공공 가상자산 관리 '구멍' 막는다…압수 자산 기관지갑 즉시 이전

잇따른 공공 가상자산 유출 사고…체계 전면 개편

압수·압류 즉시 기관지갑 이전…계정 동결로 통제↑

콜드월렛 보관 도입, 복구구문 2인 이상 분활 보관

금고·CCTV 등 물리통제 강화, 위탁자산 정기 점검

사고 발생 시 즉시 신규지갑으로 이전·계정 동결

가이드라인 위반으로 사고시 최대 파면·형사고발

[서울=뉴시스] 김혜진 기자 =  사진은 지난달 17일 서울 서초구 빗썸 라운지 강남점 전광판에 비트코인 시세가 표시되고 있는 모습. 2026.03.17. [email protected]

[세종=뉴시스]박광온 기자 = 정부가 공공부문 가상자산 유출 사고를 계기로 압수·보관·관리·사고 대응 전 과정을 아우르는 통합 관리체계를 구축하고, 보안·책임 기준을 대폭 강화한다.

특히 공공기관이 압수·보관하는 가상자산은 기관 명의 지갑으로 즉시 이전되고, 콜드월렛 보관과 다중서명 체계 등 강화된 보안 기준이 적용된다.

사고 발생 시에는 즉각 계정 동결과 자산 이전 등 비상조치가 이뤄지며, 관리 부실로 유출 사고가 발생할 경우 관련자는 최대 파면이나 형사 고발까지 가능해진다.

정부는 10일 구윤철 경제부총리 겸 재정경제부 장관 주재로 비상경제본부 회의 겸 경제관계장관회의를 열고 이런 내용의 ‘공공분야 가상자산 보유·관리체계 개선방안’을 발표했다.

잇따른 공공기관 가상자산 유출 사고…체계 전면 개편

관련 부처에 따르면, 최근 가상자산 투자 확대와 함께 수사·징세 과정에서 정부가 취득하는 가상자산 규모도 빠르게 늘고 있다.

국내 가상자산 계정 수는 2022년 말 1178만개에서 지난해 말 2591만개로 3년 새 약 2.2배 증가했고, 강제징수액도 같은 기간 6억원에서 639억원으로 약 106배 급증했다.

하지만 공공부문에서는 기관의 인식 부족과 관리 소홀 등으로 가상자산 유출 사고가 반복됐다.

실제 검찰청은 업무 인수인계 과정에서 피싱 사이트를 통해 복구구문(지갑 분실·도난 시 가상자산 접근 권한을 복구하기 위해 사용하는 일련의 단어 조합)이 유출되며 약 320BTC(300억원 상당)를 탈취당한 바 있다.

경찰청은 압류한 가상자산을 USB에 보관하다 22BTC(21억원 상당)를 분실했고, 국세청 역시 복구구문 노출로 일부 가상자산이 유출된 사례가 있다.

이들 기관들은 가상자산을 별도 기준 없이 일반 압수물과 동일하게 '통합 증거물 관리 지침'에 따라 관리해왔으며, 폐쇄회로(CC)TV 등 물리적 보안 조치 역시 일반 압수물 수준에서 적용해왔다.

다만 가상자산은 복구구문 유출이나 해킹 등 디지털 특성에 따른 별도의 위험 요인이 존재함에도, 이에 특화된 관리 기준이 미흡했던 것이 사고 발생의 원인 중 하나로 지목된다.

경찰청 관계자는 전날 정부세종청사에서 진행된 관련 백브리핑에서 "기존에는 일반 압수물 기준에 따라 관리해왔지만, 이번 가이드라인에는 가상자산 특성을 반영한 보다 구체적인 관리 기준이 포함됐다"고 설명했다.

정부는 대부분 기관이 가상자산 관련 내부관리 규정·지침이 미비히거나 구체성이 부족하다는 문제의식 하에 '취득→보관→관리·점검→사고 대응'으로 이어지는 전 단계 관리체계를 표준화하기로 했다.

취득단계서 개인지갑 보관 자산 압수·압류 즉시 기관지갑으로 이전…계정 동결로 통제 강화

우선 취득 단계에서는 압수·압류 시 신속한 점유 이전과 거래소 계정 동결 등 가상자산 통제권을 신속히 확보하도록 했다.

