업비트 이더리움 580억 해킹 사건 (2019)

2019년 11월 27일 오후 업비트에서 이더리움 34만 2000개가 알 수 없는 외부 핫월렛으로 한꺼번에 전송되는 사건이 발생했다. 당시 시세로 약 580억원에 달하는 규모로, 국내 거래소 해킹 가운데 손에 꼽히는 대형 사고였다. 인터넷과 분리된 콜드월렛에서는 해킹이 어려운 만큼, 온라인에 연결된 핫월렛(인터넷 연결 지갑)이 뚫린 것으로 추정됐다. 업비트는 즉시 이상 거래를 인지하고 해당 트랜잭션이 정상 출금이 아님을 확인했다. 이 사건은 이후 수년간 미제로 남아 국내 가상자산 보안 체계의 취약성을 상징하는 사례가 됐다.

운영사 두나무는 해킹 인지 직후 고객 피해 전액을 회사 자산으로 보전하겠다고 공식 발표했다. 이는 거래소 자체 자금으로 이용자 손실을 100% 메우겠다는 의미로, 뱅크런 우려를 차단하기 위한 신속한 조치였다. 두나무는 동시에 모든 입출금을 중단하고 보유 자산을 오프라인 콜드월렛으로 옮기는 긴급 대응에 나섰다. 또한 외부 보안 전문기관이 참여하는 조사단을 구성해 침해 경위 규명에 착수했다. 이러한 전액 보전 방침 덕분에 개별 투자자들의 직접적 자산 피해는 발생하지 않았다.

사고 다음 날부터 업비트는 입출금을 전면 중단하고 지갑 구조와 보안 체계를 재점검했다. 탈취된 이더리움의 이동 경로를 온체인으로 추적하며 국내외 거래소에 동결을 요청하는 공조에 나섰다. 해커는 탈취 자산을 여러 지갑으로 잘게 쪼개 이동시키며 추적을 회피하려 했다. 업비트는 다른 거래소들과 협력해 일부 자산의 인출을 차단하는 성과를 거뒀다. 그러나 상당 부분은 이미 해외로 빠져나가 즉각적인 전량 회수는 어려운 상황이었다.

수사기관 조사 결과 북한은 탈취한 이더리움 가운데 약 57%를 자체 설계한 가상자산 교환 사이트 3곳에서 비트코인으로 바꾼 뒤 곧바로 현금화한 것으로 드러났다. 나머지 43%는 중국·미국·홍콩·스위스 등 13개국 51개 거래소로 분산 이동시켜 자금세탁을 벌였다. 이는 추적을 극도로 어렵게 만드는 전형적인 국가 배후 해킹의 자금세탁 수법이었다. 여러 국가와 거래소를 거치며 자산의 출처를 흐리는 방식으로 세탁이 진행됐다. 이 정교한 세탁 과정은 이후 국제 공조 수사가 필요했던 핵심 이유가 됐다.

사고 5년 만인 2024년 11월 21일 경찰청 국가수사본부는 이 해킹의 주범이 북한 정찰총국 산하 해커조직 라자루스와 안다리엘이라고 발표했다. 이는 국내 가상자산 해킹을 북한 소행으로 공식 규명한 첫 사례로 기록됐다. 경찰은 북한 IP 주소가 사용된 정황과 '헐한 일' 같은 북한 특유의 용어가 확인된 점을 근거로 제시했다. 미국 연방수사국(FBI)과의 공조로 확보한 자료도 결론을 뒷받침했다. 오랜 미제 사건을 국가 배후 공격으로 못박은 상징적 수사 성과였다.

국가수사본부는 북한의 IP 주소, 북한 어휘 사용, FBI 등 해외 기관과의 공조로 확보한 증거를 종합해 북한 소행이라는 결론에 도달했다고 밝혔다. 이는 단순한 정황이 아니라 국제 수사 공조를 통해 확보한 다층적 증거에 기반한 판단이었다. 그동안 국내 거래소 해킹은 배후를 특정하지 못한 채 종결되는 경우가 많았다. 이번 규명은 향후 유사 사건에서 북한 등 국가 배후 공격을 입증하는 수사 모델이 됐다. 가상자산 보안과 국가 안보가 직결된다는 인식을 확산시킨 계기이기도 했다.

경찰은 일부 탈취 자산이 스위스의 한 거래소로 흘러 들어간 사실을 확인하고 현지 당국과 공조 수사를 벌였다. 그 결과 약 6억원 상당의 4.8비트코인을 환수해 업비트 측에 돌려주는 성과를 거뒀다. 이는 국내 수사기관이 해외로 세탁된 가상자산을 실제로 회수한 드문 사례였다. 다만 전체 피해 규모에 비하면 환수액은 일부에 그쳤다. 그럼에도 국제 공조를 통한 가상자산 환수의 실효성을 보여준 의미 있는 결과로 평가됐다.