두 번 해킹당한 거래소가 남긴 채권 239억원

손실을 회원 전원에게 나눠 물렸다

2017년 4월 22일 새벽, 가상자산 거래소 야피존의 비트코인 보관 지갑 4개가 뚫렸다. 빠져나간 물량은 3,831비트코인, 당시 시세로 약 55억원이었다. 운영사는 (주)야피안이었다.

회사가 택한 처리 방식이 이 사건의 핵심이다. 야피존은 탈취액이 회원 총자산의 37.08%라고 밝힌 뒤, 모든 회원의 잔고에서 37.08%를 일률적으로 차감했다. 계정에 1,000만원이 있던 사람은 그 자리에서 370만 8,000원이 사라졌다. 회사 자본으로 메우지 않고 이용자가 나눠 부담한 것이다.

차감분에 대해서는 회사가 자체 발행한 토큰을 지급하고 나중에 갚겠다고 했다. 이 방식은 2016년 홍콩 거래소 비트피넥스가 해킹 뒤 회원 잔고를 36.1% 깎은 선례와 같다. 당시 국내에는 이런 처리를 막을 규정이 없었다.

이용자 입장에서 벌어진 일은 단순하다. 거래소 시스템에서 사고가 났는데 그 손실이 자기 계정에서 빠져나갔다. 은행 예금이라면 예금자보호법에 따라 1인당 5,000만원까지 보호되지만, 가상자산 거래소 계정은 그 대상이 아니었다.

이름을 바꾸고 8개월 뒤 다시 뚫렸다

야피안은 2017년 10월 16일 서비스 이름을 유빗(Youbit)으로 바꿨다. 1차 해킹 사건은 경찰 수사가 진행 중이었지만, 영업은 중단 없이 이어졌다. 당시 가상자산 거래소는 인허가 대상이 아니어서 이름을 바꾸는 데 어떤 심사도 필요하지 않았다.

2017년 12월 19일 새벽 4시 35분, 두 번째 해킹이 발생했다. 인터넷에 연결된 출금용 지갑에서 코인이 빠져나갔다. 회사는 전체 자산의 약 17%가 손실됐다고 공지했다. 당시 시세로 약 172억원이다.

유빗은 같은 날 오후 2시를 기준으로 모든 코인과 현금의 입출금을 정지하고 파산 절차를 진행한다고 밝혔다. 회원 자산의 75%를 먼저 돌려주고 나머지는 보험금과 회사 매각 대금으로 처리하겠다고 했다. 국가정보원은 2017년 국내 거래소를 겨냥한 일련의 해킹을 북한 해커 조직의 소행으로 판단하고 증거를 검찰에 제공했다고 2018년 2월 국회 정보위원회에 보고했다.

보험금 30억원도 받지 못했다

유빗은 2017년 12월 1일 DB손해보험의 사이버종합보험에 가입했다. 보험료는 2억 5,000만원, 보장 한도는 30억원이었다. 가입 18일 뒤에 해킹이 발생했다.

DB손해보험은 2018년 3월 재보험사와 함께 조사한 결과 계약 체결 당시 가입자가 알려야 할 사항을 제대로 알리지 않았다는 이유로 보험금 지급을 거절했다. 유빗 측은 고지의무를 다했다며 반박하고 법적 대응을 예고했다.

설령 30억원을 받았더라도 172억원 손실을 메울 수는 없었다. 당시 거래소들이 든 보험은 대부분 보장 한도가 30억원 안팎이었고, 보장 범위도 개인정보 유출 배상에 가까웠다. 코인 자체의 도난을 전액 보상하는 상품은 없었다.

약속했던 75% 우선 지급도 그대로 이행되지 않았다. 파산을 공지한 뒤 회사는 절차를 진행하는 대신 거래소 매각을 추진했고, 이용자 자산은 그 사이 묶여 있었다. 피해자들은 운영사 사무실 앞에 모여 지급 계획을 요구했다.

인수한 회사도 파산했다

유빗 영업은 코인빈이라는 회사가 넘겨받아 2018년 3월 다시 문을 열었다. 야피존에서 유빗으로, 유빗에서 코인빈으로 영업이 이어졌다.

코인빈은 2019년 2월 파산을 신청했다. 이번에는 외부 해킹이 아니라 내부 임원이 비트코인 지갑의 개인키를 다루는 과정에서 자산이 동결된 것이 원인으로 지목됐다. 회원은 약 4만명, 피해 규모는 약 293억원으로 추산됐다.

법원은 2019년 11월 5일 파산을 선고했다. 2020년 1월 기준 확정 채권액은 약 239억 9,600만원, 신고 채권자는 882명이었다. 파산재단에 귀속된 금액은 약 10억원이었다. 야피존에서 시작된 절차는 그렇게 끝났다.