코인베이스 내부자 매수 데이터 유출·2000만 달러 갈취 사건

코인베이스의 고객 상담 업무를 위탁받은 외주업체 태스크어스(TaskUs)의 인도 인도르 지사 직원 아쉬타 미슈라가 2024년 9월부터 업무 중 접근 가능한 코인베이스 고객 기록을 휴대전화로 몰래 촬영해 빼돌리기 시작했다. 그는 하루 최대 200건에 이르는 고객 기록을 촬영해 이를 해커들에게 건당 200달러에 판매한 것으로 검찰 공소장에 적시됐다. 유출된 정보에는 이름, 이메일, 주소, 은행 계좌 정보, 잔액 등이 포함됐다. 이 은밀한 유출은 이후 다른 팀장급 직원들까지 끌어들이며 조직적인 범행으로 확대됐다. 코인베이스는 당시 이런 내부 유출 사실을 전혀 인지하지 못하고 있었다.

약 4개월간 이어진 정보 유출로 미슈라는 1만 명이 넘는 고객의 개인정보를 확보한 상태에서 2025년 1월 인도 현지 수사당국에 체포됐다. 그러나 그의 체포가 곧바로 코인베이스에 통보되거나 사건 전모가 파악되지는 않았다. 수사 과정에서 이 유출이 한 명의 단독 범행이 아니라 여러 상담원과 관리자가 연루된 구조적 공모였다는 정황이 속속 드러났다. 코인베이스는 이 시점까지도 자사 시스템 자체는 해킹되지 않았다고 판단하고 있었다. 사건의 전체 규모는 이후 몇 달에 걸쳐 서서히 드러나게 된다.

빼돌려진 고객 데이터를 넘겨받은 해커 조직은 2025년 5월 11일 코인베이스에 이메일을 보내 2000만 달러 상당의 비트코인을 지급하지 않으면 탈취한 고객 정보를 공개하거나 판매하겠다고 협박했다. 이는 회사 시스템 침투가 아닌 순수 내부자 매수를 통한 갈취라는 점에서 업계에 충격을 줬다. 유출 대상은 약 7만 명에 육박하는 고객으로 집계됐으며 정부 발급 신분증 사진, 마스킹된 주민번호, 계좌 정보 등이 포함됐다. 코인베이스는 즉각 내부 비상대응팀을 가동해 사고 조사에 착수했다. 이 사건으로 2024년 12월경부터 이어진 유출의 전모가 비로소 회사 차원에서 파악되기 시작했다.

코인베이스 브라이언 암스트롱 최고경영자는 5월 15일 공식 블로그를 통해 해커들의 갈취 요구를 거부한다고 밝히며 대신 범인 검거에 도움이 되는 제보에 2000만 달러의 포상금을 걸겠다고 발표했다. 회사는 동시에 미국 연방수사기관에 사건을 신고하고 피해 고객들에게 개별 통지를 시작했다. 이날 사건이 공개되며 코인베이스 주가가 급락했고 암호화폐 업계 전반에 보안 경각심이 확산됐다. 회사는 향후 소송·배상·보안 강화 비용으로 최대 4억 달러가 소요될 수 있다고 추산했다. 이는 암호화폐 거래소 역사상 손에 꼽히는 대형 내부자 유출 사건으로 기록됐다.

사건이 공개된 지 열흘 남짓 만인 5월 27일 피해 고객들을 대표한 법무법인이 미국 뉴욕 남부연방지방법원에 코인베이스를 상대로 집단소송을 제기했다. 원고 측은 회사가 고객 개인정보를 충분히 보호하지 못했고 유출 사실을 뒤늦게 공개해 피해를 키웠다고 주장했다. 이후 유사한 소송이 여러 건 추가로 제기되며 소송이 통합 절차로 이어졌다. 투자자들도 주가 급락에 따른 손실을 이유로 별도의 증권 관련 소송을 제기했다. 코인베이스는 법적 대응과 별개로 피해 고객에 대한 자발적 보상 절차를 진행했다.

코인베이스는 2025년 2분기 실적 발표에서 이번 데이터 유출 사건과 관련해 3억700만 달러를 이미 비용으로 반영했다고 공개했다. 회사는 피해 고객 보상과 소송 대응, 보안 시스템 재정비에 총 1억8000만~4억 달러가 들 것으로 추산된다고 밝혔다. 이는 단일 보안 사고로는 이례적으로 큰 규모의 재무적 타격이었다. 회사는 외주업체 의존도를 낮추고 내부 통제를 강화하는 재발 방지 대책을 함께 발표했다. 그러나 이후에도 관련 소송과 조사는 계속 확대됐다.

로이터통신은 법원 제출 자료를 인용해 코인베이스가 실제로는 공개 발표(5월 15일)보다 수개월 앞선 시점부터 내부자 유출 정황을 인지하고 있었으면서도 이를 즉각 공개하지 않았다는 의혹을 보도했다. 이는 회사의 정보 공개 시점과 성실성에 대한 새로운 의혹을 낳았다. 같은 날 진행 중이던 집단소송에도 이 같은 내용을 반영한 수정 소장이 추가로 제출되며 원고 수가 늘어났다. 코인베이스는 공개 지연 의혹에 대해 사실과 다르다는 입장을 밝혔다. 이 보도로 사건의 파장은 단순 해킹을 넘어 기업의 위기 대응 방식에 대한 논란으로 번졌다.

10월 24일 뉴욕 남부연방지방법원에는 코인베이스와 외주업체 태스크어스를 공동 피고로 명시한 통합 집단소송 수정 소장이 새롭게 제출됐다. 법원 기록에 따르면 태스크어스 내부 직원이 고객 정보 사진 한 장당 200달러를 받고 판매한 정황이 구체적으로 적시됐다. 이로써 책임 소재가 코인베이스뿐 아니라 외주 관리 소홀 문제로까지 확대됐다. 소송은 2026년 들어서도 계속 진행 중이며 손해배상 규모를 둘러싼 법적 공방이 장기화될 전망이다. 이 사건은 암호화폐 거래소들의 외주 인력 관리 체계에 대한 업계 전반의 경각심을 높이는 계기가 됐다.