업비트 2019년 핫월렛 해킹으로 4,850만 달러 상당 ETH 유출 — 거래소가 전액 손실 부담

2019년 11월 27일, 당시 가격으로 약 4,850만 달러에 해당하는 34만 2,000 ETH가 일련의 비정상 거래를 통해 업비트의 이더리움 핫월렛에서 알 수 없는 주소로 이동했다. 한국 최대 거래소는 같은 날 오후 모든 입출금을 중단하고 핫 스토리지에 남아 있던 자산 전부를 오프라인 하드웨어 월렛으로 옮겼다.

업비트의 모회사인 두나무는 도난 자금을 업비트 자체 자산으로 전액 보전하겠다고 공개적으로 약속했다. 그 약속은 지켜졌다: 고객들은 약 2주간의 동결 외에는 아무것도 잃지 않았고, 당시 설립 2년 차였던 이 거래소는 그 시점 암호화폐 업계 최대 거래소 해킹 사건 중 하나를 흡수했다.

이 절도 사건은 5년간 미제로 남았다. 2024년 11월 한국 경찰청은 북한의 라자루스와 안다리엘 부대가 이 공격을 수행했다고 결론지었다 — 국내 암호화폐 거래소에 대한 북한 해킹으로 공식 확인된 첫 사례다 — 그리고 탈취액의 절반 이상을 추적했는데, 그 자금은 3개 거래소에서 비트코인으로 교환된 뒤 13개국 51개 장소에 분산되었다.

ETH 4,850만 달러어치 도난 — 당시 580억 원, 2024년 기준 약 1조 4,700억 원; 2주간 입출금 동결; 회수된 것은 4.8 BTC뿐

고객 예치금이 인터넷에 연결된 핫월렛에 있었으니 — 플랫폼이 어떤 인증을 보유하든 키 하나가 털리면 사라지는 구조였다.

여기서 사용자 보호는 자본 구조의 문제였다: 두나무는 법인 자금으로 지불할 수 있었지만, 자본이 얇은 거래소에는 그런 선택지가 없다.

2주간의 동결은 고객 자산을 분리된 콜드 스토리지가 아닌 운영용 유동 자금과 혼합 보관한 대가였다.

도난당한 암호화폐는 일단 세탁되면 사실상 회수 불가능하다 — 5년간의 수사로 34만 2,000 ETH 중 4.8 BTC만 회수했다.

탄탄한 재무상태표가 거래소의 유일한 진짜 보험이다. 업비트가 사용자에게 환불할 수 있었던 것은 모회사가 부유했기 때문이며, 같은 방식으로 타격을 입은 자본이 얇은 거래소는 출금을 동결하거나 파산할 수밖에 없다.

약 2주 후 출금이 재개되었고, 남아 있던 핫월렛 자금은 오프라인 저장소로 옮겨졌다. 2021년 9월 한국 금융정보분석원은 개정된 특정금융정보법에 따라 업비트를 국내 최초로 신규 허가된 가상자산 사업자로 수용했으며, 이 개정법에는 의무적인 ISMS 보안 인증이 포함되어 있었다. 경찰은 2024년 11월 사건을 종결하며 라자루스와 안다리엘의 소행으로 지목했다: 탈취액의 절반 이상이 13개국 51개 장소를 거쳐 세탁되었고, 스위스 거래소에서 4.8 BTC(약 6억 원)만 회수되어 반환되었다.