Upbitの2019年ホットウォレットハッキング、ETHで4850万ドル相当を喪失 — 取引所が全額を負担

2019年11月27日、342,000 ETH（当時の価格で約4850万ドル）が、一連の異常な取引によってUpbitのイーサリアム・ホットウォレットから未知のアドレスへ移動した。韓国最大の取引所は同日午後にすべての入出金を停止し、ホットストレージに残っていたすべてをオフラインのハードウェアウォレットへ退避させた。

Upbitの親会社であるDunamuは、盗まれた資金をUpbit自身の資産から全額補填すると公に約束した。この約束は守られた。利用者は約2週間の凍結以外に何も失わず、創業2年の取引所は当時暗号資産業界最大級の取引所ハッキングの一つを吸収した。

この窃盗事件は5年間未解決のままだった。2024年11月、韓国の警察庁は、北朝鮮のLazarusおよびAndariel部隊が攻撃を実行したと結論づけた。国内の暗号資産取引所に対する北朝鮮のハッキングとして公式に確認された初の事例であり、盗まれた資金の半分以上を追跡し、3つの取引所でビットコインに交換され、13か国・51の拠点に分散されたことが判明した。

ETHで4850万ドル相当を盗難 — 当時580億ウォン、2024年時点で約1兆4700億ウォン。入出金の2週間凍結。回収できたのはわずか4.8 BTC。

顧客の預金はインターネットに接続されたホットウォレットに置かれていた。プラットフォームがどのような認証を取得していようと、鍵が1つ侵害されれば失われる状態だった。

ここでの利用者保護は資本構成上の判断だった。Dunamuは企業資金から支払うことができたが、資本の薄い取引所にはその選択肢がない。

2週間の凍結は、顧客資産を分別管理されたコールドストレージではなく運用資金と混在させていたことの代償だった。

盗まれた暗号資産は一度洗浄されると事実上回収不能である。5年間の警察の捜査で、342,000 ETHのうち回収できたのは4.8 BTCのみだった。

強固なバランスシートこそが取引所の唯一の実質的な保険である。Upbitが利用者に返金できたのは親会社が豊かだったからであり、資本の薄い取引所が同じ被害を受ければ、出金を凍結するか破綻するしかない。

約2週間後に出金が再開され、ホットウォレットに残っていた資金はオフラインストレージへ移された。2021年9月、韓国の金融情報分析院（FIU）は、改正金融報告法の下でUpbitを国内初の新規認可仮想資産事業者として受理した。同法の新規則にはISMSセキュリティ認証の義務化が含まれていた。警察は2024年11月に事件を終結させ、LazarusとAndarielの犯行と断定した。盗まれた資金の半分以上は13か国・51の拠点で洗浄され、スイスの取引所から回収され返還されたのは4.8 BTC（約6億ウォン）のみだった。