화폐 침몰록 2010-2026: 가상자산 흑조 사건 54선과 12개의 교훈

서문 · 뒷사람을 위한 목록

이 글은 Crypto Archives 한국어판의 연표입니다. 파산 신청서, 법원·규제 기록, 수사기관 발표, 온체인 데이터, 그리고 있는 경우 프로젝트 사후 보고서를 바탕으로 주요 가상자산 흑조 사건 54건을 한 타임라인 위에 모았습니다. 다른 목록이 빠뜨리는 사건은 일부러 넣었습니다. 2010년 CVE-2010-5139 가치 오버플로 취약점, 중국 규제 사이클 세 번, 2023년 3월 USDC 디페그 — 모두 더 유명한 사건이 가르치지 못하는 교훈을 가르치기 때문입니다.

한국어판은 영어판의 단순 번역이 아닙니다. 한국 본지 사건 다섯 개 — Bithumb(2017·2018), Upbit(2019), Coinone(2020-2023), V Global(2021), 테라폼랩스 권도형·신현성 — 를 각 장의 적절한 위치에 끼워 넣었고, 한국 가상자산이용자보호법·특금법·서울남부지검의 사건 처리 동향을 함께 정리했습니다. 글은 7개 장으로 나누어 카테고리별로 배열했습니다.

• 제1장: 중앙화 거래소 붕괴 + 한국 거래소 해킹(Bithumb·Upbit·Coinone) 총 12 사건.
• 제2장: ICO 시대 폰지 + V Global 한국 본지 사건 총 5 사건.
• 제3장: DeFi 익스플로잇과 크로스체인 브릿지 공격 8 사건.
• 제4장: 한국을 흔든 2022년 7개월의 연쇄 붕괴(테라부터 FTX까지).
• 제5장: 스테이블코인 디페그 사례 3건.
• 제6장: 2023-2026 진행 중인 청산, Bybit 약 15억 달러 포함 9 사건.
• 제7장: 프로젝트 부록(SVB 사태로 인한 USDC 디페그 포함) + 5건의 거시·정책 흑조(중국 3차례 규제·COVID 블랙써스데이·Tornado Cash).
• 12개의 교훈 — 전체 아카이브의 실무 산출물.

왼쪽 목차에서 원하는 곳으로 바로 점프할 수 있습니다. 만약 30분 이내에 다 못 읽으신다면 — 마지막 12개 교훈만 읽으셔도 됩니다. 그것이 이 50분짜리 문서의 실무 요약입니다.

요약 · 핵심 숫자

제1장 · 중앙화 거래소 붕괴와 한국 해킹 (2011-2020)

이 장에는 12건을 실었습니다. 파산이나 청산으로 끝난 곳도 있고, 해킹 뒤 손실을 메우고 지금도 운영 중인 곳(Bitstamp, Bitfinex, Coincheck, KuCoin 등)도 있습니다. The DAO는 거래소가 아니라 공격당한 스마트 컨트랙트이며, 같은 시기의 사건이라 이 장에 두었습니다.

1. Mt.Gox 초기 해킹 (2011년 6월)

2011년 6월 어느 저녁, Mt.Gox의 감사인 컴퓨터가 침해되어 계정 자격증명이 도용되었습니다. 공격자는 그 계정으로 로그인해 거대한 매도 주문을 호가창에 부어버렸고, BTC 시장가는 단 몇 분 만에 $0.01까지 무너졌습니다 — 상당량의 BTC가 그 짧은 창에서 헐값에 던져졌습니다. Mt.Gox는 거래 롤백을 시도했지만 저가 체결의 상당 부분은 이미 다른 거래소로 빠져나간 뒤였습니다. 가상자산 역사상 처음으로 '대형 중앙화 거래소가 침해당했다'는 문장이 성립한 사건이었습니다.

2. Bitstamp 피싱 해킹 (2015년 1월)

손실: 18,866 BTC(당시 500만 달러). 원인: 시스템 관리자가 피싱에 속아 악성 VBA 매크로가 든 워드 문서(UPE_application_form.doc)를 열었고, 핫월렛 키가 원격으로 유출되었습니다. 처리: Bitstamp는 약 일주일 영업 중단 → 기존 투자자에게서 대체 자본 조달 → 이용자 전액 보상. 파산 신청을 하지 않았습니다. 의미: 거래소가 해킹을 흡수하고 살아남은 첫 사례. Bitstamp는 2026년 현재도 운영 중인 몇 안 되는 2014년 이전 거래소입니다.

3. The DAO 해킹 (2016년 6월)

손실: 약 360만 ETH(당시 5천만 달러). 원인: The DAO 스마트 컨트랙트의 재진입(reentrancy) 취약점. 공격자는 잔고 갱신 이전에 splitDAO를 재귀 호출하여 컨트랙트를 비웠습니다. 처리: 이더리움 커뮤니티가 둘로 갈라졌습니다. 다수파는 공격을 되돌리는 하드 포크를 지지했고, 그 포크가 오늘 우리가 쓰는 이더리움이 되었습니다. 소수파는 'code is law' 원칙을 지키며 원본 체인에 남았고, 그것이 Ethereum Classic이 되었습니다. 의미: 2010년 사례(제45번 참조)와는 다릅니다 — 그때는 버그를 고치기 위한 소프트포크였고, 이번에는 도난 자금을 되찾으려고 하드포크로 체인 상태를 고쳐 썼습니다. 재진입 취약점은 이후 모든 솔리디티 교과서의 1과가 되었습니다.

4. Bitfinex 12만 BTC 해킹 (2016년 8월)

손실: 약 120,000 BTC(당시 7,200만 달러). 원인: BitGo가 백업하던 2-of-3 멀티시그 핫월렛이 침해당했습니다. 공격자가 서명 키 중 두 개를 확보했지만, 정확한 기술적 방법은 공개된 적이 없습니다. 처리: Bitfinex는 파산을 신청하지 않았습니다. 모든 이용자 잔고를 약 36% 감액하고, 그 보상으로 BFX 토큰을 발행해 나중에 모회사 iFinex 주식으로 전환할 수 있게 했습니다. 2022년 회수: 미국 법무부가 일리야 리히텐슈타인과 헤더 모건을 2022년 2월에 체포하고 약 94,643 BTC를 압수했습니다 — 당시 미국 법무부 사상 최대 규모의 자산 압수였고, 2025년 10월 법무부가 프린스 그룹 회장 천즈를 상대로 약 12.7만 BTC 민사 몰수 소송을 제기하면서 그 기록을 넘어섰습니다.

5. Bithumb 북한 추정 해킹 (2017년 6월 + 2018년 6월) 🇰🇷

빗썸은 2017년과 2018년 두 차례 침해를 겪었습니다. 첫 번째는 직원 PC를 거쳐 회원 정보가 새어 나간 사건이었고, 두 번째는 핫월렛에서 자산이 빠져나간 사건이었으며, 두 사건 모두 북한 연계 공격자의 소행으로 추정되어 왔습니다. 핫월렛에 넣어 두는 금액이 곧 해킹 한 번에 잃을 수 있는 최대치입니다.

6. Mt.Gox 공식 파산 (2014년 2월)

손실: 약 850,000 BTC(이용자분 75만 + 회사분 10만) + 28억 엔의 법정통화. 당시 가치는 약 4억 8천만 달러. 원인: 수년간 누적된 누출. Mt.Gox 자신은 가변성(malleability) 취약점을 탓했지만, WizSec 조사 결론은 2011년 9월 핫월렛 개인키(wallet.dat)가 도난당했고 2013년 중반까지 약 63만 BTC가 조금씩 빠져나갔다는 것입니다. 처리: 2018년 민사 회생(民事更生) 절차 시작. 2024년 7월부터 채권자 기본 변제가 시작되었고, 2025년 10월 관재인은 아직 변제받지 못한 채권자가 많다는 이유로 변제 기한을 2025년 10월 31일에서 2026년 10월 31일로 연장했습니다. 전체 버전: 화폐 침몰록 1권 · Mt.Gox 참조.

