[가상자산 어디로 가나] ‘자금세탁’ 원천봉쇄?…헛점 노린 보이스피싱도 몰랐다

업계 1위 가상자산 거래소 A사가 지난 8월 자금세탁방지 허점을 드러냈던 것으로 확인됐다. 보이스피싱을 통해 20억 원 상당의 피해액이 발생, 중국 등 해외 거래소로 유출되는데도 A사는 이를 탐지하지 못했다.

올해 8월 ㄱ씨는 300억 원대의 인터넷 쇼핑 사건에 연루됐다는 전화를 받았다. 검사, 금융감독원ㆍ금융위원회 직원으로 사칭한 일당은 ㄱ씨의 은행 계좌에 돈을 입금하라고 종용했다. ㄱ씨는 총 19억9000만 원을 20일까지 자신의 계좌에 입금했고, 비트코인을 구매해 보이스피싱 일당의 지갑으로 전송했다. 경찰에서는 해당 비트코인이 바이낸스, 후오비, 오케이엑스에 전송된 것으로 파악하고 있다. 일부는 중국인 명의로, 전송된 비트코인의 출금이 이뤄지기도 했다.

해당 과정에서 A사의 이상거래탐지시스템(FDS)이 작동하지 않았다. ㄱ씨는 해당 계좌를 5월까지 70만 원, 6월까지 0원으로 유지하고 있었다. 사실상 휴면 계좌에 8월 1억 원이 수차례 입금됐는데 FDS에 일절 탐지되지 않은 것이다. 업계 관계자는 “큰 손을 제외한 개인 투자자들이 억 단위를 넣으면 무조건 FDS에 감지된다”며 “자동화된 시스템이라 유의 알림이 떴을텐데 그냥 넘긴 게 의아하다”고 설명했다.

A사는 1회 1억, 1일 5억 원 입금 한도를 운영 중이다. 보이스피싱 일당들은 A사의 운영 허점을 노려 ㄱ씨에게 분할 입금을 요구했다. 실제 8월 18일 5억 원을 입금 후, 19일로 넘어가는 새벽 0시 10분 추가로 1억 원 입금을 지시했다. 한도를 상회하는 6억 원이 입금되는데도 파악하지 못한 것이다. 업계 전문가는 “수법을 보면 거래소나 은행 상황을 잘 알고 있는 것으로 보인다”며 “허점을 이용하기 위해 본인 계좌로 입금시키게 하지 않았겠나”라고 분석했다.

거래소와 은행의 핫라인 부재 또한 피해를 키웠다. A사에 실명계좌를 내준 은행은 보이스피싱에 대해 인지하고 8월 20일 지급정지를 통보했다. A사는 이로부터 77시간이 지난 8월 23일에서야 거래정지를 통보했다. 통보가 지연되는 3일 사이 ㄱ씨는 사기단의 지시를 받아 6억 원 상당의 비트코인을 해외로 재차 출금했다. 이후 24일 보이스피싱에 대해 인지한 후 A사의 투자자보호센터에 연락을 취했지만 응답은 없었다. 카카오톡 상담을 통해 피해사실에 대해 접수하려 했으나 챗봇과의 소통이 원활하지 않았다. ㄱ씨의 아내 ㄴ씨는 “다음날 아침 9시에 일어나자마자 전화했지만 연락이 안됐다”며 “은행에 물어보니 본인들과 관계가 없다고 거래소에 연락하라고 하더라”라고 말했다.

전문가들은 거래소에 자금세탁이 가능한 구조가 내재돼 있다고 지적하기도 했다. 통상 가상자산 거래소의 경우 원화와 가상자산의 출금 한도를 정하고 있는데, 가상자산의 출금 한도가 훨씬 높다. A사의 경우 원화 출금 한도는 1일 2억 원이다. 가상자산의 경우 카카오페이 등을 통해 2채널 인증 시 50억 원까지 출금 가능하다. 원화로 코인을 구매해 해외 지갑으로 송금 시 50억 원까지 가능한 것이다. 이번 사건을 수임한 차상진 차앤권 법률사무소 변호사는 “다섯 명만 가상자산 계좌를 뚫는다 하면 250억 원을 빼는 건 일도 아닐 것”이라며 “A사의 경우에도 필터링이 제대로 되지 않은 시스템으로 승인을 받았고, 8월 20일 언저리 이후로 시스템이 대폭 개편됐는지 의문”이라고 지적했다.

이와 관련해 A사 관계자는 “나날이 교묘해지는 사기 수법에 대응하기 위해 이상거래 탐지 시스템을 고도화하는 노력을 기울이고 있다”고 말했다.