코인 거래소 사고 보상 기준 - 거래소마다 다른 이유와 확인할 것

「직원 실수 25억, 해킹 8억」이라는 기사 제목을 보고 한참을 들여다봤습니다. 액수가 다른 거야 사고 크기가 다르니 그러려니 했는데, 읽다 보니 이상한 것은 액수가 아니었습니다.

사고를 무엇으로 볼 것인지, 얼마를 어떻게 물어줄 것인지가 거래소마다 제각각이었습니다. 정해진 것이 없으니 사고가 날 때마다 새로 정한다는 뜻입니다. 오늘은 그 기준이 어디까지 와 있고, 지금 우리가 확인할 수 있는 것은 무엇인지 정리해 드립니다.

1. 같은 시기에 난 사고인데 보상은 이렇게 갈렸습니다

디지털타임스가 2026년 6월에 정리한 세 건입니다.

• 빗썸 입력 실수 (2026년 2월): 경품을 나눠 주다가 62만 원을 보내야 할 것을 62만 비트코인으로 보냈습니다. 이후 투자자 보상액은 25억 원이었습니다
• 업비트 솔라나 유출 (2025년 11월 27일): 유출 당시 시세로 약 445억 원 규모였고, 26억 원어치를 동결했습니다. 보상액은 약 7억 9천만 원이었습니다
• 업비트 전산장애 (2024년 12월 3일): 비상계엄 발표로 접속이 몰리면서 멈췄습니다. 피해 신고 1,153건에 보상액 32억 원이었습니다

숫자만 늘어놓으면 감이 잘 안 옵니다. 445억 원이 빠져나간 사고의 보상이 8억 원에 못 미치는데, 서버가 멈춘 사고의 보상은 32억 원입니다. 사고의 크기와 보상의 크기가 나란히 가지 않습니다.

사고 자체가 드문 일이 아닙니다

2020년부터 2026년 4월까지 5대 거래소에서 확인된 사고는 57건입니다. 업비트 26건, 빗썸 14건, 고팍스 8건, 코인원 6건, 코빗 3건입니다. 6년 남짓에 57건이면 한 달에 한 번꼴로 어딘가에서 무언가 났다는 이야기입니다.

2. 액수가 아니라 기준이 없는 것이 문제입니다

같은 기사는 사고를 정의하는 기준과 보상 방식이 거래소마다 천차만별이라고 적었습니다. 통일된 규제 가이드라인이 없고, 각 거래소가 만든 약관만 있습니다.

• 무엇을 사고로 볼 것인가부터 다릅니다
• 얼마를 물어줄 것인가도 다릅니다
• 신고를 받는 기간과 인정하는 범위도 다릅니다

업비트 전산장애에서 보상이 32억 원까지 간 데에는 피해 신고가 1,153건 들어온 것이 있습니다. 신고한 사람을 중심으로 정산되었다는 뜻이기도 합니다. 그날 손해를 봤어도 신고하지 않았으면 애초에 계산에 들어가지 않습니다.

짚고 넘어갈 점

기준이 없으면 보상은 협상이 됩니다. 목소리를 낸 쪽, 기록을 남긴 쪽, 언론에 실린 쪽이 유리해집니다. 조용히 손해만 본 사람은 통계에도 잡히지 않습니다.

3. 법은 어디까지 시키고 있습니까?

가상자산이용자보호법은 2024년 7월 19일부터 시행됐습니다. 금융위원회 보도자료에 적힌 거래소 의무는 이렇습니다.

• 해킹이나 전산장애 같은 사고에 따른 책임을 이행하기 위해 보험에 가입하거나 준비금을 적립할 것
• 자기 가상자산과 이용자 가상자산을 분리해 보관하고, 이용자 것과 같은 수량을 보유할 것
• 이용자 예치금은 은행에 맡겨 안전하게 보관하고, 예치금 이용료를 지급할 것

읽어 보면 돈을 마련해 두라는 데까지는 나와 있습니다. 그런데 그 돈을 어떤 사고에 얼마나 어떻게 지급하라는 대목이 없습니다. 곳간은 지으라고 했는데 문을 언제 여는지는 각자 정하라고 한 셈입니다.

