코인체크(Coincheck) 5300억원대 NEM 해킹 사건

2018년 1월 26일 오전 2시57분(일본 현지시간) 정체불명의 해커가 일본 최대 가상자산 거래소 코인체크의 시스템에 침투해 이용자들이 예치한 NEM(XEM) 코인 약 5억2300만개를 외부 계좌로 빼돌렸다. 피해 규모는 당시 시세로 580억엔, 약 5억3000만달러에 달해 2014년 마운트곡스 사건을 넘어서는 세계 최대 규모의 거래소 해킹으로 기록됐다. 코인체크는 업계 관행과 달리 대량의 NEM을 인터넷과 분리된 콜드월렛이 아닌 인터넷에 상시 연결된 핫월렛에 보관하고 있었으며, 다중서명(멀티시그) 등 기본적인 보안장치도 적용하지 않은 상태였다. 이후 조사에서 해커가 직원에게 발송한 악성 이메일을 통해 시스템에 침투한 것으로 드러났다. 이 사건으로 약 26만 명의 코인체크 이용자가 피해를 입었다.

이상 거래를 인지한 코인체크는 2018년 1월 26일 밤 긴급 기자회견을 열어 대규모 NEM 유출 사실을 공식 인정하고 전 이용자의 NEM 거래와 출금을 즉시 중단했다. 회사 경영진은 사과 기자회견에서 고개를 숙이며 피해 원인과 규모를 조사 중이라고 밝혔지만, 구체적인 보상 계획은 내놓지 못해 이용자들의 불안이 커졌다. 이 소식은 일본은 물론 전 세계 가상자산 시장에 즉각적인 충격을 줬으며 NEM을 비롯한 주요 코인 가격이 일제히 하락했다. 일본 금융청(FSA)은 사건 인지 직후 코인체크에 사실관계 보고를 요구하며 감독 절차에 착수했다. 이 사건은 순식간에 전 세계 주요 외신의 톱뉴스로 다뤄졌다.

코인체크는 2018년 1월 27일 NEM뿐 아니라 엔화 출금까지 전면 동결하며 사실상 서비스 전체를 마비시켰다. 언론들은 이번 사건의 피해액이 2014년 마운트곡스 해킹 당시 손실액(약 4억7000만달러)을 넘어서는 사상 최대 규모라고 일제히 보도했다. 이용자들은 자산을 인출하지 못한 채 발만 동동 구르며 회사 측의 보상 발표를 기다려야 했다. 일본 트위터 등 소셜미디어에서는 코인체크에 대한 집단소송 움직임과 규제 강화 요구가 빠르게 확산됐다. 이 사태는 일본 정부가 가상자산 거래소에 대한 감독을 대폭 강화하는 계기가 됐다.

NEM 재단은 2018년 1월 29일 탈취된 NEM이 다른 거래소에서 현금화되는 것을 막기 위해 해커의 지갑 주소에 추적용 태그(모자이크)를 부착하는 자체 개발 시스템을 가동했다고 밝혔다. 이 시스템은 태그가 찍힌 주소에서 나가는 자금을 추적해 주요 거래소들이 관련 거래를 차단할 수 있도록 경고하는 방식으로 설계됐다. NEM 재단은 전 세계 주요 거래소들에 태그가 확인된 주소로부터의 입금을 거부해 달라고 공식 요청했다. 그러나 해커는 태그가 붙기 전 짧은 시간 안에 자금을 여러 계좌로 반복 이체하는 수법으로 추적을 회피했다. 이 사건은 탈중앙화 네트워크에서 도난 자산을 추적하는 것이 얼마나 어려운지를 보여준 초기 사례로 남았다.

일본 금융청(FSA)은 2018년 2월 2일 도쿄 소재 코인체크 본사에 조사관을 파견해 현장 조사를 실시했다. 금융청은 자금결제법에 근거해 코인체크에 사건 경위와 원인, 이용자 보호 조치, 내부 관리체계 전반에 대한 자료 제출을 명령했다. 이는 일본 정부가 등록 가상자산 거래소에 대해 실시한 최초의 대규모 현장 조사로, 이후 다른 거래소들에 대한 감독 강화로 이어지는 신호탄이 됐다. 금융청은 조사 결과에 따라 행정처분 여부를 검토하겠다고 밝혔다. 코인체크는 당시 정식 등록업자가 아닌 'みなし(간주)업자' 지위로 영업 중이었다는 사실도 함께 논란이 됐다.

