코인DCX, 옛 입금 주소서 1599만 USDT 손실…회사가 떠안아

인도 암호화폐 거래소 코인DCX(CoinDCX)가 1,599만 USDT(테더가 발행한 달러 연동 스테이블코인)를 잃었다고 25일 공식 블로그에서 밝혔다. 돈이 빠져나간 곳은 지난해 7월 해킹 때 노출돼 쓰지 않기로 한 옛 입금 주소였고, 회사는 손실을 자체 자금으로 떠안았다고 했다. 22일 수밋 굽타 최고경영자(CEO)가 X에서 "헛경보인 것 같다(sounds like a false alarm)"고 했던 일이다.

'헛경보'에서 '운영 손실'까지

이상 거래를 처음 공개한 것은 회사가 아니라 외부 조사자였다. 회사는 21일 시스템에서 이상 징후를 발견했다고 나중에 밝혔다. 일정은 한국 시각 기준이다.

1. 2025년 7월 19일코인DCX가 보안 사고를 알렸다. 이때 노출된 옛 운영 지갑 인프라는 폐기됐다.
2. 2026년 10월 21일코인DCX가 시스템에서 이상 징후를 발견했다고 25일 블로그에서 밝혔다.
3. 22일 0시 35분자금 추적 업체 플래시레스큐 공동창업자 다시(Darcy)에 따르면 이 시각 코인DCX 지갑들에서 트론 주소 하나로 약 1,599만 USDT와 5,783.81 TRX가 빠져나갔다.
4. 22일 14시 30분다시가 X에 이 거래를 공개했다. 가장 큰 한 건은 1,581만9,002 USDT였고, 돈은 여러 번 쪼개져 바이낸스·OKX·게이트 입금 주소로 향했다고 썼다.
5. 22일 17시 10분굽타 CEO는 "코인DCX 지갑은 뚫리지 않았다"며 해커가 옛 주소를 다시 쓰는 것 같다고 답했다. 4분 뒤 회사 계정도 "사용자 자금은 안전하다"며 관련 주장은 "오해의 소지가 있다"고 했다.
6. 22일 20시 47분회사는 옛 주소에 들어온 입금을 옮기는 작업이 한동안 실패했고 "일부 운영 손실"이 났다고 고쳐 밝혔다. 금액은 밝히지 않았다.
7. 25일블로그에서 손실이 1,599만 USDT라고 처음 밝혔다.

입금은 장부에 바로, 돈은 나중에 옮긴다

코인DCX 설명에 따르면 폐기한 주소로 돈을 보낸 사용자가 계속 있었다. 회사는 앱에 새 주소를 띄우고 옛 주소를 쓰지 말라고 안내했지만, 잘못 들어온 돈을 버리지 않으려고 두 단계로 처리했다. 먼저 옛 주소에 돈이 들어오는 즉시 사용자 계정 잔고에 넣어 주고, 별도의 '스위핑(sweeping)' 서비스가 그 돈을 회사의 주 지갑으로 옮기는 방식이다.

이번에는 이 옮기는 서비스가 일정 기간 멈췄고, 그 사이 옛 주소에 입금이 쌓였다. 회사는 옛 지갑 인프라에 "알려지지 않은 취약점"이 있었다고 했다. 사용자 잔고는 이미 장부에 반영돼 있어 고객 입금 잔액에는 변화가 없고, 고객 자산은 분리된 콜드월렛(인터넷과 끊긴 보관 지갑)에 있다는 것이 회사 설명이다. 지난 72시간 동안 거래 중단이나 출금 제한도 없었다고 했다.

코인DCX는 "더 적극적일 수 있었다"면서도 전체 경위를 확인한 뒤 바로 알렸다고 했다. 앞으로 옛 시스템 감시를 강화하고, 옛 주소 유지는 기한이 있는 일이라는 점을 사용자에게 주기적으로 알리겠다고 밝혔다.

잭XBT, 사고 뒤에도 열 달 더 쓰였다고 반박

온체인 조사자 잭XBT(ZachXBT)는 회사 해명과 다른 내용을 내놨다. 그는 문제의 입금 주소가 지난해 사고 뒤에도 10개월 동안 유동성 공급자(LP)에게 쓰였고, 올해 4~5월까지도 사용자 입금을 회사의 현재 공개 핫월렛으로 옮겼다고 썼다. 그러면서 이는 사용자 입금 1,580만 달러를 회사가 파악하지 못하고 있었다는 뜻이라고 주장했다.

굽타 CEO는 잭XBT의 지적에 "알고 있다"며 더 조사하고 있다고 했고, "사용자 자금 손실은 없을 것"이라고 답했다. 잭XBT는 같은 날 밤 이용자들에게 코인DCX에서 자금을 빼라고 권했고, 회사를 위해 여섯 자리(수십만 달러대) 금액의 동결을 도왔다고도 덧붙였다. 미국 매체 더블록에 따르면 코인DCX 홍보대행사는 굽타 CEO의 앞선 발언에 대한 질문에 블로그 글만 안내했다. 더블록은 지난해 7월 사고 피해액을 약 4,400만 달러로 전했다.

원화로 약 214억 원

26일 오전 10시 30분께 업비트 원화마켓에서 USDT는 1,338원, 빗썸에서는 1,337원에 거래됐다. 업비트 가격으로 환산하면 이번 손실 1,599만 USDT는 약 214억 원이다. 함께 빠져나간 5,783.81 TRX는 같은 시각 업비트 가격(441원)으로 약 255만 원어치다.

코인DCX는 국내 원화 거래소와 직접 연결된 곳은 아니다. 코인DCX는 입금하기 전마다 앱이나 웹사이트에서 최신 입금 주소를 확인하라고 안내했다.