보험에 들었다는 말이 다 물어준다는 뜻은 아닙니다

보험과 준비금은 거래소가 사고 책임을 질 수 있도록 미리 돈을 마련해 두게 하는 장치입니다. 이용자가 직접 청구하는 보험이 아니고, 얼마까지 보장한다는 한도가 정해져 있는 것도 아닙니다. 예금자보호법이 은행 예금에 대해 하는 일과는 성격이 다릅니다.

같은 법에서 예치금, 그러니까 코인을 사려고 넣어 둔 원화는 은행에 따로 맡기도록 되어 있습니다. 이쪽은 비교적 분명합니다. 헷갈리기 쉬운 지점이 여기입니다. 원화와 코인이 한 화면 안에 나란히 있지만, 사고가 났을 때 서 있는 자리가 서로 다릅니다.

4. 지금 벌어지는 일은 서로 반대 방향입니다

거래소는 면책을 넓히고 있고, 당국은 배상을 넓히는 쪽을 보고 있습니다.

거래소 쪽부터 봅니다. 2026년 6월 헤럴드경제 보도에 따르면 코빗은 스테이킹 서비스 약관을 고쳐, 슬래싱이나 네트워크 오류, 외부 해킹처럼 회사가 통제할 수 없는 사유로 자산이 줄어든 경우 고의나 과실이 없으면 책임지지 않는다는 조항을 넣었습니다. 코빗은 이용자 보호 규정 강화에 맞춘 투명성 조치라고 설명했습니다.

업비트는 스테이킹 보상이 네트워크 상황에 따라 변하며 보장되지 않는다는 점, 이 서비스가 자본시장법이나 금융소비자보호법상 금융상품이 아니라는 점을 밝히고 있습니다. 코인원과 빗썸도 시세 변동이나 재단 정책 변경, 네트워크 문제로 인한 지급 지연에 대해 비슷한 면책을 두고 있습니다.

당국 쪽은 반대입니다. 금융위원회는 디지털자산기본법 2단계 입법에 무과실 배상을 넣는 것을 검토 중이라고 했습니다. 전자금융거래법 규정을 참고한다는 설명입니다. 무과실 배상은 회사에 잘못이 없어도 일단 물어주게 하는 방식입니다.

인정할 것은 인정하겠습니다

저는 각 거래소 약관 전문을 처음부터 끝까지 읽지 못했습니다. 위 내용은 보도된 범위에서 정리한 것입니다. 그리고 무과실 배상이 실제 법안에 들어갈지, 들어간다면 어디까지 적용될지는 아직 알 수 없습니다.

그래도 답답한 대목은 남습니다

자료를 찾아보면서 걸렸던 지점이 세 가지 있었습니다.

• 증거를 남기라는 말이 현실과 잘 맞지 않습니다. 서버가 멈춰 접속도 안 되는 상황에서 화면을 캡처하고 주문 내역을 챙기라는 것이니까요. 평소에 기록해 둔 사람만 계산에 들어가고, 당황해서 손을 놓은 사람은 빠집니다
• 세부 기준이 없으니 약관이 그 자리를 채웁니다. 법이 준비금만 쌓으라 하고 지급 기준은 정하지 않으니, 거래소는 면책 범위를 넓히는 쪽으로 약관을 고칩니다. 수수료는 받으면서 사고는 통제할 수 없는 외부 요인이라고 하면 이용자가 기댈 곳이 마땅치 않습니다
• 보상 규칙은 순서에서 밀려 있습니다. 무과실 배상은 아직 검토 단계이고, 9월에 나올 정부안의 중심은 대주주 지분 제한입니다. 규칙이 정비될 때까지 위험은 이용자가 안고 가는 셈입니다

소비자 입장에서 바라본 현실과 한계

기사와 법률 조항을 찾아보면서 이용자 입장에서 답답한 마음이 많이 들었습니다. 거래소와 당국이 여러 대책을 내놓고 있지만, 정작 자산을 맡기는 일반 투자자 입장에서는 현실과 떨어진 대목이 많습니다.