7. Coincheck NEM 해킹 (2018년 1월)

손실: 약 5억 3,400만 달러 상당의 NEM 토큰(5억 2,300만 NEM). 원인: 핫월렛 키 보호가 부적절했고 멀티시그가 미구현 상태였습니다. 이용자 NEM의 대부분이 콜드 스토리지가 아닌 온라인 핫 스토리지에 있었습니다. 처리: Coincheck는 회사 자금으로 463억엔(약 4억 2천만 달러)을 전액 엔화 환산 보상. 2018년 4월 Monex 그룹에 인수되어 운영을 이어갔습니다. 의미: 일본 사상 최대 가상자산 절도 사건. 이 사건을 계기로 일본 금융청(FSA)이 모든 가상자산 거래소를 직접 감독하기 시작했고, 멀티시그·콜드월렛 분리·이용자 자산 분리 보관이 의무화되었습니다 — 6년 뒤 한국이 가상자산이용자보호법으로 채택할 구조의 원형입니다.

8. BitGrail $170M NANO (2018년 2월)

손실: 약 1,700만 NANO(당시 1억 7천만 달러). 원인: 피렌체 법원 판단에 따르면 창업자 프란체스코 '더 봄버' 피라노는 적절한 보안 장치를 전혀 두지 않았고, NANO가 승인 없이 거듭 인출되는데도 이를 이용자에게 알리지 않았습니다. 처리: 2019년 1월 피렌체 법원은 거래소 측에 책임이 있다고 판단했습니다.

9. Upbit ETH 580억원 라자루스 해킹 (2019년 11월) 🇰🇷

2019년 11월 27일, Upbit의 ETH 핫월렛에서 342,000 ETH(약 580억원)가 단일 트랜잭션으로 외부 주소로 빠져나갔고, 이 사건은 이후 북한 라자루스 그룹의 소행으로 추정되었습니다.

10. QuadrigaCX 코튼 사망 1.6억 달러 (2019년 1월)

손실: 약 2억 캐나다 달러(약 1억 6천만 달러 USD). 원인: 캐나다 거래소. 창업자 제럴드 코튼이 2018년 12월 인도에서 사망했고, 이용자 콜드월렛 개인키는 코튼 단독 관리였다고 알려져 있었습니다. 발견: Ernst & Young의 파산 조사 결과 '콜드월렛'은 코튼 사망 수개월 전부터 비어 있었습니다. 코튼은 이용자 자금을 개인 트레이딩에 쓰다 손실을 메우지 못했습니다. 처리: 캐나다 파산 절차 회수율 20% 미만. 의미: 가상자산 리스크 프레임워크에 '단일 장애점: 창업자'라는 새 카테고리를 추가한 사건.

11. KuCoin 2억 8100만 달러 해킹 (2020년 9월)

손실: 약 2억 8,100만 달러 상당의 혼합 암호화폐. 원인: 핫월렛 개인키 유출(정확한 방법은 공개되지 않음). 처리: KuCoin은 영업을 유지했고, CEO Johnny Lyu가 Binance·Huobi·OKX 및 대부분의 메이저 토큰 발행사와 협력해 도난 토큰을 동결·하드포크로 무효화했습니다. Johnny Lyu는 2020년 11월 84%를 회수했다고 밝혔고, 나머지는 회사 준비금으로 보전. 이용자 순손실은 0. 의미: 산업 전반의 협력이 대형 해킹도 완화할 수 있음을 보여준 드문 사례.

12. Coinone 상장 뒷돈 사건 (2020-2023) 🇰🇷

2020~2021년 Coinone의 전 상장 담당 이사와 상장팀장이 상장 브로커로부터 특정 코인 상장 편의를 봐 주는 대가로 금품을 받았습니다. 2023년 9월 26일 서울남부지법은 전 이사에게 징역 4년·추징 19억4000만 원, 전 팀장에게 징역 3년 6개월·추징 8억1000만 원을 선고했고, 항소심에서도 실형이 유지됐습니다. 해킹이 아니라 상장 심사 과정 자체가 돈으로 움직였다는 점에서, 거래소에 '상장됐다'는 사실만으로 코인의 질을 판단하면 안 된다는 교훈을 남겼습니다.

제2장 · ICO 폰지 시대 + V Global 한국 본지 사건 (2014-2021)

이 장의 다섯 침몰선은 1장과 결이 다릅니다. 기술적 미숙으로 무너진 것이 아니라 처음부터 사기였던 사건들입니다. 만들 수 없는 수익률을 약속하고, 존재하지 않는 블록체인을 주장하고, 다단계 구조로 하위 라인을 영업원으로 동원했습니다. 이 시대는 가상자산 개인투자자가 처음으로 '이 산업의 일부 프로젝트는 잘못된 회사가 아니라, 코인 옷을 입은 신용 사기'임을 이해하게 만든 시기입니다.

13. BitConnect 24억 달러 폰지 (2018년 1월 붕괴)

손실: 미국 법무부 2022년 기소장에 따르면 BitConnect가 투자자들에게서 받아 낸 돈은 약 24억 달러. 구조: '하루 1%(연 365%) 수익을 만드는 자동 트레이딩 봇'을 내세워 이용자가 BTC를 BCC로 환전해 락업하면 '이자'를 받는 구조. 트레이딩 봇은 존재하지 않았고, 수익은 신규 입금에서 나왔습니다 — 전형적인 폰지. 처리: 2018년 1월 미국 텍사스주·노스캐롤라이나주 두 주의 증권 규제기관이 잇따라 중지 명령 → BCC 일주일 만에 99% 하락. 창업자 Satish Kumbhani는 2022년 미국 법무부에 기소되었고, 지금도 도피 중입니다. 문화적 상징: 'Carlos Matos — Hey hey heyyy!' 유튜브 영상은 지금도 가상자산 폰지의 표본 자료로 인용됩니다.

14. OneCoin 40억+ 달러 'Cryptoqueen' (2014-2019)

손실: 175개국 약 350만 투자자에게서 최소 40억 달러. 구조: 불가리아인 창업자 루자 이그나토바가 만든 다단계. '비트코인 킬러'를 자처했지만 OneCoin에는 블록체인이 아예 없었습니다 — 모든 '거래'는 내부 데이터베이스의 행이었습니다. 다단계 추천 수수료가 매출의 주축이었고, 국가별로 법인 구조를 겹쳐 규제 회피. 처리: 이그나토바는 2017년 10월 그리스 공항에서 사라진 뒤 행방불명이며 FBI 10대 수배자 명단에 올라 있습니다. 그녀의 남동생 콘스탄틴은 2019년 미국에서 체포되어 협조 진술 중. 문화적 의미: BBC 팟캐스트 〈The Missing Cryptoqueen〉은 이 사건을 가장 정밀하게 다룬 다큐멘터리입니다. 국제 가상자산 사기 사상 최대 규모로 추정됩니다.

15. V Global 한국 1조 7천억원 폰지 (2020-2021) 🇰🇷

자체 거래소 'V Global'을 내세워 고수익을 약속하고, 신규 회원을 데려오면 다단계 수수료를 얹어 주는 구조였습니다. 2021년 경찰 수사로 운영이 멈췄고, 집계된 피해자는 약 6만 9천명, 추산 피해액은 약 1조 7천억원입니다. 대표 이모씨는 특정경제범죄가중처벌법상 사기 등으로 1심에서 징역 22년을 선고받았습니다.

