인도 최대 거래소 WazirX 2억3400만 달러 해킹 사태

인도 최대 암호화폐 거래소 WazirX는 2024년 7월 18일 멀티시그 이더리움 지갑에서 약 2억3490만 달러 상당의 디지털자산이 탈취당했다고 발표했다. 해커는 8일에 걸쳐 사전 정찰을 진행한 뒤 WazirX와 커스터디 파트너사 리미널이 악성 스마트컨트랙트 업그레이드를 승인하도록 유도해 지갑 보안을 우회했다. 탈취된 자산에는 이더리움(약 5250만 달러), 시바이누(약 1억200만 달러), USDT(약 579만 달러) 등 다양한 코인이 포함됐다. 이는 인도 암호화폐 산업 사상 최대 규모의 해킹 사고로 기록됐으며, 약 150만 명에 달하는 이용자 자금 인출이 즉시 중단됐다. 이 사고로 WazirX 이용자들은 이후 1년 넘게 자산이 동결되는 장기 피해를 겪게 된다.

해킹 발생 직후 여러 블록체인 보안분석업체들은 자금 이동 패턴과 자금세탁 경로를 분석해 이번 공격이 북한과 연계된 라자루스 그룹의 소행이라고 지목했다. 라자루스는 앞서 로닌 브릿지, 하모니 브릿지 등 여러 대형 크립토 해킹에도 연루된 것으로 알려진 조직이다. 분석 결과 탈취된 자금은 여러 체인을 거쳐 세탁되며 추적을 어렵게 만드는 정교한 수법이 사용된 것으로 드러났다. 이번 공격은 거래소가 보안을 강화하기 위해 도입한 멀티시그 시스템 자체의 절차적 허점을 악용했다는 점에서 업계에 큰 경각심을 불러일으켰다. WazirX는 이후 자체 조사 결과를 바탕으로 피해 복구와 법적 대응 방안을 모색하기 시작했다.

WazirX 운영사가 등록된 싱가포르 고등법원은 2025년 1월 23일 이용자 자금 상환을 위한 채무조정안(Scheme of Arrangement)을 승인했다. 이 조정안은 해킹으로 발생한 손실을 이용자들이 비례적으로 분담하는 구조를 골자로 했으며, 거래 재개와 단계적 자금 인출을 가능하게 하는 법적 토대를 마련하는 것이었다. 그러나 이 초기 승인 이후에도 세부 상환 비율과 절차를 둘러싼 채권자들의 이견이 이어지며 실제 상환까지는 추가 시간이 소요됐다. WazirX는 이 승인을 계기로 커스터디 체계를 전면 개편하고 기관 커스터디 업체와의 협력을 추진하기 시작했다. 이는 거래소가 파산이 아닌 법정 관리 형태의 회생을 시도한 이례적 사례로 주목받았다.

싱가포르 고등법원은 2025년 10월 13일 채권자 95.7%의 찬성을 얻은 수정 구조조정안을 최종 승인했다. 이 안은 2025년 10월 15일 싱가포르 회계·기업규제청(ACRA)에 정식 제출됐으며, 승인 후 10영업일 이내에 거래와 인출을 재개하도록 하는 일정이 담겼다. 최종안 마련까지 약 15개월이 걸린 것은 커스터디 파트너 교체와 손실 분담 비율 재조정 등 복잡한 협상 과정 때문이었다. 이 승인으로 WazirX는 파산이 아닌 회생 절차를 통한 재기의 발판을 마련하게 됐다. 그러나 여전히 최종 손실분 전액 회수 여부는 불확실한 상태로 남았다.

WazirX는 2025년 10월 24일 자산 커스터디를 글로벌 기관 서비스업체 빗고(BitGo)로 이관하고 거래 및 인출 서비스를 공식 재개했다. 해킹 이전 가입자들은 승인된 청구액의 약 85%에 해당하는 자산을 우선 인출할 수 있게 됐으며, 나머지 15%는 향후 복구토큰 형태로 지급될 예정이었다. 이는 약 1년 3개월간 자금이 동결됐던 이용자들에게 실질적인 첫 보상 조치였다는 점에서 의미가 컸다. WazirX 측은 향후 보안 체계를 대폭 강화하고 규제 준수 절차를 재정비하겠다고 밝혔다. 다만 창업자를 둘러싼 책임 소재 논란과 남은 손실분 회수 문제는 이후에도 계속 이어졌다.

WazirX는 2026년 1월 9일 남은 손실분에 해당하는 복구토큰(Recovery Token·RT)이 구조조정안이 약속한 60영업일 이내에 모든 적격 이용자 계정에 비례 배분 방식으로 지급 완료됐다고 확인했다. 복구토큰은 향후 거래소 수익이나 추가 자금 회수 시 가치를 인정받아 상환될 수 있는 일종의 채권형 토큰으로 설계됐다. 이로써 해킹 발생 약 1년 6개월 만에 공식적인 보상 절차의 큰 틀이 마무리됐다. 그러나 복구토큰이 실제 현금 가치로 얼마나, 언제 환수될 수 있을지는 여전히 불투명한 상태로 남았다. 이용자들 사이에서는 명목상 보상 완료 선언과 실질적 피해 회복 사이의 간극에 대한 불만이 이어졌다.

해킹 발생 2주년인 2026년 7월 18일 업계 매체들은 탈취당한 자금 대부분이 여전히 회수되지 않았고 거래소 창업자 니샬 샤티야 역시 사실상 잠적한 상태라고 지적하는 분석 기사를 잇달아 내놓았다. 이용자들은 복구토큰을 받았지만 이를 현금화할 실질적인 방법이 마땅치 않다는 불만을 계속 제기했다. 라자루스 그룹으로 지목된 원 해커의 신원은 여전히 확인되지 않았고, 탈취 자금의 국제적 추적과 환수 노력도 뚜렷한 성과를 내지 못한 것으로 평가됐다. 이 사건은 아시아 최대 규모 거래소 중 하나에서도 보안 사고가 발생하면 이용자 피해 회복이 얼마나 더디고 불완전할 수 있는지를 보여주는 사례로 남았다. 2026년 현재까지도 이 사건은 완전한 해결 없이 부분적 봉합 상태로 이어지고 있다.