• 전산 장애 입증 책임이 이용자에게 쏠려 있습니다.거래소 서버가 멈춰 접속이나 주문이 불가능한 상황에서 화면을 캡처하고 오류 메시지를 남겨두어야만 보상 논의가 가능합니다. 앱 자체가 먹통인 상황에서 입증 자료를 직접 수집하기란 매우 어렵고, 결국 적극적으로 기록을 남긴 소수만 보상을 받게 되는 구조입니다.
• 자율 규제와 면책 조항을 통한 책임 회피입니다.법에서 준비금 적립 의무만 규정하고 세부 지급 기준을 명확히 제시하지 않다 보니, 거래소들은 약관을 통해 면책 범위를 넓히고 있습니다. 스테이킹이나 네트워크 오류 등을 회사 책임 외 사유로 분류해 두면 피해가 발생해도 손실은 온전히 이용자의 몫이 됩니다.
• 입법 논의 과정에서 이용자 보호 기준의 후순위 밀림입니다.당국에서 무과실 배상책임을 검토 중이라고 하지만 실제 입법까지는 시간이 걸립니다. 최근 논의되는 법안들도 대주주 지분 제한 같은 사업자 규제에 집중되어 있어, 법이 정비되기 전까지 발생하는 사고 위험은 투자자가 스스로 안고 가야 하는 상황입니다.

5. 그렇다면 지금 확인할 수 있는 것

법이 정리되기를 기다리는 동안 할 수 있는 일이 몇 가지 있습니다.

• 내가 쓰는 것이 매매인지 예치인지 구분합니다. 사고가 났을 때 적용되는 약관이 다릅니다. 스테이킹이나 예치 상품 쪽이 면책 조항이 더 넓습니다
• 약관에서 책임과 면책이 들어간 항목만 찾아 읽습니다. 전체를 읽을 필요는 없습니다. 두 단어로 검색만 해도 절반은 보입니다
• 사고가 나면 그 자리에서 화면을 남깁니다. 시각이 찍힌 캡처, 주문 내역, 오류 메시지입니다. 신고 건수로 보상 규모가 갈린 사례가 이미 있습니다
• 공지와 문의 창구를 미리 찾아 둡니다. 사고가 난 뒤에 찾으면 접속이 몰려서 늦습니다

짚고 넘어갈 점

2026년 8월 27일 보도에 따르면 디지털자산기본법 2단계 정부안은 9월 초에 나올 예정이고, 내용은 거래소 대주주 지분을 20%로 제한하는 것이 중심입니다. 이용자 보상에 관한 이야기는 그 보도에 없었습니다. 지배구조가 먼저고 보상은 그다음인 모양입니다.

보상은 선의가 아니라 기준에서 나옵니다

거래소가 나쁜 마음을 먹어서 보상이 갈린 것은 아닐 겁니다. 정해진 것이 없으니 사고마다 새로 정하고, 새로 정할 때마다 조금씩 달라졌을 뿐입니다. 문제는 그 조금씩이 누군가에게는 25억이고 누군가에게는 8억이라는 점입니다.

기준이 생기면 거래소도 편해집니다. 매번 여론을 살펴 액수를 정하지 않아도 되니까요. 그때까지는 각자 기록을 남기는 수밖에 없습니다. 남긴 사람과 남기지 않은 사람의 차이가 곧 보상의 차이가 되는 것이 지금의 구조입니다.

저는 이 시장에 늦게 들어온 축입니다. 늦게 온 사람일수록 거래소를 은행처럼 여기기 쉽습니다. 은행은 사고가 나면 무엇을 어떻게 해 준다는 것이 정해져 있습니다. 여기는 아직 그렇지 않다는 것, 그 차이 하나만 기억해도 다르게 움직이게 됩니다.

---

참고자료

• 디지털타임스, 「빗썸 직원실수 25억·업비트 해킹 8억…코인 거래소 '고무줄 보상'」, 2026-06-07
  https://www.dt.co.kr/article/12066130
• 헤럴드경제, 「손실 면책 강화하는 거래소 vs 무과실 배상 검토하는 당국」, 2026-06-04
  https://biz.heraldcorp.com/article/10763529
• 금융위원회 보도자료, 「내일(7.19일)부터 가상자산이용자보호법이 시행됩니다」
  https://www.fsc.go.kr/no010101/82682
• 서울경제, 「디지털자산기본법 윤곽…거래소 대주주 지분 20% 제한」, 2026-08-27
  https://www.sedaily.com/article/20083751

※ 이 글은 공개된 보도와 정부 자료를 읽고 정리한 개인 기록이며, 특정 거래소의 이용이나 회피를 권하는 글이 아닙니다. 자세한 안내는 「블로그 소개 및 운영 원칙」을 참고해 주세요.