코인엑스 거래소 7000만 달러 해킹 사태 (2023, 北 라자루스)

코인엑스는 자사 일부 핫월렛에서 비정상적인 출금이 발생한 것을 포착하고 즉각 입출금 서비스를 잠정 중단했다고 밝혔다. 초기 분석 결과 이더리움, 트론, 폴리곤 등 여러 체인에 걸쳐 자산이 빠져나간 정황이 확인됐다. 회사 측은 이번 유출이 이용자 자산이 아닌 거래소 자체 보유 준비금에서 발생했다고 설명했다. 피해 규모는 초기 추산 2700만 달러에서 이후 조사가 진행되며 최대 7000만 달러까지 늘어났다. 코인엑스는 사건 발생 직후 외부 보안업체와 함께 침해 경로 조사에 착수했다.

추가 조사 결과 이번 사고의 원인은 코인엑스 핫월렛 일부의 프라이빗키가 외부에 유출된 것으로 확인됐다. 공격자는 유출된 키를 이용해 이더리움 약 2000만 달러어치, 트론 약 1000만 달러어치를 비롯해 바이낸스 스마트체인과 비트코인 등 다양한 자산을 빼돌렸다. 코인엑스는 유출된 것으로 확인된 지갑을 즉시 폐기하고 새로운 콜드월렛 체계로 자산을 이전하는 작업에 들어갔다. 회사는 플랫폼 이용자들의 자산은 영향을 받지 않았다고 재차 강조했다. 이 사건은 중앙화 거래소의 핫월렛 키 관리 체계에 대한 업계의 우려를 다시 불러일으켰다.

코인엑스는 공식 성명을 통해 이번 해킹으로 발생한 손실 전액을 자체 이용자 자산 보호 기금을 통해 보상하겠다고 약속했다. 회사는 피해 규모를 약 7000만 달러로 추산하면서도 이는 회사 전체 자산에서 차지하는 비중이 크지 않은 '일부'라고 설명했다. 이 발표로 일시적으로 동요했던 이용자들의 불안감이 다소 진정되는 효과가 있었다. 코인엑스는 이와 함께 인출을 원하는 이용자를 위한 별도 창구도 운영하겠다고 밝혔다. 100% 보상 약속은 이후 유사한 거래소 해킹 사고 대응의 참고 사례로 거론됐다.

블록체인 분석업체 엘립틱(Elliptic) 등은 코인엑스에서 탈취된 자금 일부가 앞서 발생한 스테이크닷컴(Stake.com) 해킹 자금 세탁에 사용된 것과 동일한 주소로 흘러 들어간 사실을 확인했다고 밝혔다. 미 연방수사국(FBI)은 스테이크닷컴 해킹을 북한 정찰총국 산하 해킹조직 라자루스(Lazarus, APT38로도 불림)의 소행으로 지목한 바 있다. 이런 자금 흐름의 유사성은 코인엑스 해킹 역시 라자루스 소행일 가능성에 무게를 실었다. 전문가들은 라자루스가 탈취 자금을 세탁하는 과정에서 특정 패턴의 주소를 반복 사용하는 경향이 있다고 설명했다. 국제사회는 북한의 이 같은 암호화폐 해킹이 대량살상무기 개발 자금원으로 활용되고 있다고 지적해왔다.

코인엑스는 해킹 발생 9일 만인 9월 21일 새로운 지갑 시스템을 구축해 비트코인, 이더리움, 테더, USD코인 등 주요 자산의 입출금 서비스를 순차적으로 재개했다고 발표했다. 회사는 이후 190종이 넘는 암호화폐에 대해 단계적으로 서비스를 정상화해 나갔다. 신속한 서비스 재개는 이용자 이탈을 최소화하려는 조치로 평가됐다. 코인엑스는 재발 방지를 위해 콜드월렛 비중 확대와 다중서명 체계 강화 등 보안 조치를 함께 발표했다. 이러한 신속 대응은 이후 유사 사고를 겪은 다른 거래소들의 벤치마크가 됐다.

해킹 발생 약 9개월이 지난 시점, 업계에서는 코인엑스가 대규모 보안 사고를 딛고 시스템을 전면적으로 재건하는 데 성공했다는 평가가 나왔다. 사고 초기 우려됐던 대규모 이용자 이탈이나 유동성 위기 없이 거래소는 정상적인 영업을 이어갔다. 이는 신속한 정보 공개와 전액 보상 약속, 빠른 서비스 재개 등 초기 대응이 주효했던 결과로 분석됐다. 다만 북한발 해킹 위협이 여전히 암호화폐 업계 전반의 상존하는 위험 요인이라는 경고도 함께 제기됐다. 코인엑스 사건은 이후 거래소 보안 사고 대응 모범 사례 중 하나로 자주 인용되고 있다.