관의 분쟁 조항(중재·관할) (p.23) |
| 이용자 | 수탁 서비스의 상속·판단 능력 상실 절차 (p.25) |
| 기업 | 이용자 약관·거래 계약의 중재 조항과 중재지 (p.23) |
| 기업 | 자산을 둔 관할별 긴급 구제 수단(긴급중재인·동결명령) (p.23) |
| 기업 | 재판정에서도 인정받을 수탁·키 관리 문서와 키 승계 문서 (p.23, p.25) |
자주 묻는 질문
Q1. 거래소가 보상하면 끝인가?
보상과 회수는 다르다. 업비트는 자체 준비금으로 손실을 감당했지만 작은 사업자는 그럴 수 없다(p.24). 빠져나간 자산을 되찾는 절차와 전문 분쟁 절차는 여전히 빈칸이다(p.23, p.25).
Q2. 블록체인은 추적되니 결국 되찾을 수 있지 않나?
추적은 가능해도 국경을 넘어 제때 되찾기는 어렵다. 여러 나라에서 동시에 피해가 나면 나라마다 절차와 규칙이 달라지고, 국경 간 구제 수단이 없는 나라의 개인 투자자는 뒤로 밀릴 수 있다(p.23).
Q3. 키를 가진 사람이 사망하면 어떻게 되나?
키 보유자가 사망하거나 판단 능력을 잃으면 자산이 영원히 잠길 수 있다. 논문은 이를 '조용한 회수 실패'라고 부른다. 수탁사는 상속 절차를 마련하고, 기업은 키 승계를 문서로 남겨야 한다(p.25).
한눈에 정리
- 가상자산 해킹 뒤 추적·동결·보상·회수는 서로 다르다
- 이체와 세탁은 빠르고, 법적 절차는 느리고 나라 단위이다
- 동결 의무·신속 가압류·골든아워 공조·키 승계가 제안된다
- 분쟁 해결도 면허 연계 중재와 국경 간 집행으로 설계해야 한다
가상자산 해킹을 막는 보안과 털린 뒤 되찾는 제도는 따로 준비해야 한다. 오늘 쓰는 거래소의 약관에서 분쟁 조항부터 확인해 본다.
KCBCA Signals Vol.1 Issue 1 원문 읽기 (p.22–25)
참고: KCBCA Signals Vol.1 Issue 1 허왕(법무법인 윈스 변호사), "Security Is Not Recovery" p.24–25 Youjoun Ha(Taegwang Law Firm 파트너 변호사), "Digital Assets Have a Dispute Problem" p.22–23 원문이 인용한 자료: Chainalysis, 헤럴드경제, Blockhead(연합뉴스 인용), CCN 해외 사례: CNBC(2026.10.2) 투자 조언이 아니다.
