거래소에 10년 묶였던 피싱 피해금 263억, 1137명에게 돌아갔다

10년 가까이 거래소에 잠겨 있던 피싱 피해금은 왜 주인을 못 찾았나?

서울경찰청 광역수사대가 국내 5대 가상자산거래소에 동결돼 있던 보이스피싱 피해금 약 263억원을 피해자 1137명에게 돌려줬다. 2017년부터 쌓여온 돈이다. 거래소는 범죄 피해금이라는 사실을 알고도 피해자가 누구인지 몰라 동결만 걸어둔 채 보관해 왔다. 은행과 거래소 사이에 피해자 정보를 주고받을 법적 근거가 없었던 탓이다. 10월 1일 개정 통신사기피해환급법이 시행되면서 이 사각지대가 처음으로 메워진다.

crypto-exchange-phishing-refund-263-infographic

은행 계좌라면 3일 안에 멈추는데 거래소는 왜 달랐나?

보이스피싱 피해금이 은행 계좌로 흘러들면 절차가 정해져 있다. 피해자가 신고하면 해당 계좌가 지급정지되고 은행끼리 정보를 공유해 피해자를 특정한 뒤 환급한다. 2011년 제정된 통신사기피해환급법이 만든 구조다. 문제는 이 법의 적용 대상이 '금융회사'로 한정돼 있었다는 점이다. 가상자산거래소는 피해자의 구제 신청을 받을 근거도, 다른 금융사에서 피해자 정보를 넘겨받을 근거도, 환급금을 지급할 근거도 없었다. 그래서 거래소들은 자체 약관을 근거로 의심 계정을 동결하는 데서 멈췄다. 돈은 거래소 안에 있는데 누구에게 줘야 할지 알 수 없는 상태가 수년씩 이어졌다.

Korea's 2011 phishing refund law applied only to "financial companies," leaving crypto exchanges without any legal basis to identify victims or release frozen funds. Exchanges froze suspicious accounts under their own terms of service, then had nowhere to send the money.

경찰은 어떻게 1137명의 주인을 찾아냈나?

서울경찰청 광역수사단 광역수사대는 2023년 9월 국내 5대 거래소와 피싱 대응책을 협의하다 이 방치된 자금의 규모를 처음 파악했다. 이후 거래소 전자지갑 1050개와 연결 은행계좌 16만여 개의 자금 흐름을 역추적해 피해자를 특정하고, 그 명단을 거래소에 공유하는 방식으로 환급을 진행했다. 법이 막아둔 정보 공유를 수사권으로 우회한 셈이다. 거제도에서 지게차 기사로 일하는 강모씨는 2025년 5월 은행 직원을 사칭한 전화에 속아 3400만원을 송금했다. 가족과 지인에게 빌린 돈이었다. 신용불량자가 된 뒤 신고했지만 돈은 이미 거래소 연결 계좌로 빠져나간 상태였다. 그는 이번에 절반가량인 1500만원을 돌려받았다.

Seoul police traced 1,050 exchange wallets and roughly 163,000 linked bank accounts to match frozen funds to victims, then handed the list to exchanges. Investigative authority was used to route around what the law forbade.

숫자는 무엇을 말하는가?

환급 규모는 263억7600만원, 수혜자는 1137명이다. 1인당 평균 2300만원 수준이다. 같은 기간 통계는 더 어둡다. 2025년 국내 보이스피싱 피해액은 1조2578억원으로 역대 최대였다. 2023년 4472억원의 2.8배, 2024년 8545억원보다 47.2% 늘었다. 건당 피해액은 5384만원까지 뛰어 최근 10년 최대치를 찍었고 기관사칭형이 전체 피해액의 78.6%인 9884억원을 차지했다. 이번 환급액 263억원은 한 해 피해액의 2% 수준에 불과하다. 회수되지 못한 돈도 있다. 동결 기간 최대 6개월이 지나 잠금이 풀린 사실을 통보받은 계정 명의자 130명이 피해자에게 돌아가야 할 30억4000만원을 임의로 처분했다. 경찰은 이들에게 범죄수익은닉규제법 위반 혐의를 적용해 수사 중이다.

Police returned 26.37 billion won to 1,137 victims — about 2% of the 1.26 trillion won Korea lost to phishing in 2025, a record high. Meanwhile 130 account holders cashed out 3.04 billion won after freeze periods expired.

10월 1일부터 무엇이 바뀌는가?

개정 통신사기피해환급법은 가상자산사업자를 금융회사 범위에 포함시킨다. 지급정지 대상이 사기이용계좌에서 거래소의 사기이용계정까지 넓어지고 금전뿐 아니라 가상자산 자체도 환급 자산이 된다. 피해자는 거래소로부터 피해금 입금 사실을 통지받고 직접 환급을 요청할 수 있다. 시행령은 환급 형태까지 정했다. 금전이면 금액 단위로, 가상자산이면 종류와 수량 단위로 지급하고 탈취 자산과 남은 자산의 형태가 다르면 지급정지 시점 기준을 따른다. 거래소 계정이 없는 피해자를 위해 가상자산을 매도해 현금으로 지급하는 전담기관도 지정된다. 업비트·빗썸·코인원·디지털엑스·고팍스는 24시간 신고 핫라인과 지급정지 전산시스템을 준비했고 8월부터는 금융보안원 플랫폼 ASAP으로 사기 의심정보를 공유하고 있다. 국외 사정도 비슷한 방향이다. 체이널리시스는 2025년 전 세계 가상자산 사기 피해를 최소 140억달러로 집계하며 최종 170억달러를 넘길 것으로 봤다. 기관·인물 사칭형 사기는 1400% 넘게 늘었다. 미국 FBI는 IC3 자산회수팀이 2025년 3900건의 차단 조치로 6억7900만달러를 동결했다고 밝혔다. 피해 규모가 커지는 속도를 제도가 따라잡느냐가 관건이다.