16. Centra Tech 셀럽 ICO (2017)

손실: ICO 자금 3,200만 달러 이상. 구조: Visa·Mastercard와 제휴해 '암호화폐 직불카드'를 출시한다고 주장하며 Floyd Mayweather와 DJ Khaled를 유료(미공시) 홍보 모델로 기용. 실상: Visa·Mastercard 제휴는 완전한 날조였고, 제품은 출시되지 않았으며, 창업자들은 화려한 경력의 가공 임원진을 만들어냈습니다. 처리: 2018년 SEC 집행, 창업자 Sohrab Sharma는 연방 교도소 8년형. Mayweather와 Khaled는 미공시 유료 홍보 사실로 별도 벌금. 의미: SEC가 미공시 셀럽 홍보를 본격 제재하기 시작한 사건.

17. PlusToken 30억+ 달러 폰지 (2019년 6월 붕괴)

손실: 최소 30억 달러(추정치 50억 달러까지), 피해자 약 200만명. 주로 중국·동아시아. 구조: '고수익 자동 트레이딩 지갑'을 표방하며 월 9-30% 수익을 약속. 처리: 2019년 6월 출금이 중단됨. 중국 공안은 2019년 7-8월 해외에서 주요 피의자 27명을 송환하고 2020년 3월 핵심 가담자 82명을 추가 검거해 모두 109명을 붙잡았습니다. 2020년 9월 22일 1심, 11월 19일 2심 판결이 나왔고, 판결문에 따르면 BTC 19만여 개와 ETH 83만여 개가 몰수되었습니다.

제3장 · DeFi 익스플로잇과 브릿지 공격 (2020-2022)

2020년 DeFi 폭발 이후 새로운 공격 표면이 등장했습니다. 스마트 컨트랙트 취약점, 플래시 론 합성성(composability) 공격, 크로스체인 브릿지 멀티시그 결함. 이 장의 8개 사건 가운데 4건이 2022년에 일어났습니다.

18. bZx 플래시 론 공격 (2020년 2월)

손실: 두 차례 공격 총 약 100만 달러. 원인: DeFi 플래시 론 합성성 공격의 첫 물결. 공격자는 무담보로 거대 자본을 차입 → Uniswap 가격 오라클을 조작 → 조작된 가격에서 bZx 레버리지 상품을 익스플로잇. 의미: 제3자 가격 오라클을 쓰는 모든 DeFi 프로토콜이 플래시 론 조작에 취약함을 드러냈습니다. 이후 메이저 프로토콜은 TWAP 또는 Chainlink 류의 조작 방지 오라클로 이동.

19. Iron Finance / TITAN (2021년 6월)

2021년 6월의 어느 오후, TITAN 차트를 보고 있던 트레이더들은 자신이 무엇을 목격하고 있는지 깨닫는 데 몇 시간이 걸렸습니다. $65 부근을 횡보하던 토큰이 시계의 분침이 한 바퀴 돌 때마다 가시적으로 무너졌고, 24시간이 지났을 때 가격은 사실상 0이었습니다. 메커니즘 자체는 사후에 보면 단순합니다 — IRON은 USDC 75% + 거버넌스 토큰 TITAN 25%로 짜인 부분 알고리즘 스테이블코인이었고, 큰 손이 TITAN을 던지자 차익거래 로직이 TITAN을 끝없이 발행해 덤핑하며 죽음의 나선이 시작된 것입니다. 약 20억 달러 시가총액이 한낮 사이에 증발했습니다. Iron Finance 자신은 사후 보고서에서 이 사건을 '세계 최초의 대규모 가상자산 뱅크런'이라 불렀습니다.

20. Africrypt 남아공 (2021년 4월)

손실: 초기에는 36억 달러로 보고되었으나 후속 분석으로 약 36억 랜드(2억 달러)로 수정. 경과: 남아공 카지 형제(Ameer & Raees Cajee)가 운영하던 '가상자산 자동 트레이딩' 플랫폼이 2021년 4월 '거래 일시중단'을 공지했고, 이용자는 자금을 찾지 못했습니다. 처리: 남아공 고등법원이 2021년 자산동결 명령.

21. Poly Network 6.11억 달러 해킹 (2021년 8월)

손실: 다중 체인에 걸쳐 약 6억 1,100만 달러. 당시 최대 DeFi 공격. 원인: 크로스체인 브릿지 컨트랙트 취약점. 공격자가 EthCrossChainManager가 위조 메시지를 허용한다는 점을 발견해, 단일 메시지로 모든 브릿지 자산을 자기 주소로 우회. 처리: 공격자가 2주 안에 전액을 반환하며 '취약점을 보여주려 한 화이트햇'을 자처. Poly Network은 공격자에게 'Chief Security Advisor' 칭호와 50만 달러 바운티를 공개 부여. 의미: 대형 공격자가 자금 전액을 자발적으로 반환한 드문 사례(다른 하나는 2023년 Euler, 제48번 참조). 진짜 신원은 끝까지 확인되지 않았습니다.

22. Wormhole 브릿지 3.26억 달러 (2022년 2월)

손실: 약 3억 2,600만 달러(120,000 wETH 상당). 원인: Wormhole Solana ↔ Ethereum 브릿지의 서명 검증 결함. 공격자는 이더리움에서 아무것도 소각하지 않고 '이더리움 측에서 소각됨' 서명을 위조해 Solana 측에서 120,000 wETH를 무료로 발행. 처리: 모회사 Jump Crypto가 24시간 안에 3억 2,600만 달러를 직접 투입해 이용자 자금을 백업. 이용자 순손실 0. 의미: 브릿지 공격이 이용자 손실 없이 마무리된 드문 사례. 동시에 VC 자본이 브릿지 취약성의 외부효과를 흡수한 명확한 사례.

23. Ronin Network Axie 6.25억 달러 (2022년 3월)

Ronin 해킹의 시작은 한 통의 채용 제안 메일이었습니다. 베트남 호치민의 Sky Mavis 시니어 엔지니어가 LinkedIn을 통해 접근한 '고연봉 글로벌 채용' 제안을 받았고, 면접 절차 중에 건네받은 PDF를 열어 보는 순간 멀웨어가 그의 작업 환경 안으로 들어왔습니다. 그 한 대의 PC를 발판으로 공격자는 Sky Mavis가 운영하는 4개 밸리데이터 노드의 키를 확보했고, 마침 트래픽 급증 처리를 위해 Axie DAO가 일시 위임한 1개 노드까지 합쳐 5개 서명이 손에 들어왔습니다. Ronin의 9-노드 5/9 멀티시그 보안 모델이 그렇게 일거에 무너졌고, 단일 위조 인출 트랜잭션으로 173,600 ETH와 2,550만 USDC — 시가로 약 6억 2,500만 달러 — 가 빠져나갔습니다. 회사가 이 사실을 인지한 것은 사고 발생 엿새 뒤 한 이용자가 입출금 오류를 신고하면서였습니다. FBI는 이후 사건을 북한 라자루스 그룹에 공식 귀속했고, Sky Mavis는 바이낸스가 주도한 1억 5천만 달러 지분 투자와 회사 자체 자금으로, 2022년 6월 28일 브릿지 재개 시점에 이용자 손실을 전액 보상했습니다 — 사고 후 약 3개월 만입니다. 사후에 남은 한 줄 교훈은 차갑습니다 — 9개 노드 중 4개를 같은 조직이 운영하는 한, '5/9 멀티시그'라는 보안 라벨은 수학적으로는 진실이어도 운영적으로는 1/2 멀티시그와 다르지 않습니다. 이후 모든 브릿지 설계가 이 문장을 흡수했습니다.