일본 금융청은 2018년 3월 8일 코인체크를 포함한 가상자산 거래소 7곳에 대해 업무개선명령을 내렸고, 이 중 2곳에는 일정 기간 영업정지 처분까지 내렸다. 코인체크에 대해서는 사건의 사실관계와 원인 규명, 이용자에 대한 적절한 보상, 리스크관리 체계 강화, 책임 소재 명확화 등을 요구했다. 금융청은 코인체크에 2018년 3월22일까지 구체적인 개선 계획을 제출하라고 지시했다. 이 조치에 따라 코인체크 최고경영자 와다 고이치로와 최고운영책임자 오쓰카 유스케는 이사직에서 물러났다. 이번 행정처분은 일본이 가상자산 거래소 규제를 세계에서 가장 엄격한 수준으로 강화하는 전환점이 됐다.

코인체크는 2018년 3월 12일부터 피해를 입은 이용자 약 26만 명에게 자체 자금으로 보상금을 지급하기 시작했다. 회사는 사건 당시 NEM 시세를 기준으로 1개당 88.549엔을 적용해 총 약 460억엔(당시 환율 기준 약 4200억원, 약 4억2000만달러) 규모를 이용자 계좌에 현금으로 입금했다. 이는 거래소가 해킹 피해를 전액 자체 부담으로 보상한 이례적인 사례로 평가받았으며, 코인체크의 자본력과 신뢰 회복 의지를 보여준 조치로 받아들여졌다. 그러나 일부 이용자들은 보상 기준가가 사건 발생 이전 최고가에 미치지 못한다며 불만을 제기하기도 했다. 이 보상은 이후 다른 거래소들의 해킹 사고 대응 기준으로 자주 인용됐다.

NEM 재단은 2018년 3월 18일부로 코인체크 해킹 자금에 대한 태깅 추적 시스템 가동을 중단한다고 발표했다. 재단은 해커가 다크웹 거래소 등을 통해 탈취한 NEM 대부분을 이미 현금화하거나 다른 자산으로 세탁한 것으로 보인다며 추적이 사실상 무의미해졌다고 설명했다. 태깅 시스템은 주소당 부착에 2~3분이 소요돼, 해커가 그보다 빠른 속도로 자금을 여러 계좌에 반복 분산시키면 무력화되는 구조적 한계가 있었다. 결국 탈취된 5억2300만개의 NEM 중 상당 부분이 회수되지 못한 채 사건이 사실상 미제로 남았다. 이는 가상자산 탈취 사건에서 신속한 국제 공조 수사 체계가 얼마나 중요한지를 일깨운 사례로 꼽힌다.

일본 온라인 증권사 모넥스그룹은 2018년 4월 6일 코인체크의 전체 주식을 약 36억엔(약 335억원, 3350만달러)에 인수한다고 발표했다. 해킹 사건으로 신뢰가 크게 추락한 코인체크는 독자 생존이 어렵다고 판단해 대형 금융그룹 산하로 편입되는 길을 택했다. 모넥스그룹은 인수 후 경영진을 전면 교체하고 보안 시스템과 내부통제 체계를 대대적으로 재정비하고 나섰다. 시장에서는 헐값 매각이라는 평가와 함께, 해킹 사고를 겪은 거래소도 신속한 수습을 통해 사업을 지속할 수 있음을 보여준 사례라는 평가가 엇갈렸다. 이 인수는 이후 코인체크가 정식 라이선스를 획득하는 발판이 됐다.

코인체크는 2019년 1월 11일 일본 간토재무국으로부터 정식 가상자산교환업자 등록을 취득했다고 발표했다. 사건 발생 후 약 1년 만에 이뤄진 이번 등록은 모넥스그룹 인수 이후 강화된 보안 체계와 내부통제 시스템이 금융당국의 심사를 통과했음을 의미했다. 코인체크는 등록 취득과 함께 신규 이용자 유치와 신뢰 회복에 본격적으로 나섰으며, 이후 일본 내 주요 거래소 중 하나로 재도약에 성공했다. 이번 사건은 이후 일본이 가상자산 거래소에 콜드월렛 보관 의무화, 이용자 자산 분리 보관 등 세계에서 가장 엄격한 규제를 도입하는 직접적 계기가 됐다. 코인체크 NEM 해킹은 지금까지도 거래소 보안 소홀이 낳은 대표적 사고 사례로 반복해 인용된다.