코인 거래소 해킹 보상은 전액이 아닙니다 — 감독규정이 정한 하한은 핫월렛 가치의 5%와 30억원입니다

토큰나라 딥다이브 데스크는 금액이 적힌 원문을 직접 열어 확인하는 쪽을 택합니다. 이번 주제는 거래소가 해킹을 당했을 때 내 손실을 메울 재원이 법적으로 얼마까지 마련되어 있는가입니다. 운영자 보유 가능성을 밝힙니다. 본 매체는 비트코인과 주요 알트 및 스테이블코인을 보유하고 있을 수 있습니다.

결론을 먼저 적겠습니다. 법률 본문에는 금액이 한 줄도 없고, 금액은 전부 금융위원회 고시에 있습니다. 그 고시가 정한 하한은 두 개이고 둘 중 큰 금액을 씁니다. 하나는 핫월렛에 남아 있는 이용자 가상자산 경제적 가치의 100분의 5, 다른 하나는 30억원입니다.

그리고 이 구조를 끝까지 계산하면 요구 금액의 상한이 나옵니다. 콜드월렛 의무 보관 비율이 100분의 80이므로 핫월렛은 최대 20%이고, 그 20%의 5%이므로 규정이 요구하는 금액은 이용자 가상자산 전체의 1.0%를 넘지 않습니다. 미리 마련하게 하는 재원이 전액이 아니라는 말의 실제 크기가 이 숫자입니다. 이 글은 2026년 9월 21일에 법률과 시행령, 감독규정 원문을 받아 그 금액 조항만 따라간 기록입니다.

금액은 법률이 아니라 고시에 있습니다

먼저 층을 정리하겠습니다. 이 주제를 찾다가 헤매는 이유의 대부분이 금액을 법률에서 찾기 때문입니다.

법률 제8조 원문은 한 문장입니다. 가상자산사업자는 해킹이나 전산장애 등 대통령령으로 정하는 사고에 따른 책임을 이행하기 위하여 금융위원회가 정하여 고시하는 기준에 따라 보험 또는 공제에 가입하거나 준비금을 적립하는 등 필요한 조치를 하여야 한다는 것이 전부입니다. 금액을 정하는 표현이 이 조문에는 없습니다. 이 법률은 2024년 7월 19일부터 시행되고 소관은 금융위원회입니다.

빈칸을 채우는 고시가 가상자산업감독규정입니다. 금융위원회 고시 제2024-37호로 2024년 7월 10일에 발령되어 2024년 7월 19일부터 시행됐고, 제정 당시 형태 그대로 조문은 13개입니다. 담당 부서는 금융위원회 가상자산과입니다. 같은 법 시행령은 2025년 4월 22일 공포되어 2025년 4월 23일부터 시행되고 있습니다.

하한은 둘이고 큰 쪽을 씁니다

금액을 정한 자리는 감독규정 제10조제2항 하나입니다. 보험이나 공제의 보상한도, 준비금 적립액, 예치·신탁금을 모두 합한 금액이 다음 두 금액 이상이어야 한다고 적혀 있습니다.

조문이 "다음 각 호에서 정하는 금액 이상"이라고 적었으므로 두 호는 선택이 아니라 동시에 만족해야 하는 조건입니다. 결과적으로 실제 기준선은 두 금액 중 큰 쪽이 됩니다. 5% 계산액이 12억원으로 나오는 사업자라면 30억원을 맞춰야 하고, 5% 계산액이 400억원인 사업자라면 30억원은 이미 충족되어 의미가 없습니다.

제2호 단서의 5억원이 누구에게 적용되는지는 특금법 원문에서 확인했습니다. 제7조제3항제2호는 실명확인이 가능한 입출금 계정을 통하여 금융거래등을 하지 아니하는 자를 신고 불수리 사유로 두고, 그 단서가 가상자산거래의 특성을 고려하여 금융정보분석원장이 정하는 자에 대해서는 예외로 한다고 적습니다. 즉 실명계정 없이 영업하는 예외 사업자가 5억원 대상이고, 원화 입출금을 취급하는 사업자는 30억원입니다. 이 조항이 담긴 특금법 제7조제3항은 2026년 2월 19일에 개정되어 2026년 8월 20일부터 시행되고 있습니다.

보험은 의무가 아닙니다

여기서 통설이 한 번 갈립니다. 해킹 대비라고 하면 보험을 떠올리기 쉽지만, 감독규정 제10조제1항이 요구하는 것은 세 가지 중 하나 이상입니다.

