거래소 보안, ‘보여주기’로는 안 된다…시장 신뢰 흔들리는 이유

코인 거래소가 수억 명의 자산을 보관하는 핵심 인프라로 자리 잡았지만, ‘보안’은 여전히 취약한 고리로 남아 있다. 하루 약 1900억~1920억 달러(약 280조~283조 원) 규모의 거래가 이뤄지는 가운데, 보여주기식 보안이 반복되는 한 대형 플랫폼도 안전을 장담하기 어렵다는 지적이 나온다.

암호화폐 시장은 빠르게 팽창하며 비트코인(BTC), 이더리움(ETH) 등 주요 자산을 넘어 다양한 멀티자산 거래 환경으로 확장됐다. 이에 따라 보안 범위도 지갑을 넘어 ‘계정 권한·가격 결정·정산 시스템’ 전반으로 넓어졌다. 그러나 업계 추산 기준 2025년 한 해 동안 도난당한 자산 규모는 30억 달러(약 4조4250억 원)를 넘었고, 단일 사건으로 10억 달러 이상 피해가 발생한 사례도 적지 않았다.

주목할 점은 이러한 대형 해킹이 자금이나 기술이 부족한 소규모 거래소가 아닌, 글로벌 주요 거래소에서 발생했다는 사실이다. 이는 단순한 자원 부족이 아니라 ‘보안을 어떻게 다루고 있느냐’의 문제로 해석된다. 업계는 여전히 보안을 ‘운영 체계’가 아닌 ‘마케팅 요소’로 소비하고 있다는 비판이 나온다.

‘보안 쇼’가 부르는 구조적 취약성

현재 많은 거래소는 ‘안전해 보이는 것’에 집중한다. 준비금 스냅샷, 보호 기금, 대시보드 등은 사용자에게 신뢰를 주는 장치처럼 보이지만, 실제로 위험이 어떻게 관리되는지는 충분히 드러내지 못한다.

이른바 ‘보안 쇼(security theater)’ 현상이다. 겉으로는 견고해 보이지만 내부 통제는 느슨한 상태다. 빠른 성장과 사용자 편의성이 강조되는 환경에서 보안 절차는 의사결정을 늦추는 ‘마찰’로 인식되기 쉽다. 승인 권한 구조나 접근 통제 같은 요소는 복잡성을 높이기 때문에 후순위로 밀린다.

하지만 이런 구조는 위기 상황에서 즉각 무너진다. 2024년 7월 인도 거래소 와지르엑스(WazirX)는 약 2억3500만 달러(약 3466억 원) 규모의 핫월렛 해킹을 겪고 출금을 중단했다. 평소 정상적으로 보이던 시스템이 단 한 번의 사고로 사용자 자산 접근을 차단하는 상황으로 이어진 사례다.

결국 보안은 ‘페이지나 문구’가 아니라, 자금 이동과 접근 권한을 어떻게 통제하느냐에 달려 있다는 것이 핵심이다.

진짜 신뢰를 위한 3가지 조건

거래소 보안이 실제로 작동하는 시스템인지 판단하려면 세 가지 기준이 필요하다. ‘고객 자산의 완전한 담보’, ‘자금 이동 통제’, ‘신속한 대응 능력’이다.

먼저 준비금 증명(Proof-of-Reserves)은 출발점에 불과하다. 자산이 존재한다는 사실을 보여줄 뿐, 부채 구조나 대규모 출금 상황에서의 안정성까지 설명하지는 못한다. 따라서 자산과 부채를 함께 공개하고, 외부 검증과 암호학 기반 증명을 통해 사용자 스스로 확인할 수 있어야 한다.

내부 통제도 핵심이다. 단일 인물이 고객 자금을 이동할 수 없도록 하고, 이상 거래에는 자동 검토가 작동하며, 대규모 이체는 최소 2인 이상의 승인이 필요하다. 이런 장치가 있어야 계정 탈취 같은 단일 사고가 시스템 전체로 확산되는 것을 막을 수 있다.

멀티자산 환경에서는 추가 리스크도 존재한다. 권한 오류나 가격 이상이 다른 자산 청산으로 번지는 ‘연쇄 반응’을 차단하는 설계가 요구된다.

마지막으로 사고 대응 속도는 보안의 최종 시험대다. 침해 발생 초기 1시간 내 조치, 자금 흐름 차단, 명확한 공지가 이뤄지지 않으면 피해는 기하급수적으로 커진다.

2026년, ‘믿어달라’는 말은 통하지 않는다

기관 투자자들은 이미 거래소 보안을 기본적인 ‘거래상대방 리스크’로 보고 있다. 내부 통제, 권한 분리, 독립 검증, 위기 대응 체계를 객관적 증거로 요구한다.

이제 시장의 질문은 단순해졌다. “한 번의 실수가 전체 자금을 흔들 수 있는가, 아니면 시스템이 이를 막는가.” 그리고 “이를 사후 설명이 아닌 사전 통제로 증명할 수 있는가.”

암호화폐 거래소가 신뢰를 유지하려면 ‘보여주는 보안’에서 ‘작동하는 보안’으로 전환해야 한다. 그렇지 않다면 같은 실패가 반복될 가능성이 높다. 결국 시장은 말이 아니라 구조로 안전을 판단하기 시작했다.