'빗썸 사태' 예방책 뭐가 있나…국회서 언급한 '준비금 증명'은 한계

(서울=뉴스1) 박현영 블록체인전문기자 = 가상자산 거래소 빗썸의 비트코인 오지급 사태와 같은 사고를 방지하기 위한 방법으로 '준비금 증명(Proof of Reserve, PoR)'이 언급됐지만 이 같은 대책은 한계가 있다는 지적이 나온다.

PoR은 거래소가 특정 시점에 충분한 자산을 보유하고 있다는 사실을 증명할 뿐, 거래소 내부 장부와 실제 지갑 보유량를 실시간으로 대조·검증하는 시스템은 아니기 때문이다.

18일 관련 업계에 따르면 최근 발생한 빗썸의 비트코인 62만 개 오지급 사고를 계기로 금융당국과 국회는 디지털자산 기본법(가상자산 2단계 법안)에 유사 사고 재발 방지 대책을 담는 방안을 검토 중이다.

가장 유력한 방안으로 언급된 게 PoR이다. PoR은 거래소가 특정 시점에 보유한 온체인 지갑 잔고를 공개하고, 해당 잔고를 이용자 자산 총합과 비교하는 시스템이다. 바이낸스, 크라켄 등 해외 대형 거래소들이 도입한 바 있다.

지난 11일 국회 정무위원회 전체회의에서 김현정 더불어민주당 의원은 이찬진 금융감독원장에 "가상자산사업자 신고를 수리할 때 PoR 시스템을 도입하자는 사업자에 대해서만 수리를 해야 한다고 생각하는데, 어떻게 생각하나"라고 물었다.

또 "해외에서는 PoR 시스템이라고 해서 온체인(블록체인상) 실제 보유 수량과 장부상 수량을 맞추는 시스템을 갖추고 있다"며 "우리나라는 이런 제도를 의무화하지 않고 있다"고 지적했다.

이에 대해 이찬진 금융감독원장은 FIU가 최종 판단해야 할 부분이기는 하지만, 현재 상황을 감안해서 신중히 판단하겠다"고 했다. 가상자산사업자 심사는 금융위 산하 금융정보분석원(FIU) 관할이지만 금감원 측 의견 제시 시 감안하겠다는 의미다.

하지만 PoR로 빗썸 사태와 유사한 사고를 막기는 어렵다는 지적이 나온다.

빗썸 같은 중앙화 가상자산 거래소(CEX)들은 실제 지갑에서 가상자산을 이동시키기 전 장부상 수량을 변경하는 '장부 거래' 방식으로 운영되므로 장부 수량과 실제 지갑 보유량의 정합성을 맞추는 게 중요하다. 이번 사고는 장부와 지갑 보유량을 시시각각 비교하지 않은 탓에 발생했다.

실제로 갖고 있지도 않은 비트코인 62만 개가 장부상에 찍혔지만 빗썸은 이를 20분간 인지하지 못했다. 하루 한 번만 장부와 지갑 보유량을 비교했기 때문이다.

PoR은 블록체인상 거래 내역을 나무 형태로 묶는 ‘머클트리’ 방식으로 이용자 자산 총액을 산출한 뒤, 거래소 지갑 주소를 공개해 그만큼의 자산을 실제로 보유하고 있음을 확인하는 구조로 운영된다. 특정 시점에 자산이 있다는 걸 증명하는 '스냅샷' 방식이지, 상시·실시간 감시 시스템은 아니다.

거래소 장부와 실제 지갑 보유량을 실시간으로 비교·대조하는 시스템을 구현하기는 기술적으로 힘들다.

가상자산은 초 단위로 거래가 체결되므로 거래소 내부 장부도 초 단위로 수량이 바뀌는데, 실시간 대조를 하려면 이 모든 변동사항을 외부 검증 시스템에 상시 노출해야 한다. 사실상 거래소 핵심 시스템을 실시간 공개하는 것과 같다.

또 블록체인은 거래소 내부 데이터베이스보다 거래 내역이 기록되는 속도가 훨씬 느리기 때문에 데이터에 괴리가 생길 수 밖에 없다.

이에 최대한 자주 비교하는 게 현실적인 대안이라는 의견이 제기된다. 거래소 장부와 실제 지갑 보유량을 자주, 자동으로 대조하는 시스템을 설계하고 금융회사 수준의 내부통제 체계를 갖추게끔 해야 한다는 것이다. 이번 빗썸 사태가 발생한 이후 업비트는 '5분마다' 장부와 지갑 보유량을 비교·대조한다고 밝힌 바 있다.

코인텔레그래프는 PoR 관련 보고서를 내고 "PoR은 특정 시점에 자산이 존재하는지는 보여주지만 거래소가 지급 능력(건전성), 유동성, 내부 통제 장치를 갖추고 있는지는 확인해주지 않는다"면서 "PoR은 신뢰를 보장하는 장치가 아니다"라고 밝혔다.

이어 "PoR 시스템이 제대로 작동되더라도 대부분은 특정 시점의 자산 현황만 보여주는 '스냅샷'에 불과하다"며 "스냅샷 이전이나 이후에 어떤 일이 일어나는지는 반영하지 못한다"고 설명했다.

hyun1@news1.kr