자이프 거래소 해킹과 매각 사건

일본 금융청(FSA)은 자이프를 운영하는 테크뷰로의 부실한 내부통제와 관리 체계를 문제 삼아 2018년 3월과 6월 두 차례에 걸쳐 업무개선명령을 내렸다. 당국은 이 회사가 이용자 자산 관리와 시스템 보안 측면에서 등록 거래소로서 갖춰야 할 최소한의 기준에 미달한다고 지적했다. 자이프는 2014년 설립돼 일본 금융청의 정식 인가를 받은 초기 거래소 중 하나로, 비트코인·비트코인캐시·모나코인 등을 취급하며 인지도를 쌓아온 곳이었다. 그러나 잇단 행정 제재에도 회사는 근본적인 보안 체계 개선에 실패했다. 이는 석 달 뒤 벌어질 대규모 해킹 사고의 전조였다.

2018년 9월 14일 오후 5시부터 7시 사이 자이프의 핫월렛이 해커의 공격을 받아 비트코인, 비트코인캐시, 모나코인 등 총 67억엔, 미화 약 6000만 달러 상당의 가상자산이 빠져나갔다. 도난 자산 중 45억엔은 이용자 자산이었고 나머지 22억엔은 회사 자체 보유분이었다. 회사는 사흘 뒤인 9월 17일에야 이상 거래를 감지했고 다음 날인 18일 금융당국에 사고를 정식 보고했다. 탐지가 늦어지면서 해커가 훔친 자산을 이미 상당 부분 세탁했을 가능성이 제기됐다. 이는 일본 정부 인가를 받은 등록 거래소에서 발생한 초대형 해킹 사고로 업계에 큰 충격을 줬다.

해킹 사실이 당국에 보고된 2018년 9월 18일 자이프는 입출금과 거래를 포함한 전 서비스를 즉시 중단했고, 일본 금융청은 세 번째 행정 제재를 검토하며 긴급 현장 검사에 착수했다. 이미 두 차례 업무개선명령을 받았던 회사였던 만큼 당국은 등록 취소 가능성까지 열어두고 강도 높은 조사를 예고했다. 이용자들 사이에서는 예치했던 자산을 돌려받을 수 있을지에 대한 불안이 확산됐다. 회사 측은 외부 투자 유치를 통한 자본 확충으로 사태를 수습하겠다는 방침을 밝혔다. 이는 이후 외부 자본에 회사를 매각하는 수순으로 이어지는 첫 단계였다.

해킹 발생 열흘여 만인 2018년 9월 말 테크뷰로는 일본 투자지원업체 피스코와 50억엔 규모의 자본 지원을 받는 기본합의를 체결했다고 발표했다. 이는 자체 자금만으로는 도난당한 이용자 자산을 보전할 여력이 없다는 사실상의 시인이었다. 다만 합의 시점에는 이용자 보상 방식과 구체적인 시기가 확정되지 않아 이용자들의 불안은 쉽게 가라앉지 않았다. 시장에서는 이번 지원이 사실상 회사 매각을 위한 사전 단계라는 관측이 지배적이었다. 실제로 협상은 이후 두 달 만에 지분 인수를 통한 경영권 이전으로 귀결된다.

2018년 11월 24일 피스코 계열사가 테크뷰로로부터 자이프 사업 부문에 대한 지분 인수를 완료하며 경영권 이전이 마무리됐다. 새 대주주는 도난당한 이용자 자산에 대한 보상을 약속했으며, 비트코인과 비트코인캐시 피해자에게는 해당 코인으로, 모나코인 피해자에게는 약 60%만 코인으로 나머지는 엔화 현금으로 지급하는 보상안을 확정했다. 보상금 지급은 2018년 9월부터 11월 말까지 순차적으로 이뤄졌다. 이번 인수로 자이프라는 브랜드와 서비스 자체는 유지됐지만 창업 이후 쌓아온 독립 거래소로서의 정체성은 사실상 끝났다. 업계에서는 이를 일본 가상자산 시장이 해킹 사고 이후 대형 자본에 재편되는 신호로 받아들였다.

해킹 발생 7개월여 만인 2019년 4월 22일 자이프는 피스코 산하에서 신규 회원 가입과 모든 거래 기능을 정상화하며 완전한 서비스 재개를 선언했다. 이는 대형 해킹을 겪은 거래소가 별도 법인 인수를 거쳐 영업을 이어간 이례적인 사례로 꼽혔다. 그러나 재개된 서비스는 해킹 이전과 달리 훨씬 강화된 보안 체계와 자산 관리 기준 아래 운영됐다. 기존 테크뷰로 측은 남은 절차를 마무리한 뒤 회사를 청산하겠다는 방침을 재확인했다. 일본 금융당국은 이번 사건을 계기로 등록 거래소에 대한 콜드월렛 보관 의무 등 규제를 한층 강화했다.