24. Beanstalk 거버넌스 공격 (2022년 4월)

Beanstalk 공격의 결정타는 단 한 트랜잭션 안에서 끝났습니다. Beanstalk의 의결권은 Silo에 예치하면 받는 Stalk에서 나왔고, 제안은 올라온 지 24시간이 지나고 2/3 의결권을 모으면 emergencyCommit으로 즉시 실행할 수 있었습니다. 공격자는 4월 16일 '모든 프로토콜 자금을 내 주소로 옮긴다'는 제안을 먼저 올려 두고 24시간을 기다린 뒤, Aave에서 플래시 론으로 DAI·USDC 등 10억 달러 이상을 빌려 Silo에 넣어 Stalk를 확보하고, emergencyCommit으로 그 자리에서 제안을 실행했습니다. 약 1억 8,200만 달러가 그 한 줄짜리 제안의 실행과 함께 사라졌고, Beanstalk는 그날 강제 중단된 뒤 거버넌스 자체를 처음부터 다시 설계해야 했습니다 — 자금은 회수되지 않았습니다. 이 사건이 DeFi 위협 모델에 추가한 새로운 항목은 '플래시 론 + 거버넌스 투표 결합 공격'이었습니다. 교훈은 '제안 후 24시간'이라는 문턱만으로는 부족하다는 것 — 의결권을 한 트랜잭션 안에서 빌릴 수 있고 투표 직후 바로 실행할 수 있다면, 그 문턱은 있으나 마나입니다.

25. Nomad 브릿지 1.9억 달러 자유 공격 (2022년 8월)

손실: 약 1억 9천만 달러. 원인: Nomad 브릿지 컨트랙트의 초기화 결함 — 배포 업그레이드 과정에서 trustedRoot 필드가 기본값 0x00으로 남았습니다. 결과적으로 위조된 호출이 모두 유효 처리. 특이점: 가상자산 역사상 유일한 '자유 공격'. 취약점이 알려진 직후, 트랜잭션을 복사·붙여넣기 할 수 있는 사람이면 누구나 자금을 빼낼 수 있었습니다. 수백 개 주소가 참여했고 금액은 100달러부터 수백만 달러까지. 처리: Nomad의 '화이트햇 반환 요청'에 약 22%가 회수되었습니다. 의미: 단일 배포 설정 실수가 산업 규모의 자유 공격을 촉발할 수 있음을 보여준 사례 연구.

제4장 · 2022년 한국을 흔든 연쇄 붕괴

이 장의 7개 사건 가운데 6건은 2022년 5월부터 11월까지 7개월에 압축되어 일어났고, 나머지 1건(Genesis)은 2023년 1월에 일어났습니다. 이어진 순서는 이렇습니다. Luna가 무너지고 → 3AC에 청산 명령이 내려지고 → 3AC에 빌려준 Voyager·Genesis 등에 구멍이 생기고 → 11월 FTX 붕괴 → FTX에서 신용 한도를 받았던 BlockFi가 파산을 신청하고 → 2023년 1월 Genesis가 파산을 신청하면서 Gemini Earn 이용자 자금이 묶였습니다.

26. 테라/Luna 붕괴 — 권도형·신현성 (2022년 5월) 🇰🇷

손실: 일주일 만에 450억 달러에 가까운 시가총액 증발. 원인: 알고리즘 스테이블코인 죽음의 나선. UST 디페그 → 차익거래자가 UST를 LUNA로 교환 → LUNA 공급량이 사흘 만에 약 10억에서 약 6조로 폭증 → LUNA 가격이 푼돈 수준까지 붕괴 → UST는 $0.13까지 하락.

한국 본지 맥락: 테라폼랩스는 권도형(Do Kwon)과 신현성(Daniel Shin)이 공동 설립한 싱가포르 법인이지만, 두 창업자는 모두 한국인입니다. UST의 19.5% 수익은 Anchor Protocol을 통해 나왔습니다.

법적 절차 타임라인:

• 2022.09.14 — 서울남부지검 금융증권범죄합동수사단이 권도형 등 8명에 대해 자본시장법 위반·사기·특정경제범죄법 혐의로 체포영장 청구.
• 2022.09.26 — 인터폴이 권도형에 대해 적색수배(Red Notice) 발부.
• 2023.03.23 — 권도형이 몬테네그로 포드고리차 공항에서 위조 코스타리카 여권 소지 혐의로 체포.
• 2023 — 서울남부지검이 신현성 등 테라폼랩스 관계자들을 자본시장법 위반·사기 혐의로 기소. 재판 진행 중.
• 2024.12 — 몬테네그로 법무부 장관이 미국 인도를 명령(앞선 법원 판단은 한때 한국 쪽으로 기울었음).
• 2024.12.31 — 권도형이 미국으로 신병 인도.
• 2025.08·2025.12 — 미국 법원에서 사기 공모 1건·전신사기 1건에 대해 유죄 인정(8월), 징역 15년 선고(12월). 한국 검찰의 혐의는 별도로 남아 있음.

관련 법조항: 한국 검찰 사건의 핵심 쟁점은 LUNA를 자본시장법상 '증권'으로 볼 수 있는지이며, 재판은 아직 진행 중입니다. 전체 버전: 화폐 침몰록 2권 · Terra/Luna 붕괴 날짜별 기록 참조.

27. Three Arrows Capital 붕괴 (2022년 6월)

손실: 약 100억 달러 AUM 증발, 채권자에게 연쇄 효과. 원인: Su Zhu와 Kyle Davies가 세운 가상자산 헤지펀드 3AC는 LUNA·stETH 등에 레버리지 포지션을 보유. Luna 붕괴가 초기 타격, 2022년 6월 stETH 디페그가 가중. 마진 콜에 응할 수 없었습니다. 처리: 영국령 버진아일랜드 법원이 2022년 6월 27일 청산 명령. 2023년 9월 청산인 Teneo가 청산 비협조를 이유로 싱가포르 법원에서 법정모독 구금 명령(형사 체포영장이 아님)을 받아냈고, Su Zhu는 9월 29일 창이공항에서 체포되어 징역 4개월을 선고받았습니다. 시스템적 효과: Voyager는 3AC에 약 6억 7천만 달러(제29번), Genesis는 24억 달러(제32번)를 빌려주고 있었고, 3AC가 무너지자 이 대출은 회수할 수 없게 되었습니다. BlockFi는 FTX의 긴급 대출로 11월까지 버티다 결국 FTX와 함께 무너졌습니다(제31번 참조).

28. Celsius Network 47억 달러 (2022년 6월)

손실: 약 47억 달러의 이용자 예치금 동결. 원인: Celsius는 예치금에 연 17% 수익을 약속. 실제 수익은 이용자 자금을 Anchor Protocol(19.5%) + stETH 차익거래에 투입해 만들어졌습니다. Luna 붕괴가 Anchor를 죽였고, stETH 디페그가 손실을 가중. Celsius는 2022년 6월 13일 출금을 중단. 처리: 2022-2024 파산 절차, CEO Alex Mashinsky는 2024년 12월 2개 혐의(상품사기, CEL 토큰 시세조종 관련 증권사기)에 대해 유죄를 인정했고 2025년 5월 징역 12년을 선고받았습니다. 이용자는 가상자산 가치의 약 60%와 재편된 회사 주식 약 20%를 받았습니다. 의미: Anchor와 동일한 메커니즘 — 약속된 수익은 사업자의 지속적 보조금을 필요로 합니다. 보조금이 끊기면 메커니즘이 무너집니다.

