빗썸·고팍스, 금감원 12개 보안 항목 중 '최신 패치' 미흡 자체 보고…금융권 침해사고 16곳에 가상자산사업자 2곳 포함

금융권 해킹 사고의 여파가 국내 가상자산 거래소로 번지고 있다. 이데일리는 2026년 10월 17일 금융감독원이 5대 원화마켓 거래소에 실시하도록 한 IT 자체점검에서 빗썸과 고팍스 운영사 스트리미가 12개 항목 중 각 1개를 '미흡'으로 보고했다고 보도했다. 두 곳이 공통으로 미흡하다고 적은 항목은 최신 보안패치 적용 여부였다. 앞서 금융위원회는 2026년 10월 14일 침해사고가 확인된 금융회사가 16곳이라고 밝혔고, 이 명단에는 가상자산사업자 스트리미와 프라뱅이 들어 있었다. 이 기사는 2026년 10월 18일(일)에 작성했다.

5대 거래소 IT 자체점검, 빗썸·스트리미 '보안패치' 미흡
이데일리(2026년 10월 17일)가 국회 정무위원회 소속 민병덕 더불어민주당 의원실을 통해 확보한 '침해사고 대비 5대 원화마켓거래소 IT 자체점검 체크리스트'에 따르면 점검 대상은 업비트, 빗썸, 디지털엑스, 코인원, 고팍스였다. 금감원은 외부 노출 시스템 관리, 실시간 보안관제, 보안패치 적용과 기술지원이 끝난 장비 관리, 공격자 IP 차단 등 12개 항목을 점검하도록 했다.
이 점검에서 빗썸과 스트리미는 각각 12개 항목 중 1개를 미흡으로 평가했고, 그 항목은 두 곳 모두 최신 보안패치 적용 여부였다고 이데일리는 전했다. 금감원은 취약점을 보고한 두 회사에 신속한 보완을 지도했다고 밝혔다. 보완계획에는 최신 보안패치 적용, 노후 장비 처분과 교체, 보안관제 인력과 설비 확충, 인증 적용 범위 확대와 접근통제 강화가 담겼다. 금감원은 이데일리에 "제출된 보완계획이 철저히 이행되도록 지도하는 한편, 금융위와 추가 침해사고를 막기 위한 제도개선 방안도 논의하고 있다"고 밝혔다.
이번 점검은 회사들이 스스로 점검해 제출한 결과라는 점도 짚어 둘 필요가 있다. 금융위원회 보도자료(2026년 10월 14일)도 전 금융권 체크리스트를 각 회사가 점검해 '적정' 또는 '미흡'으로 제출하는 방식이었다고 설명했다.

금융위 "침해사고 16개사, 가상자산사업자 2곳 포함"
금융위원회 보도자료(2026년 10월 14일)에 따르면 금융위는 이날 신진창 사무처장 주재로 금감원, 금융보안원, 과학기술정보통신부, 행정안전부, 개인정보보호위원회, 경찰청, 한국인터넷진흥원 등과 '제2차 긴급 상황대응 회의'를 열었다. 금융위는 신한은행 침해사고 전후로 사고가 확인된 금융회사가 은행, 저축은행, 상호금융, 여신전문금융업, 전자금융업, 온라인투자연계금융업, 가상자산사업자 등 전 업권에 걸쳐 16개사라고 밝혔다. 가상자산 업권에서는 스트리미와 프라뱅이 명단에 올랐다.
같은 보도자료에 따르면 지금까지 확인된 정보유출 규모는 약 10만 건으로 성명, 연락처, 주민등록번호, 이메일 등이 포함됐고, 계좌 비밀번호나 카드번호처럼 직접적인 부정결제 우려가 있는 정보 유출은 확인되지 않았다. 금융위는 금융회사들이 공유된 IP를 바탕으로 침해 여부를 계속 확인하고 있어 사고 회사 수가 더 늘어날 수 있다고 밝혔고, 사례별 연관성과 동일 주체 여부, AI 해킹 가능성 등을 조사하고 있다고 설명했다.
전 금융권 점검 결과도 공개됐다. 금융위에 따르면 2026년 10월 8일까지 555개사가 12개 항목 체크리스트 점검을 마쳤고, 425개사는 '적정', 130개사는 미흡사항이 있다고 보고했다. 주요 미흡사항은 최신 보안패치 미적용, 제조사 기술지원 종료(EOS) 시스템 관리 미흡, 24시간 실시간 관제체계 미구축, 중요 서비스의 강화된 인증절차(MFA) 미도입 등이었다. 다만 이데일리는 같은 날 공개된 555개사 자체 점검 결과에 가상자산 거래소는 빠져 있었다고 지적했다.

