Coinrailはコインの3分の1を失う10日前に補償条項を削除していた

2018年6月10日の未明、攻撃者は40分間の一斉引き出しで、Pundi X、NPER、Aston、TRON、Stormなど9種類にわたる約36億トークンをCoinrailのホットウォレットから流出させた。被害額は約400億ウォン（約3700万ドル）で、ソウルの小規模取引所が保有していた全資産の約30%に当たり、それまでの韓国の暗号資産取引所盗難としては最大であった。この報道を受けてビットコインは約7%下落し、数時間のうちに暗号資産の市場価値が約300億ドル消失した。

この侵害は、Coinrailが利用規約を書き換えてから10日後に起きた。2018年4月、韓国の公正取引委員会は12の取引所の規約を審査し、14種類の不当条項——主にハッキングによる損失を顧客に転嫁する包括的な免責条項——を認定して是正を命じた。競合他社は5月に補償条項を書き換えたが、Coinrailはむしろ5月31日に損害賠償条項である第20条第4項を完全に削除し、会員に対する自社の請求権を保持する条項だけを残した。公正取引委員会は、削除しても責任は消えないと指摘した。民法上、現金補償が求められるからである。

取引は1か月以上停止した。取引所の最初の声明では、資産の70%はコールドストレージで安全であり、盗まれたトークンの3分の2は発行体や提携取引所とともに凍結され、盗難はビットコインではなく知名度の低いトークンに関わるものだと述べていた。7月15日の夜にサービスが再開された際、同社自身の復旧通知は異なる内容を伝えた。ユーザーのビットコインの34.8%が依然として未回収であり、TRX 33.1%、KNC 29.9%、STORM 56.1%、NPXS 84.2%、ATX 42.9%、NPER 89.4%も同様であった。

復旧計画はユーザーに2つの選択肢を与えた。取引所が将来の営業利益から未回収トークンを買い戻すのを待つか、残高をCoinrail自身のトークンであるRAILに1 RAIL = 0.72ウォンの固定レートで交換するかである。投資家はどちらも価値が不確実だとして拒否し、Nam Kyung-sik CEOに対する横領の告訴を行った。2018年7月5日、江南警察署は事件をソウル中央地方検察庁の経済犯罪チームに送致し、同チームは損失の実際の規模を必要としていた。

約3700万ドル（400億ウォン）相当のトークンが消失——ユーザーのビットコインの34.8%が未回収を含む。市場が下落する中、取引は5週間停止した

取引所の資産の3分の2がインターネット接続されたホットウォレットに置かれていたため、ユーザーが保有する全資産の30%が、40分間の単一の侵入にさらされた。

公正取引委員会の命令に対するコンプライアンス対応は、修復ではなく削除であった。顧客の補償請求の根拠となるはずだった条項が、まさに削除されたものだった。

当初の開示は損失を過小評価していた。「ビットコインは無傷」は、5週間後にサービスが再開された時点で「ビットコインの34.8%が未回収」に変わった。

補償は、破綻した企業自身のトークンとその将来の利益で表示されていた。その価値は、資産を保護できなかったまさにその主体に完全に依存する手段であった。

顧客への補償を約束する条項を削除しても義務は消えない。そして、顧客資産の3分の1をホットウォレットに保持する取引所は、その後に生じるすべての損失を負う。

2018年7月15日、出金は回収されたコインについてのみ再開された。ユーザー残高の残りは、買い戻しまたはRAILの選択肢に既定で組み込まれた。Nam Kyung-sik CEOに対する横領の告訴は2018年7月5日にソウル検察に到達し、損失規模は依然として検証を要していた。公正取引委員会の立場は記録に残った。条項を削除しても、取引所が現金補償を支払う義務が免除されるわけではない。数か月のうちに韓国は、取引所に実名取引口座とセキュリティ認証を義務付ける方向に動き、このハッキングが露呈した規制の隙間を狭めた。