29. Voyager Digital 16.5억 달러 (2022년 7월)

Voyager는 종이 위에서는 모든 것을 제대로 하고 있었습니다. 토론토 증권거래소(TSX) 상장 가상자산 브로커리지, 분기별 공시, 변호사가 검토한 위험 고지문. 그러나 2022년 7월 파산 신청서가 공개되자 시장은 이 회사가 이용자 자금 가운데 약 6억 7천만 달러 — 거의 절반에 가까운 비중 — 를 단 하나의 카운터파티에 빌려주고 있었음을 알게 되었습니다. 그 상대는 6월에 이미 디폴트한 Three Arrows Capital이었고, 회수 가능성은 그 순간 사실상 사라졌습니다. 이용자 동결 자산 총액은 약 16억 5천만 달러로 집계되었고, 2023년 5월 법원이 계획을 인가하고 6월 출금이 열렸지만 1차 회수율은 35.72%였습니다 — 알라메다의 우선권 청구 결과를 기다리는 4.45억 달러가 따로 남아 있어 이후 추가 배당이 이어집니다. 사후에 분기 보고서를 다시 펼쳐 보면 회사는 분명 '집중 위험'이라는 문구를 적어 두긴 했습니다 — 그저 그 문구 옆에 3AC의 이름도, 6.7억 달러라는 숫자도 적지 않았을 뿐입니다.

30. FTX 제국 80억 달러 붕괴 (2022년 11월)

손실: 약 80억 달러의 이용자 자금 부족. 원인: SBF가 통제하는 계열 트레이딩사 Alameda Research가 수년간 FTX 이용자 예치금을 횡령. CoinDesk가 11월 2일 FTT 담보 집중을 폭로하자 인출 러시 발생. 이용자 배당: 이용자는 2025년부터 회생계획에 따라 나눠서 배당을 받고 있으며, 금액은 2022년 11월 11일 기준 달러 가치로 계산됩니다. 전체 버전: 화폐 침몰록 3권 · FTX 참조. SBF 상태: 2023년 11월 7개 혐의 모두 유죄 평결, 2024년 3월 25년 징역 + 약 110억 달러 몰수형. 2026년 6월 12일 제2연방항소법원이 유죄 판결과 형량을 유지했고, 그는 2026년 9월 연방대법원에 상고허가를 신청했습니다. 인용: "내 경력 전체에서 이런 정도의 기업 통제 완전 실패와 신뢰할 수 있는 재무 정보의 완전 부재를 본 적이 없다" — John J. Ray III(Enron 파산 관재인이기도 했던 인물).

31. BlockFi 파산 (2022년 11월)

손실: 약 3억 달러의 이용자 자산 동결. 원인: BlockFi는 2022년 중반에 FTX로부터 4억 달러 긴급 신용 한도를 받아들였습니다(FTX가 안정적 백스톱이라 믿었기 때문). FTX가 붕괴하자 FTX/Alameda 노출 + 기존 3AC 노출이 회수 불가. 2022년 11월 28일 파산. 처리: 2023년 10월 파산 절차를 졸업했고, 2024년 5월 웹 플랫폼을 닫으며 Coinbase를 통해 중간 배당을 했습니다. 2024년 7월 계획 관리인은 FTX 채권을 매각해 인정된 고객 채권에 100% 최종 배당이 가능하다고 발표했습니다. 의미: '구해줄 거라 믿었던 상대가 사실 시스템 리스크 본체'였던 사건의 명확한 사례.

32. Genesis Global Capital (2023년 1월)

손실: 상위 50개 채권자에게 진 빚만 35억 달러 이상. 원인: Genesis는 3AC에 24억 달러를 대출(사후 공시), 회수 불가. 동시에 FTX 붕괴로 Alameda 예치금 1억 7,500만 달러도 손실. 2023년 1월 19일 파산. 연쇄 효과: Gemini의 이용자 대상 'Earn' 상품은 Genesis를 통해 운영되었습니다. Genesis가 중단되자 Gemini Earn 이용자 자금 약 9억 달러가 동결.

제5장 · 스테이블코인 디페그 역사

이 장은 스테이블코인 사건을 한곳에 모았습니다. 핵심 교훈은 Terra/UST가 첫 알고리즘 스테이블코인 실패가 아니라는 점입니다. 긴 계보의 가장 최근 사례일 뿐입니다. 2022년 5월 이전에 스테이블코인 역사를 공부한 사람이라면 무슨 일이 벌어질지 정확히 알 수 있었습니다.

33. NuBits (2016년 6월 / 2018년 3월)

손실: 두 차례 디페그를 합쳐 시가총액 약 1,500만 달러 잠식. 구조: NuBits는 NuShares 거버넌스 토큰과 짝지어진 알고리즘 스테이블코인 — 6년 뒤 Luna/UST 설계와 거의 동일. 결과: 1차 디페그 2016.06 $0.21, 일시 회복; 2차 디페그 2018.03 $0.04, 회복 못함. 의미: 가상자산 역사의 원조 죽음의 나선 사례. 2022년 이전에 스테이블코인 설계를 연구한 사람이라면 NuBits를 몰랐을 수 없습니다.

34. BitUSD 영구 디페그 (2014년 이후)

손실: 정확히 정량화하기 어렵지만 생태계 차원의 손상이 큼. 구조: BitShares의 BTS 담보 스테이블코인. BTS 초과담보로 BitUSD 발행. 결과: BTS 가격 하락으로 BitUSD가 $0.70-0.80 범위에서 반복적으로 디페그, 2018년경 실질 유동성 상실. 의미: 모든 초과담보 스테이블코인 설계의 선례.

35. Neutrino USDN (2022년 4월)

손실: USDN $0.70까지 디페그, Waves 체인 생태계 전반에 약 5억 달러 간접 손실. 구조: Waves 체인의 알고리즘 스테이블코인, WAVES 거버넌스 토큰으로 가격 변동성 흡수 — UST와 유사. 결과: 2022년 4월 1차 디페그, 일시 회복; 2022년 6월(Luna 붕괴 한 달 뒤) 재디페그, 회복 못함. 의미: Luna 이후 알고리즘 스테이블코인에 대한 시장 신뢰가 자유낙하 중이던 시점이라 회복이 불가능했습니다.

제6장 · 2023-2026 진행 중인 청산

2022년의 연쇄 붕괴 이후 산업은 지속적 정리(settlement) 단계에 진입했습니다. 이 장의 9개 사건은 공통 특징을 가집니다. 라자루스 그룹 공격(DMM·WazirX·Atomic·Bybit), 단일 장애점(PlayDapp·Multichain), 오래된 스마트 컨트랙트 취약점의 재출현(Curve), 클라우드 사업자 침해(Mixin).

36. Atomic Wallet 1억 달러 (2023년 6월)

손실: 다수 체인·통화에 걸쳐 약 1억 달러. 원인: 2023년 6월 2일 Atomic Wallet 앱 이용자들이 광범위한 무단 자금 이동을 관찰. 정확한 메커니즘은 끝까지 완전히 공개되지 않았습니다 — 앱 업데이트의 개인키 처리 결함이거나, 악성 의존성을 통한 공급망 공격으로 추정. 귀속: Elliptic 온체인 분석이 북한 라자루스 그룹에 귀속. 처리: Atomic Wallet은 완전한 보상안을 끝내 제시하지 못했습니다. 의미: '비수탁(non-custodial) 지갑 앱' 자체가 기저 프로토콜과 별개의 단일 장애점임을 보여준 첫 대형 사례.

37. Curve Finance Vyper 취약점 (2023년 7월)

손실: 다수 Curve 풀에 걸쳐 약 6,500만 달러. 원인: Curve 자체 코드가 아니라 Vyper 컴파일러 버전 0.2.15, 0.2.16, 0.3.0에 재진입 보호 결함이 있었습니다. 해당 버전으로 작성된 풀이 취약. 연관 위험: CRV 가격이 급락하며 Curve 창업자 Michael Egorov의 개인 대출 포지션이 강제 청산될 뻔했습니다. 그렇게 되면 약 1억 달러 CRV 연쇄 매도가 발생했을 것입니다. Egorov는 Justin Sun·DCF God·Machi(황리청)·DWF Labs 등 매수자에게 OTC로 대량 CRV를 매도하며 청산을 막았습니다. 의미: 스마트 컨트랙트의 공급망 위험을 드러낸 사건 — 프로토콜이 완벽하게 안전해도 컴파일러에 버그가 있으면 취약합니다.

