코인레일, 코인 3분의 1을 잃기 열흘 전 보상 조항을 삭제했다

2018년 6월 10일 새벽, 공격자들은 40분에 걸친 훑기로 코인레일의 핫월렛에서 Pundi X, NPER, Aston, TRON, Storm 등 아홉 종류에 걸쳐 약 36억 개의 토큰을 빼냈다. 그 규모는 약 400억 원(약 3,700만 달러)으로, 서울의 이 소규모 거래소가 보유한 전체 자산의 약 30%에 해당했으며, 그때까지 한국에서 발생한 최대 규모의 암호화폐 거래소 해킹이었다. 이 소식은 비트코인을 약 7% 끌어내렸고, 몇 시간 만에 약 300억 달러의 암호화폐 시장 가치를 지워버렸다.

이 침해 사고는 코인레일이 약관을 다시 쓴 지 열흘 만에 일어났다. 2018년 4월 한국 공정거래위원회는 열두 개 거래소의 약관을 검토해 열네 가지 유형의 불공정 조항 — 주로 해킹 손실을 고객에게 떠넘기는 포괄적 면책 조항 — 을 적발하고 시정을 명령했다. 경쟁 거래소들은 5월에 보상 조항을 다시 썼지만, 코인레일은 대신 5월 31일에 손해배상 조항인 제20조 제4항을 아예 삭제했고, 회원에 대한 회사 자신의 청구권을 보존하는 조항만 남겼다. 공정위는 삭제가 책임을 없애지는 않는다고 지적했다. 민법은 현금 보상을 요구한다.

거래는 한 달 넘게 중단됐다. 거래소의 첫 성명은 자산의 70%가 콜드 스토리지에 안전하게 보관돼 있고, 도난당한 토큰의 3분의 2가 발행사와 협력 거래소에서 동결됐으며, 이번 도난은 비트코인이 아닌 덜 알려진 토큰과 관련됐다고 밝혔다. 7월 15일 저녁에 서비스가 재개됐을 때, 거래소 자체의 복구 공지는 다른 이야기를 했다. 사용자 비트코인의 34.8%가 여전히 복구되지 않았고, TRX 33.1%, KNC 29.9%, STORM 56.1%, NPXS 84.2%, ATX 42.9%, NPER 89.4%도 마찬가지였다.

복구 계획은 사용자들에게 두 가지 선택지를 줬다. 거래소가 향후 영업이익으로 미복구 토큰을 되사들일 때까지 기다리거나, 잔액을 코인레일 자체 토큰인 RAIL로 1 RAIL = 0.72원의 고정 비율로 교환하는 것이었다. 투자자들은 두 선택지 모두 가치가 불확실하다며 거부하고 남경식 대표를 상대로 횡령 고소를 제기했으며, 2018년 7월 5일 강남경찰서는 사건을 서울중앙지검 경제범죄팀에 송치했고, 검찰은 수사를 진행하려면 실제 손실 규모를 파악해야 했다.

약 3,700만 달러(400억 원)어치의 토큰이 사라졌다 — 사용자 비트코인의 34.8%가 미복구 상태로 포함됐고, 시장이 하락하는 동안 5주간 거래가 중단됐다

거래소 자산의 3분의 2가 인터넷에 연결된 핫월렛에 있었기에, 사용자가 보유한 전체 자산의 30%가 40분 만에 벌어진 단 한 번의 침입에 노출됐다.

공정위 명령에 대한 준법 대응은 바로잡기가 아니라 삭제였다 — 고객의 보상 청구를 뒷받침했을 조항이 바로 없어진 것이었다.

최초 공개는 손실을 축소했다. '비트코인은 무사하다'는 5주 뒤 서비스가 재개될 때 '비트코인의 34.8%가 미복구'로 바뀌었다.

보상은 실패한 회사 자체의 토큰과 그 회사의 미래 이익으로 표시됐다 — 그 가치는 방금 자산 보호에 실패한 바로 그 주체에 전적으로 의존하는 수단이었다.

고객 보상을 약속한 조항을 삭제한다고 의무가 사라지지는 않는다 — 그리고 고객 자산의 3분의 1을 핫월렛에 보관하는 거래소는 그 뒤에 따르는 모든 손실을 떠안는다.

2018년 7월 15일 출금은 복구된 코인에 대해서만 재개됐고, 나머지 사용자 잔액은 되사들이기 또는 RAIL 교환 선택지로 기본 처리됐다. 남경식 대표에 대한 횡령 고소는 2018년 7월 5일 서울 검찰에 접수됐으며, 손실 규모는 여전히 확인돼야 했다. 공정거래위원회의 입장은 기록에 남아 있었다. 조항을 삭제한다고 거래소가 현금 보상을 지급하지 않아도 되는 것은 아니다. 몇 달 안에 한국은 거래소에 실명 거래 계좌와 보안 인증을 요구하는 쪽으로 움직여, 이번 해킹이 드러낸 규제 공백을 좁혔다.