개인지갑에 보관된 자산은 압수·압류 즉시 기관 명의 지갑으로 이전하고, 거래소에 보관된 자산은 가상자산사업자 협조를 통해 계정 동결 등 접근 차단 조치를 병행한다.

특히 기관 명의의 '기관지갑'을 별도로 생성해 가상자산을 이전·보관하도록 한 점이 핵심 변화로 꼽힌다고 재경부는 설명했다.

가상자산사업자가 보관 중인 가상자산에 대해서는 사업자의 협조를 통해 계정 접근 차단 및 동결 조치를 취하도록 했다. 또 기부받은 가상자산의 경우에는 보안 리스크를 고려해 수령 즉시 현금화하도록 했다.

보관단계서 콜드월렛 보관 도입하고 복구구문은 2인 이상 분활 보관토록

보관 단계에서는 보안성을 대폭 강화한다.

기관지갑은 인터넷 연결이 차단된 콜드월렛 방식으로 관리해 해킹 등 사이버보안 위협에 따른 가상자산 유출을 방지하고, 개인키와 복구구문 등 중요 정보는 2인 이상이 분할 보관하도록 의무화했다.

해당 정보는 종이·금속 등 비전자적 방식으로 분산 보관하고, 전자파일 저장이나 메신저·이메일 전송은 금지된다.

필요 시 외부 전문기관에 위탁 보관도 허용하되, 직접보관 수준의 보안 조치를 적용하고 사전에 설정된 최소 인원 이상의 승인 시에만 자산 이동이 가능한 '다중서명 체계'를 도입하도록 했다.

관리단계서 접근권한 통제…금고·CCTV 등 물리통제 강화, 위탁자산 정기 점검

관리·점검 단계에서는 기관이 보유한 가상자산에 대한 접근권한을 엄격히 통제하고, 위탁 보관 자산에 대해서도 주기적인 점검을 의무화했다.

구체적으로 금고·도어락·CCTV 등 물리적 통제장치를 설치하고, 출입권한 목록을 정기적으로 검토·갱신하는 한편 출입 내역도 주기적으로 점검·보고하도록 했다.

또한 위탁 보관 자산에 대해서는 실사 자료와 입·출고 거래 내역, 보안사고 발생 여부 등을 정기적으로 확인·보고하도록 했다.

아울러 가상자산 주소와 집행 내역, 접근권한 등을 통합 관리할 수 있는 내부 관리 시스템 구축·운영도 가능하도록 했다.

사고 발생 시 즉시 지갑 이전·계정 동결…중대 사고 보고 의무화, 위반 시 최대 파면·형사고발

사고 대응 체계도 구체화했다. 개인키 유출, 해킹, 무단 전송 등 사고 발생 시 즉시 신규 지갑을 생성해 잔존 자산을 이전하고, 거래 제한·계정 동결·접근 차단 등 비상조치를 시행한다.

피해 규모가 일정 수준 이상이거나 외부 해킹이 확인될 경우 경찰청과 한국인터넷진흥원(KISA)에 즉시 통보하고, 중앙정부는 재정경제부, 지방정부는 행정안전부에 보고하도록 했다.

특히 책임 규정도 명확히 했다. 가이드라인 위반으로 가상자산 유출 등 사고가 발생할 경우 관련자에 대해 징계는 물론 형사 고발까지 가능하도록 했다.

재경부 관계자는 백브리핑에서 "비밀엄수 의무 위반이나 성실의무 위반 여부, 고의성이나 중과실 여부 등에 따라 징계 수위가 달라지는데, 공무원 징계령 시행규칙에 따라 최소 견책에서 최대 파면까지 가능하다"며 "사안의 중대성에 따라 형사 고발도 병행될 수 있다"고 설명했다.

이와 함께 정부는 가상자산 관리 전담 조직을 설치하거나 지정하고, 담당자 대상 정기 교육과 연 1회 이상 모의훈련을 의무화해 관리 역량을 강화할 방침이다.

정부는 이날 관계부처 합동 가이드라인을 배포하고 즉시 시행에 들어가며, 각 기관은 이를 바탕으로 자체 세부 지침을 마련해 운영하게 된다.


◎공감언론 뉴시스 [email protected]