핫월렛에서 이더리움 34만 2,000개가 나갔다

2019년 11월 27일 오후 1시 6분

업비트의 이더리움 핫월렛에서 이더리움 34만 2,000개가 한 번에 외부 지갑으로 이체됐다. 핫월렛은 입출금을 즉시 처리하기 위해 인터넷에 연결해 두는 지갑이고, 콜드월렛은 인터넷과 분리해 보관하는 지갑이다.

두나무는 사고를 확인한 뒤 남은 핫월렛 자산을 콜드월렛으로 옮기고 모든 입출금을 중단했다. 유출된 금액은 회사 자산으로 메웠다. 이용자 장부상 손실은 발생하지 않았다.

당시에는 가상자산 거래소를 규율하는 법이 없었다. 사업자 신고 의무를 담은 특정금융정보법 개정 내용은 2021년 3월에야 시행됐고, 이용자 자산 보호를 규정한 가상자산이용자보호법은 2024년 7월에 시행됐다. 2019년의 보전은 제도가 아니라 회사의 선택이었다.

업비트는 사고 당일 오후 1시 6분에 유출을 인지했다. 이용자 공지는 그 뒤에 나왔다. 인지와 공지 사이의 시간 차이는 6년 뒤 사고에서 다시 문제가 됐다.

5년 뒤에 나온 수사 결과

경찰청 국가수사본부는 2024년 11월 21일 수사 결과를 발표했다. 북한 정찰총국 산하 라자루스와 안다리엘이 함께 관여한 것으로 판단했다. 그전까지 라자루스는 정부기관과 금융기관을, 안다리엘은 국방 분야를 주로 노렸는데 두 조직이 가상자산 거래소를 함께 공격한 사례로 확인됐다.

탈취된 이더리움 가운데 57%는 북한이 직접 만든 교환 사이트 세 곳에서 시세보다 낮은 값에 비트코인으로 바뀌었다. 나머지는 해외 51개 거래소로 나눠 보내졌다. 자금의 흐름을 추적하기 어렵게 만드는 방식이다.

회수는 거의 이뤄지지 않았다. 2024년 스위스 당국의 협조로 돌려받은 금액은 3억 6,553만원 상당이다. 발표 시점 시세로 환산한 피해액 약 1조 4,000억원과 비교하면 극히 일부다. 가상자산은 국경을 넘어 이동하고, 받는 쪽 거래소가 협조하지 않으면 그 자리에서 추적이 끊긴다.

제재는 해킹이 아니라 자금세탁 쪽에서 왔다

금융정보분석원은 2024년 두나무에 대한 자금세탁방지 현장검사를 했고, 2025년 2월 25일 제재를 통보했다. 영업 일부정지 3개월, 대표이사 문책경고, 임직원 10명에 대한 신분 제재다. 영업정지 기간은 2025년 3월 7일부터 6월 6일까지였고, 신규 고객의 가상자산 이전을 금지하는 내용이었다. 해킹 자체를 이유로 한 제재는 없었다.

적발된 위반은 미신고 가상자산사업자와의 거래금지 의무 위반 약 4만 5,000건, 고객확인의무 위반 약 530만건, 거래제한의무 위반 약 330만건, 의심거래 미보고 15건이다. 2025년 11월 과태료 352억원이 부과됐고 두나무는 2026년 2월 9일 이의신청을 냈다.

두나무는 영업정지 처분에 대해 행정소송을 냈고 2026년 4월 서울행정법원에서 승소했다. 비슷한 시기 빗썸도 같은 유형의 위반으로 영업 일부정지 6개월과 과태료 368억원을 받았다. 감독당국의 제재가 법원에서 잇달아 취소되면서 제재 기준 자체가 논란이 됐다. 과태료 부과와 이의신청 절차는 2026년에도 진행 중이다.

6년 뒤 같은 날

2025년 11월 27일 업비트에서 다시 자산이 유출됐다. 솔라나 네트워크 계열 가상자산이며 피해 규모는 445억원으로 발표됐다. 2019년 사고와 날짜가 같다.

두나무는 자체 온체인 추적 서비스로 출금 자산을 따라가 약 26억원을 동결했고, 회원 피해자산 386억원은 회사 자산으로 전액 보전했다고 밝혔다. 다만 사고를 인지한 뒤 이용자에게 공지하기까지 7시간 51분이 걸렸다는 지적이 나왔다. 두 사고 모두 손실을 회사가 부담했다는 점도 같다.

2019년과 달리 이번에는 적용할 법이 있다. 가상자산이용자보호법은 사업자에게 이용자 가상자산의 경제적 가치 80% 이상을 콜드월렛에 보관하고, 해킹과 전산장애에 대비해 보험에 가입하거나 준비금을 적립하도록 하고 있다. 금융감독원은 검사에 착수했다. 검사 결과에 따라 과징금이나 영업정지가 부과될 수 있다.