523백만NEM·580억엔이 핫월렛에서 빠졌다

유출 NEM: 523백만개 안팎

당시 환산액: 580억엔 안팎

영향 계정: 26만개 안팎

유출 지속: 8시간24분

01 · 핵심 요약

핫월렛에 집중된 NEM이 외부 계정으로 빠져나간 뒤, 추적·배상·거래소 영업개선이 서로 다른 절차로 이어진 키관리 사건이다; 이 글은 '유출 NEM' 523백만개 안팎의 정확한 범위와 사후 절차를 함께 읽는다.

Coincheck는 NEM을 온라인 핫월렛에 집중 보관했고, 공격자는 2018년 1월 26일 장시간에 걸쳐 외부 주소로 옮겼다. 회사가 입출금을 중단한 뒤 일본 금융청은 고객자산 관리, 보안과 경영통제의 결함을 이유로 업무개선명령을 내렸다. 금융청 연구회는 이 사건을 제도개선에 반영했고 2019년 1월 거래소 등록을 승인했다. 등록은 개선 뒤 영업의 법적 지위를 뜻할 뿐 해킹 피해와 고객 배상이 사법적으로 종결됐다는 의미는 아니다. 핫월렛 집중과 등록 전 내부통제가 결합해 단일 키 침해가 대규모 고객자산 이동으로 확대됐다.

규모를 읽는 법

유출량은 약 5억2300만NEM이고 당시 공식 연구보고서 환산액은 약 580억엔이다. 두 숫자는 같은 자산을 수량과 사건 당시 가격으로 표현한 것이어서 합산할 수 없고 현재 시세로 다시 계산하면 기준이 바뀐다. 영향 범위는 약 26만개 계정이며 사람 수와 같지 않을 수 있다. 8시간24분은 첫 유출부터 종료까지의 전송 지속시간으로 발견·복구기간이 아니다. 등록 여부와 실제 고객별 보상액도 이 네 수치와 별도다. 약 26만개는 영향 계정의 공식 연구 범위이며 모든 계정이 같은 NEM 수량을 보유한 것은 아니다. 580억엔은 유출 당시 환산이라 회사가 나중에 적용한 보상단가나 실제 현금지급과 차이가 날 수 있다. 8시간24분 동안 전송이 이어졌다는 사실은 탐지·중단 통제의 지연을 보여준다.

02 · 사건의 구조

무슨 일이 어떤 순서로 이어졌나

핫월렛에 집중된 NEM이 외부 계정으로 빠져나간 뒤, 추적·배상·거래소 영업개선이 서로 다른 절차로 이어진 키관리 사건이다.

01
1. 진입
Coincheck가 다수 고객의 NEM을 온라인에 연결된 핫월렛에 보관하면서 키 침해가 대량자산에 닿을 경로가 생겼다.
02
2. 통제 이탈
공격자는 약 8시간24분 동안 5억2300만NEM을 외부 주소로 옮겼고 약 26만개 계정의 자산 접근이 영향을 받았다.
03
3. 손실·분쟁
거래소는 입출금을 멈췄고 금융청은 고객자산 분리·키관리·경영통제를 고치라는 업무개선명령을 내렸다.
04
4. 결과
2019년 등록으로 영업자격은 정리됐지만 580억엔 환산 유출과 고객별 지급의 최종 법적 종결은 별도 확인 대상으로 남았다.

사건 연표

2018.1.26
공격자는 약 8시간24분 동안 Coincheck 핫월렛에서 5억2300만NEM을 외부 주소로 옮겼다.
2018.1.26
Coincheck는 약 26만개 고객계정에 영향을 준 유출을 확인하고 관련 입출금을 중단했다.
2018.3.8
일본 금융청은 고객자산 관리와 보안·경영통제를 고치라는 업무개선명령을 내렸다.
2018.3.15
금융청은 영문 주간보고서에서 Coincheck에 대한 두 번째 행정조치의 범위를 설명했다.
2018.12.21
금융청 연구회는 핫월렛 보관과 내부통제 실패를 제도개선 보고서에 반영했다.
2019.1.11
일본 금융청은 Coincheck를 암호자산교환업자로 등록해 개선 뒤 영업의 법적 지위를 확정했다.

