거래소 출금 지연 뚫렸다…사기계좌 59%가 예외, 송금했다면 은행·거래소·경찰 동시 신고

가상자산 거래소는 신규 이용자의 출금을 일정 시간 묶어 보이스피싱 자금이 곧바로 빠져나가는 것을 막고 있다. 그런데 이 장치에 구멍이 있었다. 금융당국이 점검해 보니 2025년 6~9월 거래소에서 발생한 사기이용계좌 2,526건 가운데 59%인 1,490건이 출금 지연 예외 대상 계좌였다.

금융당국은 예외 기준을 통일해 강화했다. 하지만 이미 송금했거나 사기범과 통화 중이라면 제도 개선을 기다릴 수 없다. 이용자가 어떤 말을 의심하고 어떤 순서로 신고해야 하는지 정리했다.

출금 지연이 있어도 돈이 빠져나간 이유

금융위원회에 따르면 가상자산을 이용한 보이스피싱은 대체로 세 단계로 진행된다. 1단계에서 범죄자는 수사기관·금융기관·가족을 사칭한다. “계좌가 범죄에 연루됐다”거나 “안전계좌로 옮겨야 한다”고 압박하고, 문자와 메신저로 거래소 접속을 유도한다. 2단계에서는 피해자가 은행 계좌에서 거래소 연계계좌로 돈을 보내게 하고, 범죄자가 거래소 계정에서 가상자산을 매수한다. 3단계에서는 가상자산을 다른 지갑이나 해외 사업자로 전송해 추적을 어렵게 만든다.

이 마지막 단계를 늦추려고 2025년 5월 금융당국과 디지털자산거래소 공동협의체(DAXA), 가상자산거래소가 ‘가상자산 출금 지연 제도’를 시행했다. 모든 신규 이용자 등에 대해 출금을 일정 시간 제한하는 제도이고, 구체적인 운영은 거래소 자율에 맡겨져 있다.

문제는 예외였다. 거래소들이 자체 기준으로 출금 지연 예외를 허용했는데 최소 기준이 명확하지 않았고 거래소마다 달랐다. 가입기간이나 매매이력처럼 쉽게 채울 수 있는 조건이 예외 기준이면 범죄자가 범죄수익금을 즉시 인출할 수 있다. 당국이 허점으로 지적한 대목이다.

수치도 이를 뒷받침한다. 2025년 6~9월 출금지연 예외 관련 보이스피싱 피해 현황표에서 예외 대상 계좌는 1,490건(59.0%), 금액으로는 1,705억 원(75.5%)이었다. 같은 기간 전체는 2,526건, 2,257억 원이다. 건수보다 금액 비중이 더 높다는 점에서 예외 계좌로 상대적으로 큰 돈이 빠져나갔음을 알 수 있다.

통화·문자 단계에서 바로 끊어야 할 신호

소비자가 가장 먼저 지켜야 할 선은 단순하다. 거래소 직원이라고 밝힌 사람이라도 전화로 비밀번호·인증번호·시드문구를 요구하면 사기로 보고 통화를 끊어야 한다. 시드문구는 지갑을 복구할 때 쓰는 단어 조합으로, 넘기는 순간 지갑 통제권을 내주는 것과 같다.

“계좌가 범죄에 연루됐다”, “안전계좌로 옮겨야 한다”는 말도 1단계에서 쓰이는 대표 멘트다. 은행에서 거래소 연계계좌로 보내라거나 거래소 앱을 설치하라는 요구까지 이어지면 이미 2단계 입구에 선 것이다. 수사기관·금융기관·가족을 사칭한 연락이라면 전화를 끊고 직접 확인하는 것이 안전하다.

문자 링크를 눌렀거나 악성 앱을 설치했다면 대응이 다르다. 금융위원회 안내는 한국인터넷진흥원(KISA) 118에 신고하고, 휴대전화 전원을 분리한 뒤 금융앱 비밀번호를 다른 기기에서 변경하라고 한다. 감염 가능성이 있는 기기에서 비밀번호를 바꾸면 그대로 새어 나갈 수 있기 때문이다.