1. 보험 또는 공제 가입 — 해킹이나 전산장애 등 사고에 따른 책임을 이행하기 위한 가입입니다.
2. 준비금 적립 — 사업자가 자기 재원으로 쌓아 두는 방식입니다.
3. 금전의 예치 또는 신탁 — 시행령 제8조제1항 각 호의 기관에 맡기는 방식입니다.

셋의 관계가 대등하지는 않습니다. 조문에 단서가 붙어 제3호는 제1호와 제2호가 모두 불가능하거나, 제1호 또는 제2호만으로는 제2항의 금액 기준을 지킬 수 없는 경우에만 쓸 수 있습니다. 즉 보험과 준비금이 앞선 수단이고 예치·신탁은 보충 수단입니다.

제3호가 가리키는 기관도 열거되어 있습니다. 시행령 제8조제1항은 은행, 농업협동조합법에 따른 농협은행, 수산업협동조합법에 따른 수협은행, 중소기업은행법에 따른 중소기업은행 네 곳을 적습니다. 예치금을 맡기는 관리기관과 같은 목록입니다.

이용자 입장에서 이 구조가 갖는 뜻은 하나입니다. 어떤 거래소가 보험에 가입하지 않았다는 사실만으로는 기준 미달이라고 말할 수 없습니다. 준비금으로 같은 금액을 쌓았다면 조문상 동등한 조치입니다. 반대로 보험에 가입했다는 안내만 보고 재원이 두껍다고 읽어서도 안 됩니다. 조문이 보는 것은 수단이 아니라 합산 금액입니다.

상한을 계산해 봤습니다

5%라는 비율은 그 자체로는 크기를 알려주지 않습니다. 무엇의 5%인지가 콜드월렛 비율에 걸려 있기 때문입니다. 그래서 보관 비율 쪽 조문을 함께 열었습니다.

시행령까지만 읽으면 70%로 잘못 적게 되는 자리입니다. 시행령은 고시가 정할 수 있는 하한선만 70으로 묶어 두었고, 실제 의무 비율은 감독규정이 채운 80입니다. 감독규정 제9조제1항은 그 80이 무엇의 80인지도 함께 정의합니다. 가상자산 종류별로 현재 보관 중인 총 수량에 전월 말일 기준 최근 1년간 일평균 원화환산액을 곱한 금액의 총합입니다.

그러면 계산이 됩니다. 콜드월렛 80%를 지키면 핫월렛은 최대 20%이고, 재원 기준은 그 20%의 5%이므로 0.20 곱하기 0.05, 곧 이용자 가상자산 전체의 1.0%가 요구 금액의 상한입니다. 여기에 30억원 정액 하한이 겹치므로 규모별로 이렇게 갈립니다.

표가 말하는 것은 두 가지입니다. 첫째, 30억원 하한이 5% 계산액을 앞지르는 분기점은 핫월렛 600억원이고 80대 20 기준으로는 총액 3,000억원입니다. 5억원 하한이 적용되는 사업자의 같은 분기점은 핫월렛 100억원, 총액 500억원입니다. 둘째, 그 분기점을 넘으면 총액 대비 비율이 1.00%로 수렴합니다. 정액 하한은 작은 사업자 쪽에서만 비율을 끌어올리는 장치입니다.

그러니 규모가 큰 거래소일수록 미리 마련된 재원의 총액 대비 비율은 낮아집니다. 절대 금액은 커지지만 비율은 1%에 붙습니다. 이것이 제목에 적은 "전액이 아니다"의 구체적인 크기입니다. 다만 한 가지는 분명히 적어 두겠습니다. 이 금액은 하한이고, 사업자가 그보다 많이 준비하는 것을 막는 조항은 없습니다.

콜드월렛 비율을 더 높이면 재원 금액은 줄어듭니다

계산을 한 걸음 더 밀면 방향이 어긋나는 자리가 하나 나옵니다. 5%의 대상이 핫월렛 잔량이기 때문입니다.

• 콜드 80%, 핫 20%인 사업자의 요구 금액은 총액의 1.0%입니다.
• 콜드 90%, 핫 10%로 더 보수적으로 운영하는 사업자의 요구 금액은 총액의 0.5%입니다.
• 콜드 95%, 핫 5%라면 총액의 0.25%입니다.