왜 가능했나

NEM 개인키를 온라인 지갑에 둔 보관방식과 탐지 지연이 대량 유출을 허용했다. NEM 수량, 당시 엔화환산, 영향계정은 같은 손실을 세 번 더한 값이 아니라는 점이 핵심이다. 수치 경계는 ‘유출 NEM 523백만개 안팎 — 무단송금된 NEM 수량’와 ‘당시 환산액 580억엔 안팎 — 금융청 연구보고서 환산’로 나뉜다. NEM 수량과 당시 엔화환산은 같은 유출을 서로 다른 단위로 표시해 피해액 두 항목으로 합산하지 않는다.

법적 근거: ‘コインチェック株式会社に対する行政処分について’. 확정 범위: 업무개선명령. 연표 끝점: 2019.1.11 — 일본 금융청은 Coincheck를 암호자산교환업자로 등록해 개선 뒤 영업의 법적 지위를 확정했다. 사업자 등록은 보관통제의 감독상 지위를 회복한 조치일 뿐 해킹 피해배상이나 유출자산 추적의 사법적 종결이 아니므로, 두 결과는 회사 공시와 수사·재판 기록에서 분리한다.

03 · 같은 일이 여기서 일어난다면

핫월렛 단일키 관리와 고객자산 보호 실패를 국내 거래소 해킹·폐업 사례와 비교한다.

01
일본 금융청은 거래소 등록과 업무개선명령으로 핫월렛 통제를 고쳤다. 한국에서는 FIU 신고, ISMS 요건, 이용자 자산 분리보관과 금융위원회·금융감독원의 검사조치가 결합되며 해외 등록이 국내 신고를 대신하지 않는다.
02
국내 `upbit-2019-hack`과 비교하면 핫월렛 단일키 관리와 고객자산 보호 실패를 국내 거래소 해킹·폐업 사례와 비교한다. 유출 NEM은 무단송금된 NEM 수량, 당시 환산액은 금융청 연구보고서 환산이므로 국내 수치와 합산하지 않는다.
03
Coincheck 계정과 역외 가상자산 지갑이 접점이지만 국내 거래소의 고객자산 보호절차와 일본 행정명령은 별개다. 한국 거래소 비교에서는 콜드월렛 비율만이 아니라 키 접근권한, 출금주소 검증, 최초 이상전송부터 입출금 중단까지의 시간을 본다.

연결해서 볼 국내 사건

2019년 업비트 가상자산 탈취 →

핵심 규모축은 ‘유출 NEM 523백만개 안팎 — 무단송금된 NEM 수량’와 ‘당시 환산액 580억엔 안팎 — 금융청 연구보고서 환산’로 나뉜다. 두 범위는 합산하지 않는다. 국내 비교는 `upbit-2019-hack`의 계약·계정 기록을 기준으로 하며, 후속 상태는 2028-09-04에 일본 금융청 원문으로 갱신한다.

관할 주의 해외 감독당국의 제재·판결·예금보호·배상 절차는 한국에 자동 적용되지 않습니다. 국내 적용 여부는 계약 상대방, 계좌 소재지, 국내 인가와 한국 법령에 따라 별도로 판단해야 합니다.

04 · 근거 자료

판단을 다시 확인할 자료

사실관계 기준일은 2026.09.04입니다. 사건 규모의 숫자는 각 항목에 적힌 범위와 시점을 함께 읽어야 합니다.

핫월렛에 집중된 NEM이 외부 계정으로 빠져나간 뒤, 추적·배상·거래소 영업개선이 서로 다른 절차로 이어진 키관리 사건이다; 이 글은 '유출 NEM' 523백만개 안팎의 정확한 범위와 사후 절차를 함께 읽는다.

무슨 일이 어떤 순서로 이어졌나

1. 진입

2. 통제 이탈

3. 손실·분쟁

4. 결과

사건 연표

왜 가능했나

핫월렛 단일키 관리와 고객자산 보호 실패를 국내 거래소 해킹·폐업 사례와 비교한다.

판단을 다시 확인할 자료