오르빗 브릿지(오지스) 1100억 해킹 사태 (2024)

2023년 12월 31일 밤부터 2024년 1월 1일 사이 오지스가 운영하는 크로스체인 브릿지 오르빗 브릿지에서 대규모 가상자산이 무단 유출됐다. 탈취된 자산은 이더리움(ETH), 랩드비트코인(WBTC), 테더(USDT) 등 약 8189만 달러 규모로 당시 환율로 1100억~1180억원에 달했다. 브릿지는 서로 다른 블록체인 간 자산을 옮겨주는 핵심 인프라여서 피해 파장이 컸다. 해커는 서버에 침투해 허위 거래를 발생시키는 방식으로 자산을 빼돌렸다. 새해 벽두에 터진 초대형 사고로 국내 디파이 생태계에 충격을 안겼다.

오지스는 사고 직후 오르빗 브릿지 익스플로잇 발생 사실을 커뮤니티에 공지하고 대응에 착수했다. 회사는 즉시 수사기관과 한국인터넷진흥원(KISA)에 신고하고 해커 지갑을 모니터링하기 시작했다. 또한 탈취 자산의 이동을 추적하며 관련 거래소에 동결을 요청했다. 오지스는 정확한 피해 금액과 원인을 확인 중이며 보상 방안을 검토하겠다고 밝혔다. 사고 초기부터 신속히 당국에 신고한 점은 이후 법원 판단에서 책임 비율을 낮추는 요소로 반영됐다.

오지스는 자체 조사 결과 내부 보안에 허점이 있었다는 입장을 발표했다. 조사에 따르면 신원불상 해커가 오지스 직원의 원격제어 프로그램 계정을 탈취한 뒤 다른 직원 PC에 악성코드를 유포해 정보를 수집했다. 이렇게 확보한 정보를 바탕으로 서버에 침투해 허위 거래를 일으켜 자산을 유출한 것으로 파악됐다. 이는 외부 침입과 내부망 장악이 결합된 정교한 공격이었다. 사고 경위가 드러나면서 브릿지 운영사의 보안 관리 책임 논란이 본격화됐다.

오지스는 해킹 피해 자산을 세 가지 유형으로 분류하고 그중 이용자 자산을 최우선으로 복구하겠다는 방침을 공지했다. 회사는 생태계 정상화를 위한 추진안을 발표하며 이용자 피해 복구를 최우선 과제로 내세웠다. 복구 재원 마련과 오르빗 체인 생태계 재건이 핵심 과제로 제시됐다. 그러나 탈취 규모가 워낙 커 완전한 복구까지는 상당한 시간이 필요했다. 이용자들 사이에서는 실질적 보상 실행 여부에 대한 불안이 이어졌다.

오지스는 사고 책임을 두고 희망퇴직한 전직 정보보호최고책임자(CISO)를 상대로 손해배상 소송을 제기했다. 회사는 해당 임원이 퇴직 전 방화벽을 취약하게 만들고 인수인계 과정에서 이를 공유하지 않았다고 주장했다. 이로써 사고 원인을 내부자에게 돌리려는 법적 다툼이 시작됐다. 그러나 경찰은 해당 임원에 대해 증거불충분으로 혐의없음 불송치 결정을 내렸다. 내부자 책임론은 형사와 민사 양쪽에서 치열한 쟁점이 됐다.

서울남부지법 제12민사부는 2025년 8월 27일 오지스가 전 임원 A씨를 상대로 낸 손해배상 소송에서 청구를 기각하며 오지스 패소 판결을 내렸다. 재판부는 오지스가 제출한 증거만으로는 A씨가 보안 수준을 낮추는 행위를 했다거나 그로 인해 사고가 발생했다고 보기 부족하다고 판단했다. 이로써 내부자에게 책임을 돌리려던 회사 측 시도는 법정에서 받아들여지지 않았다. 앞서 경찰의 불송치 결정에 이어 민사에서도 내부자 책임론이 인정되지 않은 것이다. 사고 책임의 상당 부분이 운영사 자신에게 있음을 시사하는 결과였다.

서울남부지법 민사합의15부는 이용자 A씨가 오지스를 상대로 낸 손해배상 청구 소송에서 원고 일부 승소 판결을 내렸다. 재판부는 오지스가 이용자 자산을 안전하게 보관하고 서비스를 안정적으로 운영할 주의 의무를 충분히 다하지 못했다고 판단했다. 다만 사고 이전 일부 보안 조치를 시행했고 사고 직후 수사기관과 KISA에 신고한 점을 고려해 책임 비율을 70%로 제한했다. 이에 따라 오지스가 배상할 금액은 약 7억2600만원으로 산정됐다. 브릿지 운영사에 높은 수준의 보안·관리 책임을 물린 의미 있는 판결로 평가됐다.