38. Multichain 운영 중단 (2023년 7월)

손실: 약 1억 2,600만 달러 이용자 자금 동결. 경과: Multichain(구 Anyswap)은 크로스체인 브릿지 프로토콜입니다. 2023년 7월 팀이 운영을 지속할 수 없다고 발표했고, 크로스체인 자산은 빼낼 수 없게 되었습니다. 의미: 크로스체인 브릿지는 소수 핵심 인력에 의존합니다. 그 팀이 움직이지 못하게 되면 자금은 그 자리에 묶입니다.

39. Mixin Network 2억 달러 (2023년 9월)

손실: 약 2억 달러. 원인: Mixin은 홍콩 주도의 크로스체인 프로토콜. 2023년 9월 클라우드 사업자 데이터베이스 침해로 부분 개인키 노출. 처리: 창업자가 라이브 방송에서 보상안을 발표 —손실의 절반은 먼저 배상하고, 나머지 절반은 채권 토큰으로 지급한 뒤 향후 이익으로 되사들이는 방식. 의미: 가상자산 리스크 프레임워크에 '클라우드 서비스 사업자'를 새 공격 벡터로 추가. 프로토콜이 안전해도 클라우드가 침해되면 프로토콜이 노출됩니다.

40. HTX (Huobi) 해킹 (2023년 9월·11월)

손실: 2023년 9월 약 800만 달러, 11월 HTX 핫월렛 약 2,620만 달러에 같은 달 Heco 브릿지 약 8,700만 달러가 더해져 브릿지까지 합쳐도 약 1.2억 달러. 원인: HTX는 2023년 9월과 11월에 연속 핫월렛 침해를 보고. 맥락: 이 시점에 HTX는 Justin Sun이 운영적으로 통제하고 있었습니다. Sun은 개인 자금으로 이용자 손실을 모두 보전한다고 공언, 이용자 순손실 0. 의미: 구조적으로 2020년 KuCoin과 유사(해킹-자체보전).

41. PlayDapp 2.9억 달러 민팅 익스플로잇 (2024년 2월) 🇰🇷

손실: 약 2억 9천만 달러 상당의 PLA 토큰 공급 영향(약 17.9억 PLA 발행 후 일부 매도). 원인: PLA 토큰 컨트랙트의 민트 권한이 있는 개인키가 침해되었습니다. 공격자는 2월 9일 2억 PLA, 2월 12일 15.9억 PLA를 추가 발행해 모두 약 17.9억 PLA(사건 전 유통량 5.77억 PLA의 약 3배)를 만들어 거래소에서 점진적으로 덤핑. 한국 맥락: PlayDapp은 한국 P2E 게임 프로젝트로 시작해 한국 거래소에 다수 상장되었던 토큰. 처리: 메이저 거래소들과 협조해 일부 토큰을 동결했지만 PLA 가격은 회복 불가능하게 붕괴. PlayDapp은 스냅샷 기준으로 새 보안 시스템으로 이전해 새 토큰을 교환 발행한다고 발표했습니다. 의미: 상대적으로 주목받지 못하던 '스마트 컨트랙트 민트 권한 관리' 위험을 전면에 부각. 초기 배포 후 민트 권한이 폐기되지 않은 토큰이 다수 — 그 키가 침해되면 토큰은 무한 희석될 수 있습니다.

42. DMM Bitcoin 일본 3.08억 달러 (2024년 5월)

손실: 약 3억 800만 달러(4,502.9 BTC, 사건 당시 시세). 원인: 일본 거래소. 뚫린 곳은 지갑 소프트웨어 공급사 Ginco였습니다. 2024년 3월 말 공격자가 LinkedIn 채용 담당자로 위장해, 지갑 관리 시스템에 접근할 수 있는 Ginco 직원에게 '입사 테스트'라며 악성 Python 스크립트를 보냈습니다. 5월 중순부터는 탈취한 세션 쿠키로 이 직원을 사칭해 Ginco의 암호화되지 않은 통신 시스템에 드나들었고, 5월 하순 이를 통해 DMM 직원이 올린 정상 송금 요청을 조작한 것으로 보입니다. 귀속: FBI, 미 국방부 사이버범죄센터(DC3), 일본 경찰청이 공동으로 북한 사이버 행위자 TraderTraitor(흔히 라자루스 계열로 분류)의 소행으로 지목. 처리: 일본 대기업 DMM 그룹이 자금을 투입해 이용자 손실을 전액 보전. 2024년 12월 DMM은 가상자산 거래소 사업 철수를 공식 발표, 이용자 자산은 SBI VC Trade로 이관. 의미: '해킹 → 전액 보전 → 자발적 시장 철수'의 첫 대형 사례. 전액 보전된 사건이라도 운영자의 의지를 꺾을 만큼 깊은 상처를 남길 수 있음을 보여줍니다.

43. WazirX 인도 2.3억 달러 (2024년 7월)

손실: 약 2억 3천만 달러. 원인: 인도 최대 가상자산 거래소. 털린 멀티시그 지갑의 서명자는 6명(WazirX 5명 + 수탁 서비스 업체 Liminal 1명)으로, 송금하려면 WazirX 서명자 3명이 승인한 뒤 Liminal이 최종 승인하는 구조였습니다. 사고 당시 Liminal 화면에 표시된 내용과 실제로 서명된 내용이 달랐고, WazirX는 거래 내용이 지갑 통제권을 공격자에게 넘기는 것으로 바꿔치기된 것으로 보고 있습니다. 귀속: 온체인 분석이 북한 라자루스 그룹에 귀속. 처리: WazirX는 파산 청산이 아니라 싱가포르 법원의 채무 조정 계획(scheme of arrangement)을 밟았습니다. 2025년 10월 13일 싱가포르 고등법원 승인, 10월 15일 발효, 10월 24일 거래 재개. WazirX에 따르면 거래 재개 후 10영업일 안에 자격을 갖춘 이용자가 인정된 채권의 약 85%(기준 가격 산정일 평가액 기준)를 1차 배분으로 받았고, 나머지는 Recovery Token을 통해 이후 회수분에 참여합니다. 의미: 멀티시그는 '서명한 사람이 충분한가'만 따질 뿐, '각자 본 그 거래에 서명했는가'는 보장하지 못합니다. 서명자가 보는 화면이 조작되면 문턱이 아무리 높아도 다 같이 잘못 서명하게 되고, 7개월 뒤 Bybit도 같은 유형의 문제였습니다.

44. Bybit 약 15억 달러 프론트엔드 하이재킹 (2025년 2월) — 사상 최대 단일 해킹

2025년 2월 21일, Bybit의 보안팀은 평소와 같은 콜드 → 핫월렛 정례 멀티시그 트랜잭션을 처리하고 있었습니다. 멀티 서명자 모두가 모니터에 뜬 익숙한 이체 화면을 보고 차례로 승인 버튼을 눌렀고, 트랜잭션이 체인에 올라간 직후 자산 모니터링 대시보드가 빨간색으로 물들기 시작했습니다. 약 40만 ETH — FBI 추산 약 15억 달러 — 가 한 트랜잭션으로 통째로 외부 주소에 권한이 넘어간 것입니다. 가상자산 역사상 단일 최대 해킹 기록이 그 순간 갱신되었습니다. 사후 포렌식이 밝혀낸 메커니즘은 차라리 그래서 더 무서웠습니다 — 키가 새 나간 것도, 콜드월렛이 뚫린 것도 아니었습니다. 서명 페이지의 프론트엔드에 악성 자바스크립트가 주입되어 있어, 서명자들이 본 '정상 이체' 화면과 실제 하드웨어 지갑이 서명한 명령(공격자 주소에 대한 권한 부여)이 달랐을 뿐입니다. FBI는 공고에서 이 사건을 북한 소행으로 지목하며 TraderTraitor 활동(흔히 라자루스 계열로 분류)이라 불렀고, Bybit는 사고 후에도 출금을 중단하지 않았고, 며칠 안에 자체 자금과 파트너사 차입, ETH 매입으로 부족분을 메운 뒤 이용자 손실은 없다고 발표했습니다. 자체 대차대조표 하나가 그 손실을 통째로 흡수해 낸 것입니다. 이 사건은 '프론트엔드 서명 페이지 하이재킹'을 가상자산 위협 모델의 최상위 공격 벡터로 단번에 끌어올렸습니다. 2023년 Ledger Connect Kit 사건과 같은 계열의 취약점이지만 규모는 2,000배가 넘습니다. 그리고 다시 한 번, 같은 교훈이 굵은 활자로 박혔습니다 — 하드웨어 지갑은 '개인키 도난'을 막을 뿐, '잘못된 내용에 서명하는 인간'을 막지는 못한다는 사실.

