77.

[사례분석] 가상자산 거래소 해킹 손해배상: 유출된 코인과 거래중지된 코인에 대한 각 손해의 구분과 액수 산정 기준시점

• 공유하기
• 새 탭 열기
• 작성 이력 보기

<핵심 요약>
가상자산 거래소 해킹 사고로 이용자가 예치한 가상화폐가 유출되고 서비스가 중단된 경우, 거래소는 계약상 반환의무 위반에 따른 손해배상책임을 부담한다. 법원은 유출된 가상자산에 대해서는 이행불능 손해를, 해킹되지 않았으나 거래가 중단된 자산에 대해서는 자유로운 처분 기회 상실로 인한 이행지체 손해를 각각 명확히 구분하여 인정하였다. 나아가 유출된 가상자산의 손해액은 유출일의 개장 당시를 기준으로, 거래중단된 가상자산의 사고 발생 당시의 객관적 시세를 기준으로 산정해야 한다고 판단하였다.

자세한 기본 법리는 아래 위키들을 참고하십시오.

• [사례분석] 가상자산 거래소해킹 사고의 법적 책임: 채무불이행에 따른 거래소의 귀책사유 및 손해배상액 산정 기준
• 해킹에대한 가상자산 거래소 법적 책임
• 암호화폐 거래소와 이용자 법률관계
• 이행지체(이행이 늦는 것)와 이행불능(이행을할 수 없는 것)은 어떻게구별할까?

1. 거래소 해킹 사고에 따른 가상자산 유출과 거래 중단의 발단

이 사건의 원고는 피고가 운영하는 국내 가상화폐 거래소 코인레일에 계정을 개설하고 비트코인 등 다수의 가상자산을 예치한 상태에서 정상적으로 서비스를 이용하고 있었다. 피고 거래소는 이용자가 예치한 가상화폐를 자체적으로 관리하는 전자지갑 시스템에 보관하면서, 출금 요청 시 동일한 종류와 수량의 가상자산을 반환하는 방식으로 운영되었다.

그러던 중 피고 거래소는 대규모 해킹 사고를 당하여 막대한 수량의 가상화폐를 유출당했다. 피고 거래소는 사고 직후 모든 거래를 중단하고 서비스 점검에 돌입했으며, 이후 상당 기간 동안 이용자들의 정상적인 가상자산 거래 및 출금이 전면적으로 제한되었다.

이후 피고 거래소는 서비스를 재개했지만 원고가 보유하던 비트코인 중 해킹으로 유출된 물량은 반환되지 않았고, 유출되지 않은 나머지 비트코인만 제한적으로 출금할 수 있었다. 즉 원고는 일부 비트코인은 유출된 동시에 피고 거래소로부터 반환도 받지 못하였고(이행불능으로 인한 손해 발생), 일부 비트코인은 유출되지 않았지만 피고 거래소의 거래중단 기간 동안 그 거래가 차단(이행지체로 인한 손해 발생)된 것이었다. 이에 원고는 ① 반환의무가 이행불능된 유출된 비트코인의 시가 손해와 ② 환전할 수 있는 기회가 지체됨에 따른 미유출 코인에 대한 시가 하락분 손해(해킹사고가 있었던 날과 해킹으로부터 복구된 날 사이의 시가 차액)의 배상을 청구하는 소를 제기하였다.

2. 반환 채무불이행에 따른 귀책사유와 손해액 산정 쟁점

• 가. 가상자산 반환의무의 법적 성질과 이행불능 성립 여부
  
  가상화폐 거래소가 이용자의 예치 자산을 보관하고 반환할 의무가 단순한 중개 책임을 넘어 민법상 한정종류채무에 해당하는지가 중요한 쟁점이다. 해킹으로 인하여 동일한 종류와 수량의 가상자산을 즉시 반환하지 못한 상황이 계약상 이행불능에 해당하는지 여부를 두고 다툼이 발생하였다.

• 나. 미유출 가상자산의 거래 중단에 따른 이행지체 인정 여부
  
  해킹으로 직접 유출되지 않은 가상화폐라 하더라도 거래소 서비스가 장기간 중단되어 이용자가 이를 적시에 출금하거나 매도하지 못한 상황이 문제되었다. 원고는 자유로운 처분 기회 상실에 따른 경제적 이익 상실이 계약상 이행지체로 인한 손해에 해당한다고 주장하였다.

• 다. Q: 가상자산 거래소가 외부 보안 점검을 성실히 이행했다면 해킹에 대한 귀책사유를 면할 수 있을까?
  
  거래소가 사전에 외부 보안 컨설팅과 전문 기관의 점검을 받았다는 사실만으로는 전자금융거래법 등에 따른 선량한 관리자로서의 주의의무를 다했다고 단정하기 어렵다. 해킹 사고가 전적으로 거래소가 관리하는 서버와 전자지갑 영역에서 발생한 이상, 특별한 사정이 없는 한 보안 관리 소홀에 따른 귀책사유가 추정되므로 단순한 사전 점검 이력만으로 책임을 면할 수는 없다.

