유빗(야피존) 거래소 연쇄 해킹·파산 사건

2017년 4월 22일 당시 '야피존'이라는 이름을 쓰던 거래소가 첫 해킹을 당했다. 이 공격으로 3831 비트코인, 당시 시세로 약 55억 원 상당의 자산이 탈취됐다. 거래소는 자체 자산만으로 손실을 메우기 어려웠다. 결국 야피존은 피해를 회원 자산에 분담시키는 이례적 조치를 택했다. 회원들의 자산에서 약 37.08%를 차감하는 방식으로 손실을 처리했다.

야피존은 1차 해킹 손실을 회원 전체에게 분담시키며 자산 37.08%를 일괄 차감했다. 이는 이용자들이 예치한 자산이 거래소 해킹으로 강제로 줄어드는 초유의 사태였다. 회원들은 자신의 잘못이 아닌 해킹 피해를 떠안게 되자 강하게 반발했다. 거래소의 보안 관리와 손실 처리 방식 모두 도마에 올랐다. 이 사건은 초기 국내 거래소의 리스크 관리 부실을 상징적으로 보여줬다.

야피존은 이후 거래소명을 '유빗'으로 바꿔 운영을 이어갔다. 그러나 2017년 12월 19일 새벽 4시 35분경 유빗은 또다시 해킹을 당했다. 이번 공격으로 가상화폐 출금지갑이 뚫리며 전체 자산의 약 17%가 추가로 사라졌다. 한 해에 두 번의 대형 해킹을 겪은 유빗은 더 이상 정상 운영이 불가능한 상태에 이르렀다. 반복된 침해는 거래소의 근본적 보안 결함을 드러냈다.

2차 해킹 당일 유빗은 전격적으로 파산을 선언했다. 거듭된 해킹으로 자산이 크게 줄면서 거래소를 유지할 수 없다고 판단한 것이다. 유빗은 출금 지갑 손실을 이유로 이용자에게 자산의 일부만 우선 지급하겠다고 밝혔다. 이용자들은 남은 자산을 온전히 돌려받을 수 있을지 불안에 떨었다. 국내 거래소가 해킹 피해로 파산에 이른 대표 사례로 기록됐다.

파산 선언 이후 유빗에 예치돼 있던 이용자 자산의 상당 부분이 묶여버렸다. 일부 보도에 따르면 유빗에는 약 1000억 원 규모의 이용자 자산이 남아 있었던 것으로 전해졌다. 거래소는 정상적인 출금과 배상 절차를 진행하기 어려운 상황이었다. 유빗의 전신은 2013년 12월 거래를 시작한 '땡글'로, 이후 야피안·야피존을 거쳐 유빗으로 이어진 초기 거래소였다. 이 사건은 규제 공백기의 거래소 리스크를 상징하는 사례로 남았다.