엘뱅크, 계정 동결 논란에 추가 해명…"한 계정에 기기 약 50대 사용 정황"

글로벌 암호화폐 거래소 엘뱅크(LBank)가 최근 불거진 선물 거래 계정 동결 및 출금 제한 논란과 관련해 추가 조사 내용을 공개했다. 문제가 된 계정에서 약 50대의 서로 다른 기기가 사용된 정황이 확인됐으며, 계정 제한은 거래 수익이 아닌 비정상적인 접속 패턴에 따른 위험 관리 조치라는 설명이다.

엘뱅크는 11일 공식 입장을 통해 해당 이용자가 관련 의혹을 공개적으로 제기하기 이전에 입금 원금의 100%를 출금할 수 있었다고 밝혔다. 현재 출금이 제한된 자금은 비정상 활동과 연관됐을 가능성이 있는 부분에 한정된다는 입장이다.

이번 발표에서 엘뱅크가 새롭게 공개한 핵심 내용은 계정 접속과 본인확인(KYC) 과정에서 발견된 이상 징후다.

엘뱅크에 따르면 내부 리스크 관리 심사 과정에서 해당 이용자의 계정에 약 50대에 달하는 서로 다른 기기가 사용된 정황이 확인됐다.

여러 차례 진행된 KYC 인증에서도 각각 다른 기기가 사용됐으며, 일부 인증 기기의 설치·로그인 시각이 최초 가입에 사용된 기기의 기록과 밀접하게 일치하는 것으로 나타났다는 설명이다. 여러 기기를 통한 동시 접속 정황도 확인됐다고 덧붙였다.

엘뱅크는 이 같은 접속 패턴이 계정 보안과 이용약관 준수 여부를 확인하기 위한 추가 검증 대상에 해당한다고 밝혔다.

다만 이러한 기기 사용 기록이 실제 약관 위반이나 부정 거래를 의미하는지는 별도의 확인이 필요하다. 엘뱅크 역시 구체적인 거래 내역이나 비정상 활동으로 판단한 자금 규모는 공개하지 않았다.

"수익 발생 때문 아닌 위험 지표에 따른 조치"

엘뱅크는 이번 계정 제한이 이용자의 거래 수익성과 무관하다는 점도 강조했다.

거래소 측은 "계정 제한은 수익 발생 여부가 아니라 확인된 리스크 지표에 근거해 이뤄졌다"며 이용자의 원금은 이미 출금 가능한 상태였고, 제한 조치는 의심 활동과 관련된 자금에만 적용됐다고 설명했다.

앞서 엘뱅크는 10일에도 계정 제한이 표준적인 위험 관리 절차에 따른 것이라는 입장을 밝힌 바 있다. 당시 국내 법률대리인인 법무법인 씨엘앤케이와 법률사무소 비림은 각각 법률 성명서를 발표하고 관련 의혹에 대한 회사 측 입장을 설명했다.

이번에는 계정 접속 기록과 기기 사용 패턴을 추가로 공개하며 제한 조치의 배경을 보다 구체적으로 제시한 것이다.

엘뱅크는 분쟁 해결을 위해 전담팀도 배정했다고 밝혔다. 해당 팀은 거래 기록과 이용자가 제출한 소명 자료, 플랫폼 규정을 종합적으로 검토해 남아 있는 제한 조치의 근거와 범위, 필요성을 다시 평가할 예정이다.

이용자는 심사 결과에 이의를 제기하거나 민원을 접수하고, 법적으로 허용되는 구제 절차를 진행할 수 있다고 거래소 측은 설명했다.

또한 이번 사안과 관련 없는 이용자의 입금과 출금, 거래 서비스는 정상적으로 운영되고 있다고 밝혔다.

보안 체계 강화…서틱과 협력, 카자흐스탄 법원 명령에서도 제외

엘뱅크는 이번 논란을 계기로 자사의 보안 관리 체계도 강조했다.

2015년 설립된 엘뱅크는 지난 10년간 중대한 보안 사고 없이 운영해 왔다는 입장이다. 또한 ISO/IEC 27001:2022 정보보호 관리체계 인증을 보유하고 있다고 밝혔다.

지난 8월에는 블록체인 보안 기업 서틱(CertiK)과 협력해 '크립토 레질리언스 이니셔티브(Crypto Resilience Initiative)'를 출범했다. 해당 프로그램은 침투 테스트와 취약점 점검, 외부 보안 전문기관과의 협력을 통해 거래소 보안 역량을 강화하는 데 초점을 맞추고 있다.

규제 대응과 관련해서는 지난 9월 카자흐스탄 아스타나국제금융센터(AIFC) 법원이 엘뱅크를 기존 금지명령 대상에서 제외한 사례도 제시했다.

당초 법원은 현지 인가 없이 암호화폐 서비스를 제공한 거래소들을 대상으로 금지명령을 내렸으나, 엘뱅크가 카자흐스탄 내 서비스 접근 차단 조치를 취하자 9월 18일 명령을 변경해 엘뱅크를 제외했다.

이는 아스타나 금융서비스청(AFSA)의 공식 발표와 법원 명령 변경 문서에서도 확인된다.

거래소 보안과 이용자 권리, 균형이 관건

이번 논란은 중앙화 암호화폐 거래소의 위험 관리 권한과 이용자 자산 보호 사이의 균형이라는 과제도 드러냈다.

거래소는 해킹과 계정 탈취, 비정상 거래로부터 이용자 자산을 보호하기 위해 접속 기록과 거래 패턴을 감시할 필요가 있다. 하지만 위험 징후가 발견됐다는 사실만으로 모든 계정 제한이 정당화되는 것은 아니다.

제한 조치의 구체적인 근거와 적용 범위가 명확해야 하고, 이용자가 자신의 거래 활동을 소명하고 결정에 이의를 제기할 수 있는 절차도 마련돼야 한다.

엘뱅크는 전담팀을 통한 재검토와 이용자 이의제기 절차를 보장하겠다는 입장이지만, 실제 제한 해제 여부와 최종 처리 결과는 아직 공개되지 않았다.

결국 이번 사안의 핵심은 거래소가 제시한 비정상 접속 정황이 어느 정도의 제한 조치를 정당화할 수 있는지, 그리고 이용자의 자산 권리가 충분히 보호되고 있는지에 있다.

암호화폐 거래소에 요구되는 보안 수준이 높아질수록 위험을 탐지하는 기술뿐 아니라 그 판단을 설명하고 분쟁을 해결하는 절차의 투명성도 중요해질 전망이다.