침해사고 난 고팍스에 빗썸까지 ‘보안 미흡’…최신 보안패치 미적용

5대 거래소 자체점검 결과 민병덕 의원실 통해 입수고팍스·프라뱅 침해사고 확인…거래소 보안 우려빗썸·고팍스, 최신 보안패치 적용 항목서 ‘미흡’갱신 심사 길어지는 두 거래소…보안 과제도 추가금감원, 취약점 보완 지도…실행계획 이행 관리 등록 2026-10-17 오후 7:23:12 수정 2026-10-17 오후 7:36:12 가 가 [이데일리 정윤영 기자] 은행권에 이어 가상자산 거래소에서도 침해사고가 확인된 가운데 빗썸과 고팍스가 보안 자체점검에서 최신 보안패치를 적용하지 않았다고 보고했다. 두 곳은 5대 원화거래소 중 가상자산사업자(VASP) 갱신신고 심사가 마무리되지 않은 거래소다. 갱신 심사가 길어지는 가운데 보안 관리에서도 미흡한 부분이 드러난 셈이다. (자료=민병덕 더불어민주당 의원실)17일 이데일리가 국회 정무위원회 소속 민병덕 더불어민주당 의원실을 통해 확보한 ‘침해사고 대비 업비트·빗썸·디지털엑스·코인원·고팍스 등 5대 원화마켓거래소 IT 자체점검 체크리스트’에 따르면 빗썸과 고팍스 운영사 스트리미는 12개 항목 중 각각 1개를 미흡으로 평가했다. 공통으로 미흡하다고 보고한 항목은 최신 보안패치 적용 여부였다. 이번 점검은 금융권 침해사고 이후 유사 사고를 막기 위해 실시됐다. 금융감독원은 5대 원화거래소에 외부 노출 시스템 관리, 실시간 보안관제, 보안패치 적용과 기술지원이 끝난 장비 관리, 공격자 IP 차단 등 12개 항목을 점검하도록 했다. 빗썸과 고팍스는 현재 금융정보분석원(FIU)의 가상자산사업자 갱신 심사도 받고 있다. 특정금융정보법(특금법)에 따라 가상자산사업자는 신고수리일로부터 3년마다 갱신신고를 해야 한다. 5대 원화거래소는 모두 2024년 8~10월 갱신 서류를 제출했으나, FIU의 자금세탁방지 현장검사가 진행되면서 심사가 늦어졌다. 이후 지난해 말 업비트를 시작으로 디지털엑스(구 코빗)와 코인원이 갱신 절차를 마쳤고, 빗썸과 고팍스는 결과를 기다리고 있다. 이 가운데 고팍스에서는 최근 침해사고까지 확인됐다. 금융위원회는 지난 14일 신진창 사무처장 주재로 열린 ‘제2차 긴급 상황대응 회의’에서 침해사고가 확인된 업체가 총 16곳으로 늘었다고 밝혔다. 이날 추가로 확인된 5곳에는 고팍스 운영사 스트리미와 코인마켓 거래소 프라뱅이 포함됐다. 다만 같은 날 공개된 금융권 555개사의 자체 보안점검 결과에는 가상자산 거래소가 빠져 있었다. 고팍스는 한 자릿수 고객 계정에 비정상적인 로...