인터넷과 분리해 두는 비율을 높이는 것은 이용자에게 유리한 방향인데, 같은 조치가 사고 재원의 금액은 줄입니다. 조문을 비난할 근거는 아닙니다. 5%의 대상을 핫월렛으로 잡은 것은 사고에 노출된 잔량에 재원을 비례시키겠다는 설계이고, 노출을 줄이면 재원도 줄어드는 것이 그 설계의 일관된 결과입니다. 다만 거래소 공시에서 준비금 금액만 보고 안전성을 비교하려는 독자에게는 이 방향이 반드시 필요한 정보입니다. 금액이 작다는 것이 곧 노출이 크다는 뜻이 아니고, 그 반대일 수도 있습니다. 핫월렛과 콜드월렛의 개념 차이 자체는 코인 지갑 핫월렛 콜드월렛 차이와 보관법 쪽에 정리해 두었습니다.

80%라는 숫자가 고정값이 아니라는 점도 함께 적겠습니다. 시행령 제11조제1항 단서는 해킹, 배임, 영업의 폐지 및 이에 준하는 사유가 발생했거나 발생할 우려가 있는 경우에는 금융위원회가 별도로 정하여 사업자에게 통보하는 비율에 따라 보관해야 한다고 정합니다. 사고 국면에서는 기본값이 아니라 통보받은 비율이 기준이 됩니다.

언제 기준으로 재는가

금액 기준을 지켰는지는 상시 감시가 아니라 월 단위로 확인되는 구조입니다. 감독규정 제10조제3항이 두 시점을 못박고 있습니다.

이 두 날짜 사이에 열흘의 간격이 있습니다. 월말에 핫월렛 잔량이 늘어 필요 금액이 커졌다면 그 차이를 다음달 10일까지 메우면 기준을 지킨 것이 됩니다. 곧 월 중 어느 날의 재원을 그날의 핫월렛 잔량과 1대1로 맞춰 읽을 수는 없습니다.

금액을 재는 방식도 시세 그대로가 아닙니다. 제10조제2항제1호는 종류별 보관 수량에 최근 1년간 일평균 원화환산액을 곱해 합산하라고 적습니다. 보관 비율을 정한 제9조제1항이 "전월 말일 기준 최근 1년간 일평균"이라고 기준일까지 붙여 쓴 것과 달리, 제10조제2항제1호에는 그 기준일 표현이 없습니다. 어느 쪽이든 1년 일평균이라는 뼈대는 같아서, 최근 몇 주에 값이 크게 오른 종목은 1년 평균이 따라오는 만큼만 반영됩니다. 급등 직후의 시세로 재원을 계산하면 조문보다 큰 숫자가 나옵니다.

제10조제4항은 금액과 별개의 요구를 하나 더 둡니다. 준비금을 적립하거나 금전을 예치·신탁하는 경우 책임 이행이 신속히 이루어지도록 준비금 및 예치·신탁금의 관리와 지급에 관한 내부 절차를 수립해 운영해야 한다는 것입니다. 금액만 쌓아 두고 지급 절차가 없으면 조문을 다 지킨 것이 아닙니다.

어떤 사고가 이 재원의 대상인가

금액이 마련되어 있어도 사고가 대상 밖이면 이 조문과 무관합니다. 대상을 정한 것은 시행령 제12조이고, 다섯 개 호로 나뉩니다.

제4호는 공격 방법까지 두 갈래로 나눠 적습니다. 가목이 해킹, 컴퓨터바이러스, 논리폭탄, 메일폭탄, 서비스거부, 고출력 전자기파 등의 방법이고, 나목이 정상적인 보호·인증 절차를 우회해 정보통신망에 접근할 수 있게 하는 프로그램이나 기술적 장치를 설치하는 방법입니다. 제1호의 접근매체는 전자금융거래법 제2조제10호 각 목의 수단이나 정보를 가져와 정의합니다.

제5호는 열려 있는 칸입니다. 다만 감독규정 13개 조문 안에는 이 칸을 채운 조항이 없습니다. 이 고시가 금융위원회에 위임된 빈칸을 채우는 문서인데, 제2조가 시행령 제2조제4호 단서의 전자적 증표를 정의하는 데 그치고 보험사고를 추가하는 조항은 두지 않았습니다. 그러니 현재 대상 유형은 시행령의 네 가지로 읽는 편이 정확합니다.

목록을 읽을 때 유의할 점은 개인 과실 쪽 사고가 이 목록에 들어 있지 않다는 것입니다. 시드문구를 스스로 노출해 개인 지갑에서 자산이 빠져나간 경우나, 주소를 잘못 적어 보낸 경우는 사업자의 정보통신망 침입과 무관합니다. 이 조문은 사업자 쪽에서 발생한 사고를 겨냥합니다.