• 라. 유출 자산의 손해배상액 산정 기준 시점 다툼
  
  가격 변동성이 극심한 가상자산의 특성상 채무불이행에 따른 손해액을 어느 시점의 시세로 산정할 것인지가 핵심적으로 대립하였다. 유출 코인 반환의 이행불능에 대한 손해배상액 산정 기준 ‘일자’를 해킹 발생 당일로 해야 한다는 점, 미유출 코인 반환의 이행지체에 대한 손해배상액 산정 기준 ‘기간’을 해킹 발생으로 인한 운영 중단일부터 운영 재개일까지로 해야 한다는 점에 대해서는 큰 이견이 없었다. 그런데 해킹 사고가 있었던 ‘시점’과 서비스 운영이 재개된 ‘시점’이 모두 거래소의 ‘개장 시점’에 인접해 있었으며, 때문에 원고는 각 일자의 개장 당시 시세를 기준으로 산정해야 한다고 주장한 반면, 피고는 개장 당시 시가가 아니라 해당 일자의 시작가격과 종가를 평균한 가격을 기준으로 삼아야 한다고 주장했다.

3. 한정종류채무 법리에 따른 이행불능 및 이행지체 손해 판단

• 가. 한정종류채무 유사성에 기초한 이행불능 책임 인정
  
  법원은 비트코인 등 가상화폐가 그 자체로 고유성이 문제되는 특정물이 아니라, 동일한 종류와 수량을 반환하면 되는 한정종류채무와 유사한 성격을 지닌다고 판단하였다. 따라서 해킹 이후 피고가 원고에게 예치된 자산을 반환하지 못한 상태는 민법 제390조에 따른 확정적인 이행불능에 해당하며 이에 따른 손해배상책임이 성립한다.

• 나. 처분 기회 상실에 대한 이행지체 손해배상 책임 인정
  
  법원은 유출되지 않은 비트코인에 대해서도 거래소 운영이 중단된 기간 동안 반환의무 이행이 지체되었다는 점을 명확히 인정하였다. 원고가 자유롭게 가상자산을 거래하지 못하여 원래 얻을 수 있었던 시세차익 등의 경제적 이익을 잃게 된 점을 채무불이행에 따른 별도의 이행지체 손해로 판단한 것이다.

• 다. Q: 동일한 해킹 사고에 대해 선행 확정판결이 존재하는 경우 본 사건에서 거래소의 귀책사유 판단에 어떤 영향을 미치는가?
  
  법원은 동일한 해킹 사고를 다룬 서울고등법원 2022. 10. 20. 선고 2021나2047876 판결 등 선행 확정판결에서 확립된 귀책사유 판단 논리를 본 사건에도 일관되게 적용하였다. 피고가 외부 보안 점검을 이행했다는 주장은 이미 선행 판결에서 배척된 바 있으며, 해킹이 피고의 내부 관리 영역에서 발생한 이상 선행 판결의 법리에 따라 본 사건에서도 거래소의 귀책사유가 명확히 인정되었다.

• 라. 사고 발생 당시 객관적 시세를 반영한 손해액 산정
  
  손해배상액의 산정에 있어서 법원은 원고의 핵심 주장을 모두 수용하였다. 
  
  ① 유출 코인 반환의 이행불능에 대한 손해배상액 산정 기준 ‘일자’는 해킹 발생 당일로 하고, 미유출 코인 반환의 이행지체에 대한 손해배상액 산정 기준 ‘기간’은 해킹 발생으로 인한 운영 중단일(이 사건에서는 이 날이 해킹 발생일과 동일하였음)부터 운영 재개일까지로 하며,
  
  ② 해킹 사고가 있었던 ‘시점’과 서비스 운영이 재개된 ‘시점’이 모두 거래소의 ‘개장 시점’에 인접하거나 개장 시점이었으므로 비트코인의 시가를 시작가+종가의 평균이 아니라 각 개장 당시를 기준으로 삼는 것이 타당하다고 판단하였다.
  
  관련 선행확정판결인 서울고등법원 2022. 10. 20. 선고 2021나2047876 판결에서도 채택된 객관적 기준을 그대로 적용함으로써, 피고의 자의적인 시세 기준 주장을 배척하고 일관성 있는 손해액 산정 법리를 도출한 것이다.

※ 관련 법률 인사이트

관련 사례에 대한 변호사의 실제 사건 수행 전략은 아래 법률 인사이트에서 더 깊이 있게 확인할 수 있습니다.

• [성공 사례] 가상자산 거래소 코인레일 해킹 배상 인정 - 유출 및 거래 중단 손해 청구 인용

4. 관련 법규 및 판례