From October 1, crypto exchanges count as financial institutions under the amended law: accounts can be frozen, crypto itself can be refunded, and a designated agency will liquidate tokens for victims without exchange accounts. Chainalysis put 2025 global crypto scam losses at $14 billion and rising.

수사권으로 메운 구멍을 제도가 이어받을 수 있을까?

이번 환급의 진짜 주인공은 법이 아니라 사람이었다. 2023년 9월 거래소와 마주 앉은 수사팀이 "여기 주인 없는 돈이 쌓여 있다"는 사실을 알아챘고 그때부터 전자지갑 1050개와 은행계좌 16만여 개를 손으로 엮어 1137명의 얼굴을 찾아냈다. 법이 정보 공유를 금지한 자리를 수사권이 대신 채운 것이다. 성과는 분명하지만 이런 방식이 지속 가능하지는 않다. 광역수사대 한 팀이 2년을 들여 263억원을 추적했는데 같은 기간 한 해 피해액은 1조2578억원이었다. 규모의 격차가 구조의 한계를 그대로 드러낸다.

그래서 10월 1일 시행되는 개정법의 의미는 '이제야'라는 말에 있다. 가상자산이 범죄 자금의 통로로 쓰인다는 지적은 수년간 반복됐다. 은행 계좌의 지급정지가 촘촘해지자 범죄 조직이 다음 통로를 찾았다는 것은 업계에서 상식이었다. 그런데 법 개정은 2026년 3월에야 이뤄졌다. 그사이 거래소 금고에 잠긴 돈은 주인을 모른 채 쌓였고 동결 6개월이 지난 30억4000만원은 사기 계정 명의자들의 손으로 빠져나갔다. 제도 지체의 비용을 피해자가 치른 셈이다.

남은 과제도 뚜렷하다. 첫째는 속도다. 개정법이 정보 공유의 문을 열었지만 실제 환급까지 걸리는 시간은 거래소 전산시스템과 전담기관의 처리 역량에 달렸다. 24시간 핫라인은 신고 창구일 뿐 환급 속도를 보장하지 않는다. 둘째는 오탐이다. 가상자산은 가격이 실시간으로 변하는 자산이어서 부당한 지급정지는 은행 계좌보다 큰 손실로 번진다. 시행령이 지급정지 시점의 자산 형태를 기준으로 삼은 것은 합리적이지만 정지 자체가 잘못됐을 때 피해자의 회복 경로는 여전히 촘촘하지 않다. 셋째는 국경이다. 체이널리시스가 집계한 전 세계 사기 피해 140억달러의 상당 부분은 미얀마와 캄보디아의 사기 단지에서 나온다. 국내 5대 거래소를 묶어둔다고 해서 해외 거래소나 개인 지갑으로 흘러간 돈이 돌아오지는 않는다. 이번 환급이 성공 사례로 기록되려면 다음 1조원의 행방을 찾는 도구가 함께 만들어져야 한다.

The real engine of this refund was investigative legwork, not statute — one police unit spent two years tracing 26.3 billion won while annual losses ran to 1.26 trillion. The October law finally closes the information-sharing gap, but speed of payout, wrongful freezes on volatile assets, and money that already left for offshore wallets remain unsolved.

자주 묻는 질문

Q. 과거에 당한 피해도 환급 대상인가요?

이번 263억원 환급은 2017년부터 2025년 8월까지 거래소에 동결된 자금을 대상으로 한 경찰 수사의 결과입니다. 10월 1일 이후에는 법에 따른 정식 절차로 신청할 수 있게 됩니다. 거래소에 자신의 피해금이 동결돼 있는지 궁금하다면 경찰에 접수된 사건번호를 근거로 수사기관과 거래소에 확인을 요청하는 것이 우선입니다.

Q. 가상자산 계정이 없어도 돌려받을 수 있나요?

가능합니다. 시행령은 가상자산을 매도하고 그 대금을 금전으로 지급하는 업무를 맡을 전담기관을 별도로 지정하도록 했습니다. 코인을 거래한 적이 없는 피해자도 현금으로 받을 수 있게 설계된 조항입니다.

Q. 동결된 돈이 항상 전액 돌아오는 것은 아닌가요?

그렇습니다. 강씨 사례처럼 송금액 3400만원 중 1500만원만 회수된 경우가 많습니다. 범죄 조직이 피해금을 여러 계좌와 지갑으로 쪼개 옮기는 과정에서 일부가 이미 인출되기 때문입니다. 동결 기간이 끝난 뒤 계정 명의자가 임의로 처분한 30억4000만원도 회수가 어려워진 돈입니다.

Q. 거래소가 지급정지를 잘못 걸면 어떻게 되나요?

개정법은 거래소에 금융회사와 같은 의무를 부과하는 만큼 이의제기 절차도 함께 적용됩니다. 다만 은행 계좌와 달리 가상자산은 가격이 수시로 변동하므로 지급정지 시점의 자산 형태를 기준으로 환급하도록 정해 분쟁 여지를 줄였습니다.