2019년 3월. 국내 대형 암호화폐 거래소 빗썸에서 도난 사건이 발생했다. 221억원 상당의 암호화폐가 외부 지갑으로 이체됐다. 빗썸은 외부 해커에 의해 보안시스템이 뚫린 게 아니라, 개인키를 알고 있는 내부 직원의 횡령으로 판단한다고 밝혔다.
2017년 12월 거래소 유빗은 270억원 암호화폐를 탈취당했다. 이중 100억원 규모의 암호화폐는 한 노트북에 보관돼 있었다. 2018년 10월 코인빈(구 유빗) 본부장은 암호화폐 개인키를 백업하지 않고 삭제해, 약 24억원의 암호화폐를 찾을 수 없게 됐다. 그는 실수였다고 주장했고, 코인빈은 파산했다.
국내 거래소에서 내부통제가 미흡해 암호화폐를 잃은 대표적인 사례다. 관련 규제가 없어 누구나 암호화폐 거래소를 차릴 수 있는 상황이라, 이외에도 공개되지 않은 횡령, 절도 사건이 더 많을 것으로 보인다.
코인데스크코리아는 수개월동안 취재 끝에 또 다른 도난 사건(410BTC)을 확인했다. 한때 국내 거래량 3위까지 기록했던 거래소 코인네스트에서 발생한 사건이다. 이번 사건의 당사자는 퇴사한 전직 CEO다.
2017년 4월 김익환 대표가 설립한 코인네스트는 비트코인 가격 상승에 힘입어 2018년 초반까지 엄청나게 성장했다. 중국에서 채굴사업을 했던 김 대표의 인맥을 통해 비트코인캐시, 퀀텀, 네오, 카이버 네트워크 등을 국내 최초로 상장하면서 유명세를 타기도 했다.
그러나 2018년 4월, 김 대표가 국내 거래소 대표 중에 처음으로 구속되면서 상황이 달라졌다. 고객 예탁금 중 336억원을 빼돌리는 등 특경법상 사기 및 배임 혐의였다.
이때 코인네스트 경영은 김 대표가 구속 한달 전 외부에서 영입한 권아무개씨가 맡고 있었다. 미국인인 권씨는 미국 유명 대학에서 컴퓨터공학, 응용수학을 전공하고, 미국의 유명 투자은행에서 초단타매매를 전문으로 하는 퀀트 트레이더로 일하다 암호화폐 트레이딩으로 넘어온 투자전문가였다.
김 대표 구속의 여파로 권씨가 CEO로 일한 기간은 약 2달이다. 그러나 거래소의 가장 소중한 자산에 접근할 수 있는 권한을 얻기에는 충분한 시간이었다. 권씨는 김 대표 구속 후 약 9개월이 지난 2019년 1월, 코인네스트 지갑에 접속해 410BTC(당시가 16억원)를 외부에 있는 자신의 지갑으로 이체했다. 코인데스크코리아가 입수한 권씨 판결문에 따르면, 당시 코인네스트 서버 지갑에 430BTC가 있었다.
2018년 10월 징역 3년, 집행유예 4년으로 풀려난 김 대표는 코인데스크코리아에 "권씨가 퇴사할 때 CEO의 모든 권한을 돌려받았는데, 거래소 지갑 개인키를 따로 적어둔 것 같다"고 말했다. 이에 대해 권씨는 "김 대표가 개인키를 위챗으로 보내줘서 (대화)기록에 남아있었다"고 말했다.
거래소 지갑에서 비트코인이 사라진 사실을 알게 된 김 대표는 다음날 경찰에 고소했다. 그리고 얼마 후 권씨는 구속됐고, 비트코인은 코인네스트에 다시 돌려줬다. 인천지법 형사14부(임정택 부장판사)는 지난 9월20일 권씨에게 징역 3년, 집행유예 4년을 선고했다. 혐의는 특경법상 컴퓨터등사용사기와 정보통신망침해다.
법원은 "대표업무 대행을 맡을 당시 알게 된 정보로 권한 없이 코인네스트 서버에 접속해 비트코인 410개의 시가인 16억원 상당의 재산상 이익을 취득했다"고 했다.
권씨는 잘못을 시인하면서도 코인네스트의 보안이 취약했다고 지적했다. 그는 "회사를 나온 후 별 생각없이 혹시나 해서 코인네스트 서버에 접속했는데 들어가져서 놀랐다"고 말했다. 도둑이 '금고 문이 너무 쉽게 열려 놀랐다'고 말하는 것과 비슷하지만, 메신저로 회사의 지갑 개인키를 공유하고, 경영진 교체 후에도 이를 바꾸지 않은 건 심각한 문제다.
아직 많은 거래소는 자사와 투자자의 암호화폐를 보관하면서도 보안, 내부통제 등은 여전히 취약하다. 규모가 있는 한 국내 거래소도 암호화폐 지갑 관리 직원이 단 2명인 것으로 전해진다. 암호화폐 산업이 희망하는 온전한 금융업으로 성장하기 위해선 앞으로 은행 수준의 시스템과 인력을 갖추어야 할 것으로 보인다. 이를 위해선 거래소 사업 등록제를 포함한 특금법 개정, 외부 수탁 의무 등 제도적 뒷받침도 뒤따라야 할 것이다.
제보, 보도자료는 contact@coindeskkorea.com