보관 쪽에도 사고 예방 조항이 붙어 있습니다. 감독규정 제9조제2항은 전자금융감독규정 제37조의3제1항에 따른 평가전문기관을 통해 취약점 분석과 평가를 실시하고, 그 결과보고와 보완조치 이행계획서를 평가 종료 후 30일 이내에 금융감독원장에게 제출하라고 정합니다. 보관을 외부에 위탁하는 경우에는 시행령 제11조제2항이 수탁기관 쪽 보안기준을 네 개 호로 두고, 그중 하나가 보관 정보시스템의 안전성과 보안성을 연 1회 이상 점검하고 평가하는 것입니다. 사고가 났을 때 입출금이 어떤 근거로 멈추는지는 출금이 막혔을 때 법이 인정하는 차단 사유 쪽에 따로 정리했습니다.

원화 예치금과는 기준이 다릅니다

같은 법의 다른 조문과 나란히 놓으면 5%라는 숫자의 위치가 더 분명해집니다.

원화는 전액 기준이고 가상자산 사고 재원은 일부 기준입니다. 예치금은 이용자별 예치금 총액의 100%를 은행 등 관리기관에 예치하거나 신탁해야 하는 반면, 해킹 사고 재원은 핫월렛 잔량의 5%에서 출발합니다. 성질이 다른 의무라서 우열을 말할 자리는 아니지만, 원화와 코인이 같은 강도로 보호된다고 읽는 것은 조문과 맞지 않습니다. 원화 예치금 쪽 구조와 예금보험의 적용 범위는 코인 거래소 원화 예치금 보호 범위에 별도로 정리해 두었습니다.

이 숫자가 말하지 않는 것

정직하게 경계를 그어 두겠습니다.

• 이것은 재원의 하한이고 보상 금액이 아닙니다. 감독규정 제10조는 얼마를 마련해 두라고만 정하고, 사고가 났을 때 개별 이용자에게 얼마를 지급하는지는 정하지 않습니다. 손해배상 책임의 범위는 이 조문 밖에서 갈립니다.
• 하한이지 상한이 아닙니다. 사업자가 이 기준을 넘는 보상한도나 준비금을 마련하는 것을 막는 조항은 없습니다. 위에서 계산한 1.0%는 규정이 요구하는 금액의 상한이고, 실제로 마련된 금액의 상한이 아닙니다.
• 개별 사업자의 실제 금액은 이 글에서 재지 않았습니다. 이 글이 연 것은 법령과 고시 원문이고, 각 거래소가 어떤 수단으로 얼마를 마련했는지는 사업자별 공시의 문제입니다.
• 숫자 자체가 재검토 대상입니다. 감독규정 제13조는 금융위원회가 2024년 1월 1일을 기준으로 3년마다 타당성을 검토해 개선 등의 조치를 하도록 정하고, 그 대상에 제9조제1항의 보관비율과 제10조의 보험 가입 등 기준을 명시했습니다. 기준일 계산대로면 다음 검토 기준일은 2027년 1월 1일입니다. 80%와 5%, 30억원은 그때 다시 놓일 수 있는 숫자입니다.

정리

원문을 따라간 결과를 네 줄로 줄이면 이렇습니다.

1. 금액은 법률이 아니라 가상자산업감독규정 제10조에 있습니다. 법률 제8조에는 금액 표현이 없습니다.
2. 하한은 핫월렛 가치의 5%와 30억원 둘이고, 실질 기준선은 큰 쪽입니다. 실명계정 없이 영업하는 예외 사업자는 30억원 대신 5억원입니다.
3. 콜드월렛 80% 의무와 겹치면 요구 금액은 이용자 가상자산 전체의 1.0%를 넘지 않습니다. 분기점은 총액 3,000억원이고 그 위에서는 1.00%로 수렴합니다.
4. 보험은 세 수단 중 하나입니다. 준비금 적립으로 대체할 수 있고, 예치·신탁은 앞의 두 수단으로 기준을 못 맞출 때만 쓰는 보충 수단입니다.

이 글은 2026년 9월 21일에 법제처 국가법령정보 공개 창구에서 가상자산 이용자 보호 등에 관한 법률과 같은 법 시행령, 가상자산업감독규정, 특정 금융거래정보의 보고 및 이용 등에 관한 법률의 조문 전문을 받아 확인한 내용입니다. 법령과 고시는 개정될 수 있으므로 금액을 인용하실 때에는 같은 창구에서 시행일자를 다시 확인하시기 바랍니다. 특정 거래소나 보험 상품을 권유하지 않고, 어떤 코인도 매수나 매도 대상으로 지목하지 않습니다. 정보 제공 목적이며 매매 권유가 아닙니다. 가상자산은 변동성이 크고 원금 손실이 발생할 수 있습니다.