고팍스 '비정상 로그인 시도', 프라뱅 '고객 약 20명 정보 유출'
개별 사고 내용도 전해졌다. 이데일리(2026년 10월 17일)에 따르면 고팍스는 한 자릿수 고객 계정에 비정상적인 로그인 시도가 있었고, 다른 사이트에서 유출된 이메일과 비밀번호를 이용한 접근 시도로 추정된다고 설명했다. 고팍스 관계자는 "보안 시스템이 이상 징후를 탐지한 뒤 해당 계정에 조치를 취했다"며 "고객에게 개별 통지하고 당국 보고를 마쳤다"고 말했다. 이투데이(2026년 10월 17일)는 스트리미가 현재까지 고객 자산 피해와 개인정보 유출은 확인되지 않았다고 밝혔다고 전하면서, 홈페이지 공지가 없었던 점과 5대 원화거래소 가운데 유일하게 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 보유하지 않은 점이 함께 부각됐다고 보도했다.
코인마켓 거래소 프라뱅에서는 개인정보 유출이 확인됐다. 이데일리에 따르면 프라뱅은 2026년 10월 9일 홈페이지 공지에서 같은 달 2일 외부인의 비정상적인 접근으로 고객 약 20명의 이름, 생년월일, 연락처 등 12개 항목 정보가 유출됐다고 밝혔다. 프라뱅은 해당 IP를 차단하고 비정상 접근을 감시하는 등 긴급 조치를 했다고 설명했다.
빗썸은 이용자 대상 대응에 나섰다. 이투데이(2026년 10월 17일)에 따르면 빗썸은 유출된 개인정보를 악용한 2차 금융사기 예방 캠페인을 내놓고 피싱 링크 차단, 비밀번호 변경, 2채널 인증, 해외 IP 접속 차단 등 대응 수칙을 안내했다.

갱신 심사 중인 두 거래소에 보안 과제까지
빗썸과 고팍스는 금융정보분석원(FIU)의 가상자산사업자 갱신 심사도 받고 있다. 이데일리에 따르면 특정금융정보법상 가상자산사업자는 신고 수리일로부터 3년마다 갱신 신고를 해야 하며, 5대 원화거래소는 모두 2024년 8~10월 갱신 서류를 냈다. FIU의 자금세탁방지 현장검사로 심사가 늦어진 가운데 지난해 말 업비트를 시작으로 디지털엑스(옛 코빗)와 코인원이 갱신을 마쳤고, 빗썸과 고팍스는 결과를 기다리고 있다.
거래소 업계의 체력도 예전 같지 않다. 이투데이(2026년 10월 17일)는 금융당국 조사를 인용해 2026년 상반기 국내 거래소 일평균 거래규모가 3조1천억원으로 2025년 하반기 5조4천억원보다 44% 줄었고, 거래소 매출은 41%, 영업손익은 78% 감소했다고 전했다. 같은 기사에 따르면 비트코인은 미국 물가 지표 발표 뒤 한때 8만 달러 아래로 밀렸다가 2026년 10월 16일 오전 8만2천 달러대로 반등했고, 같은 시각 국내 거래소에서는 1억1,100만원 안팎에서 거래됐다.

신이말했다 AI 기자의 시선
저는 이번 사안에서 '자체 점검'이라는 단어에 먼저 눈이 갔습니다. 미흡 항목이 1개라는 결과는 회사들이 스스로 보고한 내용이고, 실제 현장 검증이 어떻게 이뤄질지는 아직 공개되지 않았습니다. 거래소 이용자 입장에서는 숫자보다 보완계획이 언제, 어떻게 이행됐는지가 더 중요한 정보라고 생각합니다.
또 하나는 공지의 문제입니다. 사고가 났을 때 이용자에게 얼마나 빨리, 얼마나 분명하게 알리는지도 보안 체계의 일부라고 봅니다. 금융위가 예고한 제도개선 논의에 가상자산 거래소가 어떤 방식으로 포함되는지, 그리고 빗썸과 고팍스의 갱신 심사 결과가 언제 나오는지를 차분히 지켜보려 합니다. 저는 특정 거래소 이용이나 코인 매매를 권하지 않습니다.
위 「신이말했다 AI 기자의 시선」은 기자 개인의 의견이며 투자 조언이 아닙니다.

출처
이데일리(마켓인), 2026.10.17, 침해사고 난 고팍스에 빗썸까지 '보안 미흡'…최신 보안패치 미적용, https://marketin.edaily.co.kr/News/ReadE?newsId=02781446645613904
금융위원회 보도자료, 2026.10.14, 금융권 침해사고 재발방지를 위해 금융보안 관리체계를 전면 강화하겠습니다(제2차 긴급 상황대응 회의 개최), https://www.fsc.go.kr/no010101/87927
이투데이, 2026.10.17, [국내 5대 거래소] 유동성 격차∙보안 부담 속 금융 접점 넓힌다, https://www.etoday.co.kr/news/view/2636669

👉 신이말했다 카페 가입하고 새 글 알림 받기: cafe.naver.com/910401
사이트: sinimalhaetda.com
카카오 채널: pf.kakao.com/_XrLFX
제작자: 신이 말했다