Zaif의 67억 엔 핫월릿 해킹: 경영진 사임, 거래소는 FISCO에 매각

Tech Bureau가 운영하던 오사카의 거래소 Zaif는 2018년 9월 14일 해킹을 당했다. 고객 입출금에 쓰이는 핫월릿을 관리하는 서버에 무단 접근이 발생해 비트코인, 모나코인, 비트코인 캐시 등 약 67억 엔(대략 6,000만 달러) 상당이 빠져나갔으며, 그중 45억 엔은 고객 자산이었다. 이상 징후는 9월 17일에 감지되어 9월 20일에 공개되었고, 피해 추정액은 이후 약 70억 엔으로 상향 조정되었다.

회사는 2018년 내내 규제 당국의 감시 목록에 올라 있었다. 금융청은 3월과 6월에 업무개선명령을 내렸지만 핫월릿 구조는 그대로 유지되었다. 해킹 이후 금융청은 보고서 제출 명령을 내리고 현장 검사에 착수했으며, 아사야마 타카오 사장과 기존 경영진은 사임했다.

10월 10일 Tech Bureau는 Zaif 사업을 FISCO 암호화폐 거래소로 이전하는 정식 계약을 체결하고 보상 방침을 정했다. BTC와 BCH는 같은 수량의 현물로 반환하고, MONA 보유자에게는 60%를 MONA로, 나머지 40%를 코인당 144.548엔의 엔화로 지급하기로 했다. 이는 Zaif 자체 시세보다 높은 가격이었는데, 도난당한 MONA가 유동성이 너무 낮아 다시 사들일 수 없었기 때문이다. 유동성이 깊은 시장에서 거래되던 자산은 전액 돌아왔지만, 유일하게 얇은 시장이었던 MONA는 40%의 손실을 감수해야 했다.

서비스는 FISCO 체제에서 단계적으로 재개되었고(MONA 현물 거래는 2019년 4월 재개), FISCO가 운영하는 두 거래소는 2019년 내에 시스템을 통합할 예정이었다.

67억 엔(약 6,000만 달러)이 도난당했고 그중 45억 엔이 고객의 암호화폐였으며, MONA 보유자들은 손실의 40%를 엔화로 떠안았다

고객 자산이 단일 서버에서 관리되는 핫월릿에 보관되어 있었고, 두 시간 동안의 한 번의 침입으로 그것을 모두 빼낼 수 있었다.

규제 당국은 6개월 사이에 두 번이나 회사에 문제를 지적했지만, 개선 명령은 서류만 바꿀 뿐 실패한 구조는 바꾸지 못했다.

MONA 시장의 유동성이 얇았기 때문에 도난당한 수량을 가격 변동 없이 다시 사들일 수 없었고, 손실의 일부를 엔화로 정산할 수밖에 없었다. 유동성 부족이 곧바로 고객 손실로 이어진 것이다.

온라인에 연결된 핫월릿은 공격자에게 상시 열려 있는 초대장과 같다. 구조가 그대로라면 규제 경고도 아무것도 바꾸지 못하며, 다시 사들이기엔 유동성이 너무 낮은 도난 코인은 결국 사용자가 그 차액을 떠안게 된다.

FISCO 체제에서 거래소는 2019년에 걸쳐 서비스를 점진적으로 재개했고, MONA 거래는 2019년 4월에 다시 시작되었으며 거래소 시스템은 곧이어 통합되었다. Tech Bureau 자체의 22억 엔 자산도 핫월릿과 함께 사라졌고, 경영진은 회사와 함께 떠났다. 구원자도 오래 머물지 않았다. 상장 모회사인 FISCO는 2026년 5월 사업 부문에서 암호화폐와 블록체인을 제외하고 해당 분야에서 철수했다.