국내 1위 코인거래소 업비트의 내부통제 부실이 심각한 것으로 드러났다. 금융당국이 업비트 운영사인 두나무에 대한 검사를 벌인 결과 미신고 코인거래소에 코인 이전 거래를 지원하고 고객확인의무와 거래제한의무를 위반한 사실이 무더기로 적발됐다.

실제 위반 사례는 아니지만 연필로 그린 손그림 신분증을 고객확인 시스템에서 테스트한 결과 정상으로 고객확인 완료 처리된 경우도 발견되는 등 사실상 시스템이 제대로 작동하지 않았다는 게 금융당국의 판단이다. 최근 글로벌 가상자산 거래소 바이비트 해킹 사건이 발생하면서 코인거래에 대한 투자자들의 불신과 불안이 코인 가격 급락으로 나타나고 있는 가운데 업비트는 신뢰성에 큰 타격을 받게 됐다.

25일 금융정보분석원(FIU)은 특정금융정보법(특금법) 위반혐의로 두나무에 대해 영업 일부정지 3개월(신규 고객의 가상자산 이전 금지), 이석우 대표이사에 대해 문책경고의 중징계를 통보했다. 보고책임자와 준법감사인은 면직, 팀장급 5명은 견책, 팀장금 2명은 주의 등 직원 9명의 신분 제재 조치도 통보했다.

FIU는 지난해 하반기 두나무에 대한 자금세탁방지 현장검사 실시한 결과 해외 미신고 가상자산사업자 19개사와 총 4만4948건의 가상자산 이전 거래를 지원했다. 특금법상 미신고 가상자산사업자와의 거래금지 의무를 위반한 것이다. FIU는 “수차례 업무협조문 발송 등을 통해 해외 미신고 가상자산사업자와의 거래 중단 조치를 요청하는 등 법준수 필요성을 알렸음에도 해당 사업자는 법률상 의무를 이행하기 위한 주의의무를 다하지 않음에 따라 다수의 법 위반 사례가 발생했다”고 밝혔다.

특금법상 고객확인의무와 거래제한의무 위반도 심각했다. 초점이 안 맞거나 빛 번짐, 일부 정보를 가린 경우 등 신원정보 확인이 불가능한 실명확인증표(주민등록증 등)를 징구하거나 실명확인증표 원본이 아닌 실명확인증표의 인쇄·복사본, 사진파일을 재촬영하는 등 부적정한 실명확인증표를 징구한 사실이 3만4477건 확인됐다. 상세 주소가 공란이거나 부적정하게 기재돼 있고, 주소와 무관한 내용 등을 입력한 고객에 대해 고객확인을 완료 처리한 사실도 5785건 확인됐다.

고객 위험평가 결과 자금세탁행위 등의 우려가 있음에도 고객확인 조치 없이 거래를 허용한 사례는 22만6558건에 달했다. FIU는 “자금세탁행위 우려가 있어 고위험 등급으로 상향된 고객(2023년 7월 1일)에 대해 고객확인 조치를 마치고 나서 거래를 허용해야 하지만, 고객확인 없이 거래가 진행됐고 2023년 7월31일에 거래제한 조치를 실시했다”고 밝혔다.

이 밖에도 운전면허증을 통한 고객확인의 경우 암호일련번호 없이 개인정보만으로 운전면허증 진위여부를 확인한 사례가 18만9504건, 고객확인 재이행 시 실명확인증표를 징구하지 않은 사실도 906만6244건 확인됐다.

FIU는 제재공개안을 공개하면서 참고 사례를 통해 고객확인업무 관련 위탁업체 직원이 주민등록증을 손으로 그려 테스트한 결과 정상으로 고객확인 완료가 처리된 내용을 포함시켰다. 고객확인 시스템이 얼마나 허술한지 보여준 것이다. 다만 테스트용으로 이뤄진 점을 고려해 위반건수에서는 제외했다. 업비트는 “연필로 그린 손그림 신분증은 이미지 문자 인식 시스템(OCR)의 성능을 파악하기 위한 임직원의 내부 테스트 사례이며, 검사 과정에서 해당 직원과의 사실 확인 또한 완료된 사안”이라며 “실제 고객확인제도 사례가 아니다”라고 밝혔다.

FIU는 조치안에 포함되지 않은 두나무의 과태료 부과와 관련해 향후 제재심 논의 등을 거쳐 최종 결정할 예정이다. 또 지적된 사항에 대한 조치 결과를 제출받아 법위반 사항에 대한 시정 여부 등을 면밀히 점검할 예정이다.

업비트는 “금융당국의 이번 제재조치의 취지에 깊이 공감하고, 앞으로 전사적 역량을 집중하여 내부통제체계 고도화를 위한 최선의 노력을 다하겠다”고 밝혔다. 다만 “일부 조치사유 및 제재수위와 관련해 구체적인 경위사실 및 제반사정이 충분히 고려돼 않은 사정이 있으므로 관련 규정에서 정한 절차에 따라 이러한 점을 성실히 소명하겠다”고 말해 향후 행정 소송 등 법적 대응을 예고했다.

이경기 기자 cellin@naeil.com