크립토피아 거래소 해킹과 청산 사건

2019년 1월 14일 뉴질랜드 크라이스트처치에 본사를 둔 가상자산 거래소 크립토피아는 인터넷에 상시 연결된 핫월렛이 해킹당해 대규모 코인이 빠져나갔다고 발표했다. 초기 집계에서는 약 1600만 달러 상당의 손실이 파악됐지만 이후 조사에서 실제 피해 규모는 3000만 뉴질랜드달러에 이르는 것으로 추정됐다. 크립토피아는 2014년 설립돼 한때 뉴질랜드에서 가장 큰 가상자산 거래소로 성장했으며 전 세계 180개국 이용자 96만 명 이상의 계정을 보유하고 있었다. 해킹 직후 거래소는 모든 거래와 입출금을 즉시 중단하고 뉴질랜드 경찰에 수사를 의뢰했으며, 경찰은 내부자 개입 등 모든 가능성을 열어두고 조사한다고 밝혔다. 이 사건은 뉴질랜드 역사상 최대 규모의 사이버 절도 사건 중 하나로 기록됐다.

최초 해킹 발표로부터 2주도 지나지 않은 2019년 1월 29일, 크립토피아는 또다시 공격을 받아 이더리움 약 1675개가 1만7000여 개 계정에서 추가로 빠져나갔다고 밝혔다. 도난당한 자금이 첫 해킹 때와 동일한 지갑 주소로 흘러들어간 정황이 확인되면서 동일범 소행일 가능성이 제기됐다. 거래소가 보안 점검과 지갑 이전 작업을 진행하던 도중 벌어진 이 2차 침입은 초기 대응이 충분하지 않았다는 비판을 키웠다. 이용자들 사이에서는 거래소의 보안 체계 자체에 대한 근본적인 불신이 확산됐다. 잇단 해킹은 이후 거래소의 신뢰 회복을 사실상 불가능하게 만든 결정타가 됐다.

2019년 3월 5일 크립토피아는 일부 거래쌍에 대한 거래를 부분적으로 재개하며 정상화를 시도했다. 그러나 재개 이후에도 정확한 피해 규모와 보상 계획에 대해 이용자들에게 충분한 정보를 제공하지 않아 불만이 커졌다. 공동 창업자 애덤 클라크와 롭 도슨 사이의 내부 갈등설까지 겹치면서 회사 경영진에 대한 신뢰는 더욱 흔들렸다. 거래소 측은 사태 수습에 최선을 다하고 있다고 밝혔지만 이용자 이탈은 가속화됐다. 결국 이런 불안정한 정상화 시도는 두 달여 만에 완전히 중단되는 수순으로 이어졌다.

2019년 4월 3일 보도에 따르면 크립토피아가 피해 계정에 대한 보상 명목으로 언급한 '리베이트' 방안이 구체적인 지급 방식과 시기가 불투명한 채로 방치되고 있었다. 이용자들은 회사 측에 반복적으로 설명을 요구했지만 명확한 답변을 받지 못했다고 토로했다. 이런 불투명한 태도는 해킹 자체보다도 회사의 사후 대응 부실에 대한 비판을 더 키우는 결과를 낳았다. 일부 피해자들은 집단소송을 검토하며 법적 대응 가능성을 모색하기 시작했다. 이 같은 신뢰 붕괴는 결국 한 달여 뒤 회사가 청산을 선언하는 배경 중 하나가 됐다.

2019년 5월 14일 크립토피아는 결국 만기가 도래하는 채무를 감당할 수 없다며 자발적 청산을 신청했다고 발표했다. 뉴질랜드 회계법인 그랜트손튼의 데이비드 러스코와 맬컴 무어가 청산인으로 선임돼 회사 자산 정리 작업에 착수했다. 청산인들은 전 세계 180개국에 흩어진 96만 개 이상의 계정과 370여 종의 가상자산을 정리해야 하는 전례 없는 규모의 과제에 직면했다. 이는 가상자산 거래소가 해킹 피해 이후 회복하지 못하고 파산으로 귀결된 대표적 사례로 꼽힌다. 청산 절차는 이후 코인의 법적 성격을 둘러싼 복잡한 법정 다툼으로 이어지며 예상보다 훨씬 길어지게 된다.

2020년 4월 8일 뉴질랜드 고등법원은 '러스코 대 크립토피아' 판결에서 거래소가 보유한 약 1억7000만 달러 상당의 가상자산이 회사 소유가 아니라 계정 보유자들을 위해 신탁 형태로 보관된 재산이라고 판시했다. 이는 세계적으로도 가상자산의 법적 성격과 거래소 파산 시 이용자 보호 문제를 본격적으로 다룬 최초의 상급심 판결 중 하나로 평가받았다. 판결에 따라 청산인은 신탁재산으로 인정된 코인을 회사의 일반 채권자들에게 나눠줄 수 없게 됐다. 그 결과 일반 채권자들이 받을 것으로 예상됐던 배당률이 85%에서 50% 미만으로 크게 낮아졌다. 이 판례는 이후 다른 나라의 가상자산 거래소 파산 사건에서도 자주 인용되는 선례가 됐다.

해킹과 파산 이후 4년 넘게 이어진 청산 작업은 2023년까지도 마무리되지 못했다. 2023년 9월 6일 뉴질랜드 고등법원은 '러스코 대 하우천스' 판결을 통해 청산인들이 남은 가상자산 일부를 매각해 청산 비용을 충당할 수 있도록 하는 네 번째 신청을 승인했다. 청산인 측은 추가로 확보한 500만 달러가량의 자금으로 향후 12개월간 청산 작업을 이어갈 수 있을 것이라고 밝혔다. 96만 명이 넘는 전 세계 이용자에게 최종적으로 얼마가, 언제 돌아갈지는 여전히 불투명한 상태로 남았다. 이 사건은 대형 거래소 해킹이 단순한 도난 사고에 그치지 않고 수년에 걸친 국제적 법적 분쟁으로 번질 수 있음을 보여준 대표 사례로 남아 있다.