가상자산 보이스피싱 환급 자동 아니다…통신사기피해환급법 개정안 10월 시행 예정

가상자산을 이용한 보이스피싱은 출금 지연 제도가 있어도 피해자가 신고를 미루면 돈이 빠져나갈 길이 열려 있다. 금융위원회는 거래소 답변을 기다린 뒤 신고하지 말고 은행·거래소·경찰에 동시에 접수하라는 취지의 대응 요령을 제시했다. 이미 송금했다면 누구에게 먼저 무엇을 알려야 하는지, 신고 때 어떤 자료를 챙겨야 하는지 순서대로 정리했다.

사기는 세 단계로 진행된다

금융위에 따르면 가상자산 보이스피싱은 대체로 세 단계다. 1단계에서 범죄자는 수사기관·금융기관·가족을 사칭한다. “계좌가 범죄에 연루됐다”거나 “안전계좌로 옮겨야 한다”고 압박하거나, 문자·메신저로 거래소 접속을 유도한다.

2단계에서는 피해자가 은행 계좌에서 거래소 연계계좌로 돈을 보내게 만든다. 그 뒤 범죄자가 거래소 계정에서 그 돈으로 가상자산을 산다. 3단계에서는 가상자산을 다른 지갑이나 해외 사업자로 전송해 추적을 어렵게 한다.

금융위가 공개한 이체경로 설명도도 같은 흐름이다. 피해금은 사기범 명의의 거래소 연계 은행계좌로 들어가 거래소 모계좌로 넘어간다. 이어 거래소 안의 사기범 계정에서 가상자산 매수로 바뀐다. 마지막으로 다른 거래소나 개인지갑으로 출금된다. 출금 지연 제도는 이 마지막 관문에서 신규 이용자 등의 출금을 일정 시간 묶어 두는 장치다. 운영은 거래소 자율에 맡겨져 있다.

그래서 시간이 곧 변수다. 금융위는 지연 시간이 길어질수록 자산이 여러 주소로 분산될 가능성이 커진다고 설명했다. 출금 지연이 걸려 있더라도 신고를 뒤로 미루면 안 되는 이유다.

이미 송금했다면: 은행, 거래소, 경찰 순으로 동시에

첫째는 은행이다. 송금한 은행에 즉시 지급정지를 요청해야 한다. 금융위 설명도에 따르면 피해자가 지급정지를 신청하면 통신사기피해환급법에 따라 사기범의 거래소 연계 은행계좌와 거래소 모계좌가 연쇄적으로 지급정지된다. 거래소 모계좌는 피해금만큼만 일부 지급정지된다. 거래소 안의 사기범 계정도 연계은행의 요청에 따라 거래소가 자체적으로 이용을 중지시킨다.

둘째는 거래소 고객센터다. 거래소 계정, 입금 시각, 자산 종류, 지갑주소를 알려 출금과 이전 거래를 중지해 달라고 요청한다. 지갑주소는 가상자산을 주고받는 계좌번호에 해당하는 문자열이다. 이 정보가 구체적일수록 거래소가 해당 계정을 특정하기 쉽다.

셋째는 수사기관 신고다. 경찰청 112나 전기통신금융사기 통합신고대응센터에 접수한다. 금융위는 세 곳을 차례로 기다리지 말고 한꺼번에 접수하라고 안내했다. 은행 처리가 끝나야 거래소에 연락하는 식으로 움직이면 그만큼 시간을 잃는다.

통화 중이라면 거래소 직원이라는 말을 믿지 않는 것도 기본이다. 거래소 직원이라도 전화로 비밀번호·인증번호·시드문구를 요구하면 사기로 보고 통화를 끊어야 한다. 시드문구는 지갑을 복구할 때 쓰는 단어 조합으로, 알려 주면 지갑 통제권을 넘기는 것과 같다.

링크를 눌렀거나 앱을 깔았다면, 그리고 신고 때 남겨둘 자료

문자 링크를 눌렀거나 악성 앱을 설치했다면 KISA 118에 신고해야 한다. 금융위는 이어서 휴대전화 전원을 분리한 뒤 금융앱 비밀번호를 다른 기기에서 변경하라고 안내했다. 감염된 휴대전화에서 비밀번호를 바꾸면 그 입력값이 그대로 새어 나갈 수 있다는 점을 고려한 순서다.

신고할 때는 증거를 지우지 말고 보존해야 한다. 금융위가 꼽은 목록은 대화방 원본, 발신번호, 송금확인증, 거래소 주문내역, 트랜잭션 해시, 상대방 지갑주소다. 트랜잭션 해시는 블록체인에 기록된 개별 전송의 고유 번호다. 이 번호가 있으면 가상자산이 어느 주소로 옮겨졌는지 따라가기 쉽다.

대화방을 나가거나 계정을 삭제하는 행동은 피하는 편이 안전하다. 사기범과 나눈 메시지와 통화 기록이 수사와 환급 절차의 기초 자료가 되기 때문이다. 거래소 앱의 주문내역 화면도 닫기 전에 캡처해 두는 것이 좋다.

환급은 자동이 아니다…법 개정으로 달라지는 점

피해환급이 전액 자동으로 보장되는 절차는 아니다. 금융위 설명으로는 피해자산이 이미 출금·세탁된 경우 수사와 환급 절차가 별도로 진행된다. 초기 대응이 중요한 이유가 여기에 있다.

제도 환경은 바뀌고 있다. 금융위에 따르면 기존에는 거래소가 보이스피싱 의심거래를 탐지하고 계정을 정지할 법적 근거가 충분하지 않았다. 2025년 5월부터 출금 지연 제도가 운영됐다. 2026년 4월에는 예외 출금 고객에 대한 사후관리와 집중 모니터링을 포함한 강화된 표준내규가 시행됐다.

통신사기피해환급법 개정안은 2026년 3월 12일 국회 본회의를 통과했다. 거래소도 은행·증권사 같은 금융회사와 동일한 보이스피싱 방지·피해구제 의무를 진다. 가상자산 거래 목적을 확인하고 의심 자금 유통을 상시 감시해야 한다. 범죄가 의심되면 즉시 해당 계정을 지급정지하고 피해자의 환급을 지원해야 한다. 2025년 10월부터 운영 중인 보이스피싱 정보공유·분석 AI 플랫폼 ASAP에도 의심 거래 정보를 공유한다.

피해자 구제 범위도 넓어졌다. 구제 대상 자산이 ‘금전’에서 ‘가상자산’까지 확대돼 가상자산을 직접 탈취당한 경우도 포함된다. 범죄자가 피해자의 현금을 가상자산으로 바꾼 경우에도 환급이 가능해진다. 피해자가 원하면 거래소가 환급 대상 가상자산을 매도해 현금으로 지급할 수 있는 근거도 새로 생겼다.

금융위는 개정안이 법률 공포 6개월 후인 2026년 10월 시행될 예정이라고 밝혔다. 국가법령정보센터의 해당 법령 페이지에는 시행일이 2026년 10월 2일로 표기돼 있다. 금융위·금융감독원은 정상 이용자의 불편을 줄이기 위해 청산 등 보이스피싱과 무관한 사유로 즉시 출금이 필요하면 출금 지연 예외를 허용할 계획이라고 밝혔다.