경찰청도 지난 2월 설 명절을 앞두고 신종 스캠 주의보를 발령하며 가까운 사람의 피해를 막아 달라고 당부했다. 가족 간 대화에서 이 수법을 미리 공유해 두는 것이 한 방법이다.

이미 송금했다면: 은행·거래소·경찰 신고 순서

이미 돈을 보냈다면 신고 순서는 세 가지다. 첫째 은행에 즉시 지급정지를 요청한다. 둘째 거래소 고객센터에 거래소 계정·입금시각·자산종류·지갑주소를 알리고 출금 및 이전거래 중지를 요청한다. 셋째 경찰청 112 또는 전기통신금융사기 통합신고대응센터에 신고한다.

다만 이 순서를 하나씩 끝낸 뒤 다음으로 넘어가면 안 된다. 금융위 설명에서 지연 시간이 길어질수록 자산이 여러 주소로 분산될 가능성이 커진다. 그래서 거래소 답변을 기다린 뒤 신고하지 말고 은행·거래소·경찰에 동시에 접수해야 한다.

피해자가 지급정지를 신청하면 통신사기피해환급법에 따라 거래소 연계 은행계좌와 거래소 모계좌가 연쇄적으로 지급정지된다. 거래소 모계좌는 피해금만큼만 일부 지급정지된다. 거래소 안의 사기범 계정은 연계은행 요청에 따라 거래소가 자체 이용중지를 한다. 신고가 빠를수록 이 연쇄 조치가 작동할 여지도 커진다.

신고할 때는 증거를 미리 챙겨야 한다. 대화방 원본, 발신번호, 송금확인증, 거래소 주문내역, 트랜잭션 해시(블록체인 거래 기록에 붙는 고유 식별값), 상대방 지갑주소를 보존한다. 대화방을 나가거나 앱을 지우면 수사에 쓸 단서가 사라질 수 있으니 삭제하지 않는 것이 좋다.

달라진 예외 기준과 환급의 한계

당국은 거래소마다 달랐던 예외 기준을 하나로 묶은 표준내규를 마련했다. 종전에는 A거래소가 거래일수와 회원 이력, B거래소가 입출금 횟수, C거래소가 거래금액과 금융사고 이력을 기준으로 삼았다. 앞으로는 가상자산 거래횟수·거래기간·입출금금액을 필수로 고려하고 구체적인 예외불가 요건도 명시한다. 이 기준을 적용한 시뮬레이션에서는 2025년 말 기준 예외 대상 고객이 기존 대비 1% 이내로 줄었다. 금융위 설명으로는 강화된 표준내규가 2026년 4월 시행됐다.

예외를 받는 고객은 관리 대상이 된다. 자금 원천 확인 등 강화된 고객확인 절차를 연 1회 이상 받고, 출금 정보를 분석하는 모니터링 시스템도 구축될 예정이다. 한편 청산 등 보이스피싱과 무관한 사유로 즉시 출금이 필요한 정상 이용자는 예외가 허용돼 불편을 줄인다는 방침이다.

법도 바뀌었다. 개정 통신사기피해환급법은 2026년 3월 12일 국회 본회의를 통과했다. 가상자산거래소가 거래 목적을 확인하고 의심 자금을 상시 감시하며, 범죄가 의심되면 계정을 지급정지한 뒤 환급을 지원해야 한다. 구제 대상 자산도 ‘금전’에서 가상자산까지 넓어졌다.

시행일은 확인이 필요하다. 금융위는 10월 1일 시행을 예정했지만 국가법령정보센터 본문에는 시행일이 2026년 10월 2일로 표기돼 있다. 세부 조문은 법령정보센터에서 직접 확인하는 편이 안전하다.

환급은 자동으로 전액 보장되는 절차가 아니다. 피해자산이 이미 출금·세탁된 경우에는 수사와 환급 절차가 별도로 진행된다. 결국 피해를 줄이는 가장 확실한 방법은 송금 직후 은행·거래소·경찰에 동시에 신고하는 것이다.