제7장 · 프로젝트 부록 + 거시·정책 흑조

앞의 여섯 장에서 다룬 프로젝트급 사건은 44건이었습니다. 이 장은 10개를 더합니다. 앞 장이 빠뜨린 프로젝트급 5건, 그리고 5건의 거시·정책급 흑조 — 특정 프로젝트를 노린 것이 아니라, 주권 국가의 규제·글로벌 유동성 위기·제재 정책 때문에 가상자산 업계 전체가 한꺼번에 타격을 받은 시장급 사건들입니다. 본문 번호는 모두 54건(프로젝트급 49건 + 거시·정책급 5건)입니다.

A. 프로젝트 부록

45. CVE-2010-5139 가치 오버플로 취약점 · 1,844억 BTC (2010년 8월 15일)

손실: 1,844억 BTC가 허공에서 발행됨(온체인 사실, 당시 BTC에 시장가가 거의 없었으므로 달러 손실은 0). 원인: CVE-2010-5139 — 비트코인 트랜잭션 출력 가치 오버플로 취약점. 공격자가 단 한 건의 트랜잭션으로 1,844억 BTC를 자기 지갑에 발행. 사건이 일어난 블록 높이는 74638, 블록당 50 BTC로 추산하면 당시 BTC 유통량 상한은 약 373만 — 이 발행량은 약 4.9만 배. 처리: Satoshi Nakamoto와 코어 개발자들이 5시간 안에 0.3.10 버전을 배포했습니다. 합의 규칙을 좁히는 소프트포크였고, 체인은 블록 74691에서 재구성을 마쳤습니다. 약 53개 블록이 고아 처리되었습니다. 의미: 가상자산 역사상 첫 대형 온체인 재난. '블록체인 불변성'은 극단적 상황에서 '커뮤니티 합의'에 양보한다는 점을 확립한 사건. 6년 뒤 The DAO 사건(제3번 참조)도 커뮤니티 합의로 거래를 뒤집었지만, 그때는 하드포크였습니다.

46. Mango Markets 가격 오라클 사건 (2022년 10월 11일)

손실: 약 1억 1,400만 달러. 원인: Avraham Eisenberg가 Mango Markets(Solana 기반 DEX 무기한 선물)에서 약 1,000만 USDC로 동시에 MNGO 롱·숏 포지션을 개설. 이후 외부 거래소에서 MNGO 현물을 대량으로 사들여 가격을 약 1300% 밀어 올리고, 값이 오른 MNGO를 담보로 잡아 프로토콜 유동성 풀 전체(1.14억 달러)를 차입한 뒤 인출. Eisenberg는 '합법적 고수익 거래 전략'이라 공개 주장. 처리: 2022년 12월 푸에르토리코에서 체포, 2024년 4월 뉴욕 남부지법 배심원단이 전신사기·상품사기·시장조작 유죄 평결. 그러나 2025년 5월 Arun Subramanian 판사가 규칙 29(Rule 29)에 따라 세 건의 유죄를 모두 취소(재판지 부적절, 사기 증거 불충분). 의미: 유동성이 낮은 토큰을 담보로 받아 주면, 적은 자금으로 현물 가격을 밀어 올려 대출 풀을 비울 수 있다는 점을 보여 준 사건.

47. USDC 디페그 · SVB 은행 위기 (2023년 3월 10-13일)

손실: USDC가 $0.88까지 일시 거래; Circle USDC 준비금 중 약 33억 달러가 SVB에 갇힘; 스테이블코인 시장 전반이 패닉 매도. 원인: SVB가 2023년 3월 10일 파산 선언. Circle은 400억 달러 USDC 준비금 중 33억 달러(약 8.25%)가 SVB 현금 예치라고 공시. 시장이 패닉 — 만약 SVB 예금자가 100% 보호받지 못하면 Circle 대차대조표에 즉시 부족분 발생. USDC가 24시간 안에 Curve 3pool과 Uniswap에서 $0.88로 하락. 처리: 3월 12일(일요일) 미국 재무부·FDIC·연준이 SVB 예금자 100% 보호를 공동 발표. Circle은 그날 밤 USDC 준비금을 전액 회수, USDC는 36시간 안에 $1.00 페그 복원. 의미: 법정화폐 준비금형 스테이블코인이 겪은 디페그 가운데 규모가 가장 컸던 사건. '100% 현금 담보 스테이블코인'에도 시스템 은행 위험이 남는다는 점을 확인 — NuBits/UST 알고리즘 경로와는 다른 디페그 모드. 이후 컴플라이언스 중심 스테이블코인은 준비금에서 미 재무채권 비중을 늘리고 은행 예치를 줄였습니다.

48. Euler Finance 1.97억 달러 해킹-회수 (2023년 3월)

손실: 약 1억 9,700만 달러(2023년 당시 단일 최대 DeFi 공격). 원인: Euler V1 대출 프로토콜의 donateToReserves 함수에 결함 — 공격자가 자기차입-자기담보 + 플래시 론 결합으로 헬스팩터 검증을 우회해 다수 풀(DAI/WBTC/USDC/stETH)을 비웠습니다. 처리: 3월 16일부터 공격자가 온체인 협상 끝에 나눠서 반환했고, 4월 3일까지 회수 가능한 자금 전부(당시 시세로 약 2.4억 달러)가 돌아왔습니다. 피해 이용자가 돌려받은 것은 바로 이 반환 자산입니다. 의미: Poly Network 2021과 유사하게, 대규모 DeFi 해킹에서 공격자가 회수 가능한 자금 전부를 자발적으로 반환한 사례. '온체인 공개 협상'을 가상자산 사건 대응의 비표준 옵션으로 등록.

49. Solana 메인넷 중단 사례 (2021-2024)

손실: 사건별 직접 자산 손실은 없지만, 매 중단마다 Solana DeFi 프로토콜·CEX 입출금·NFT 거래가 동시에 멈추며 큰 간접 피해 발생. 주요 중단: 2021.09 — 17시간(IDO Grape Protocol 트래픽 폭주); 2022.04-05 — 약 8시간(NFT 민팅 트래픽 + 밸리데이터 메모리 고갈); 2022.06 — 4시간; 2023.02 — 19시간(한 밸리데이터가 초대형 블록을 전파해 Turbine 중복 제거가 마비); 2024.02 — 단기 중단. 의미: 가상자산에서 Layer-1 메인넷 장애는 드물지 않지만 시장은 대체로 무시합니다. Solana는 그중 최다 발생자 — 2021년 9월부터 2024년 2월까지 평균 6-9개월에 한 번 멈췄고, 그 뒤로는 이 글을 쓴 2026년 5월까지 2년 넘게 중단이 없었습니다. Layer-1에 자산을 수탁하는 사람은 '체인 다운'을 꼬리 위험이 아니라 일상 위험으로 다뤄야 합니다.

