쿠코인 거래소 해킹 사건, 핫월렛 개인키 탈취로 2억 8천만 달러 유출과 라자루스 지목

2020년 9월 26일 쿠코인은 핫월렛에서 대규모 비정상 출금이 발생했다고 공지했다. 초기 보도에서 이더리움 주소 하나만 봐도 약 1억 5천만 달러 규모가 빠져나간 것으로 나타났고, 이후 집계가 늘어 2억 7500만 달러 이상, 최종적으로 약 2억 8100만 달러로 정리됐다. 유출 자산에는 비트코인, ERC-20 토큰 등 핫월렛에 있던 여러 종류가 포함됐다. 쿠코인은 개인키가 노출돼 핫월렛이 위협받았다고 설명했고, 입출금을 중단한 채 조사에 들어갔다. 당시 역대 거래소 해킹 가운데 손꼽히는 규모로 2020년 최대 사건이 됐다.

쿠코인의 조니 류(Johnny Lyu) CEO는 라이브 방송에서 피해 자산이 쿠코인과 보험기금으로 전액 보전될 것이며 이는 전체 보유 자산의 작은 일부일 뿐이라고 밝혔다. 쿠코인은 바이낸스, 후오비 등 다른 거래소와 법 집행기관과 협력해 자금 흐름을 추적하고 있다고 설명했다. 비트파이넥스·테더의 파올로 아르도이노 CTO는 해킹과 관련된 이오스 체인의 테더 1300만 달러와 이더리움 체인의 테더 2000만 달러를 동결했다고 밝혔다. 신속한 대응 덕분에 이용자 불안은 어느 정도 가라앉았다. 이는 중앙화 거래소 해킹에서 업계 협력 추적이 실제 회수로 이어질 수 있음을 보여 준 사례로 평가된다.

쿠코인은 2020년 10월 7일 해킹으로 중단했던 비트코인, 이더리움, 이더리움 기반 테더(USDT)의 입출금 서비스를 다시 열었다. 재개에 앞서 해당 코인들의 '지갑 보안 전략 업그레이드'를 수행하고 새 입금 주소를 발급했다. 이용자들은 기존 주소로 입금하지 말고 새 주소를 확인하라는 안내를 받았다. 가장 거래량이 많은 자산부터 순차적으로 열어 서비스 정상화를 시도한 것이다. 이후 나머지 토큰도 보안 점검을 거쳐 단계적으로 재개됐다.

2020년 11월 11일 쿠코인은 해킹 피해 자산의 84%, 약 2억 3600만 달러를 회수했다고 밝혔다. 조니 류 CEO는 온체인 추적, 컨트랙트 업그레이드, 사법적 회수 등의 방법을 썼다고 설명했다. 거래소는 176개 토큰의 서비스를 전면 재개했고 나머지 토큰도 11월 22일 이전에 열겠다고 했다. 이전 단계에서는 도난 자금의 약 72%가 의심 주소 밖에 있었고, 탈중앙화 거래소에서 교환돼 회수가 어려운 약 1300만 달러가 남았다. 거래소는 자체 준비금이 충분해 모든 손실을 감당할 수 있다고 밝혔다.

2021년 2월 쿠코인은 최종 회수 내역을 정리했다. 거래소·프로젝트 파트너와 협력해 약 2억 2200만 달러(78%)를, 법 집행기관과 보안 기관의 도움으로 약 1745만 달러(6%)를 되찾았고 나머지 약 4555만 달러(16%)는 보험기금으로 메웠다. 조니 류 CEO는 해커가 실제로 챙긴 금액이 약 4500만 달러 수준이라고 밝혔다. 쿠코인은 정보 제공자에게 최대 10만 달러의 현상금도 내걸었다. 이용자 피해는 사실상 전액 보전됐지만 해킹 원인은 핫월렛 키 관리 허점이었다는 교훈을 남겼다.

2021년 2월 10일 블록체인 분석업체 체이널리시스(Chainalysis)는 쿠코인 해킹이 북한 정부와 연계된 해킹 조직 라자루스의 소행이라고 밝혔다. 이 업체는 믹서, 탈중앙화 금융 프로토콜(유니스왑 등), 장외거래(OTC) 중개인을 거치는 세탁 방식이 이전 라자루스 사건과 닮았다고 설명했다. 유엔 전문가 패널도 2019년부터 2020년 11월까지 북한 해커가 3억 1640만 달러 이상을 훔쳤으며 여기에 쿠코인 2억 8100만 달러가 포함된다고 추정했다. 이는 민간 분석업체와 유엔 보고서가 근거로, 북한 정부가 공식 인정하거나 사법 판단이 내려진 것은 아니다. 이 사건은 거래소 해킹이 국가 연계 자금 조달로 이어진다는 논쟁에 힘을 실었다.