B. 거시 · 정책 흑조

50. 중국 인민은행 5부처 가상자산 금지령 (2013년 12월 5일)

시장 영향: 12월 5일 당일 BTCChina 시가 7,005위안, 최저 매수호가 4,521위안, CoinDesk 지수 일간 -22.5%. 3,000위안 아래로 내려간 것은 12월 18일 BTCChina가 위안화 입금을 중단한 뒤였습니다. 원인: 인민은행·공업정보화부·은감회·증감회·보감회 공동 「비트코인 위험 방지 통지」 — 금융기관의 비트코인 서비스 금지, 비트코인의 화폐 지위 부정, 제3자 결제 기관의 가상자산 거래소 서비스 중단 의무화. 결과: 당시 세계 1-3위였던 중국 3대 거래소(Huobi·OKCoin·BTCChina)의 법정통화 입출금이 60일 내에 끊겼고, 시장 점유율이 빠르게 해외 거래소로 이전. 의미: 주권 규제 행동으로 가상자산 시장이 급락한 첫 사례. '중국 규제 문서 + 글로벌 시장 하락' 템플릿을 확립, 2017년과 2021년에 반복됩니다.

51. 중국 9.4 ICO 금지령 (2017년 9월 4일) 🇰🇷 관련

시장 영향: BTC가 $4,900에서 $3,000(-39%), ETH가 $390에서 $220(-44%). 원인: 인민은행 등 7부처 공동 「토큰 발행 자금 조달 위험 방지 통지」 — ICO 금지, 국내 거래소 폐쇄, ICO 프로젝트의 투자금 환불 의무. 한국 관련: 한국 금융위원회도 같은 시기 2017년 9월 29일에 모든 형태의 ICO를 금지한다고 발표했습니다. 결과: 중국·한국 거래소가 60일 내 위안화·원화 ICO 매매 중단, 글로벌 ICO 자금 모집액이 2017Q3 정점 66억 달러에서 2019년 거의 0으로. 의미: 단일 국가 규제 조치가 가상자산을 '글로벌 베어마켓 가속 모드'로 전환시킨 첫 사례. 동시에 ICO에서 해외 운영·탈중앙 자금 조달로의 이주를 촉발해 DeFi 시대를 예고.

52. 블랙 써스데이 · COVID 유동성 위기 (2020년 3월 12일)

시장 영향: BTC가 3월 12일 당일 약 39% 하락 — 7년 만의 최대 일간 하락. 13일 새벽(UTC) $3,867 저점까지 밀려 $7,900 대비 이틀 누적 약 -50%. 원인: COVID-19 팬데믹발 글로벌 유동성 위기. 모든 위험자산이 동시에 매도되었지만 가상자산은 24/7 거래 + 글로벌 개인 레버리지로 인해 주식 시장의 2-3배 더 떨어졌습니다. BitMEX 등 무기한 선물 거래소에서 연쇄 청산 발생. 처리: 일간 청산 총액이 18억 달러를 초과. BTC는 48시간 안에 $5,500까지 회복, 4월 말에는 사건 이전 수준을 되찾음. 의미: 가상자산이 거시 유동성 위기에서 '안전자산'이 아니라 '위험 증폭 자산'임을 입증. 2020년 이전의 'BTC는 디지털 금' 서사를 영구히 바꿨고, DeFi 프로토콜이 가격 폭락 저항 오라클을 도입하게 만들었습니다.

53. 중국 2021년 5월 규제 폭락 (2021년 5월 19일)

시장 영향: BTC가 단일일 $43,000에서 $30,000(-30%), ETH 동시 -40%. 원인: 5월 18일 인터넷금융협회·은행업협회·지급결제협회 3개 협회가 위험 경고를 발표했고 이튿날 시장이 폭락. 이어 5월 21일 국무원 금융안정발전위원회 제51차 회의가 '비트코인 채굴과 거래 행위 단속'을 명시. 이후 내몽골·신장·쓰촨·칭하이·윈난성이 순차적 정리 정책 발표. 결과: 글로벌 BTC 해시레이트가 60일 안에 180 EH/s에서 90 EH/s(-50%)로. 채굴자들이 북미(주로 텍사스)·카자흐스탄·러시아로 대거 이주. BTC 블록 타임이 한때 10분에서 18분 이상으로 늘어남. 의미: 가상자산 사상 최대 해시레이트의 지리적 재분배.

54. Tornado Cash OFAC 제재 · 오픈소스 코드 판례 (2022년 8월 8일)

시장 영향: 시장 가격 영향은 상대적으로 작음(BTC -5%)이지만 개발자 커뮤니티 영향은 거대; TORN 거버넌스 토큰 -50%; Tornado Cash 관련 이더리움 주소를 메이저 DeFi 프로토콜(Aave·Uniswap·dYdX)이 자체적으로 블랙리스트. 원인: 미국 재무부 OFAC가 Tornado Cash — 오픈소스 코드 믹서 — 를 SDN(Specially Designated Nationals) 명단에 추가. 미국이 기업·개인이 아닌 '오픈소스 소프트웨어'를 제재한 첫 사례. 같은 달 개발자 Alexey Pertsev가 네덜란드에서 체포. 후속 동향: 2023년 8월 미국 개발자 Roman Storm 미국에서 자금세탁 공모 혐의로 체포; 2024년 11월 미국 제5순회 항소법원이 OFAC의 오픈소스 코드 제재가 '법정 권한을 초과'한다고 판시하며 원 제재를 부분 무효화. 2025년 3월 21일 미국 재무부가 Tornado Cash를 SDN 명단에서 삭제. 의미: '코드 자체가 제재 대상이 될 수 있는가'라는 근본적 법적 쟁점을 미국 연방 법정에 처음 올린 사건. 결과는 모호 — '오픈소스 코드는 직접 제재해서는 안 된다'는 판례를 세우는 동시에 모든 프라이버시·익명성 도구 개발자에게 큰 위축 효과를 남겼습니다.

⭐ 12개의 교훈 (요약)

이 12개의 교훈은 위의 54개 사건에서 정리한 점검 목록입니다. 각 교훈은 그 근거가 된 구체적 사건과 짝지어져 있습니다.

A. 중앙화 거래소 수탁 (교훈 1-3)

1. 거래소는 PoR(Proof of Reserves)로 고르고, CEO 카리스마로 고르지 마라. 확인할 것은 세 가지입니다 — 정기적으로 공개되는지, 이용자에게 돌려줘야 할 부채 쪽에 검증 가능한 증명이 있는지, 내 계정이 해당 회차 스냅숏에 포함됐는지 직접 조회할 수 있는지. 독립 제3자가 낸 보고서가 있으면 더 믿을 만합니다.
2. 분리되지 않은 계열 트레이딩사는 붕괴의 청사진이다. FTX-Alameda와 Celsius 내부 장부가 같은 패턴이고, Voyager는 단일 카운터파티 3AC에 대출을 몰아준 경우였습니다. 거래소 모회사가 무관한 마켓메이커·헤지펀드·미공시 자기자본 거래 장부를 운영하는지 보세요.
3. 출금 일시중단은 최고 수준의 경보. Mt.Gox, FTX, Celsius, Voyager, Cryptopia, Multichain, V Global — 출금을 멈춘 뒤 정상 영업으로 돌아온 곳은 없습니다. Bitstamp가 2015년 일주일 만에 다시 문을 열 수 있었던 것은 누군가 그 자리에서 돈을 내 구멍을 메웠기 때문이고, WazirX는 2024년 사고 이후 2025년 10월 싱가포르 채무 조정을 마치고서야 거래를 재개했습니다. '출금 일시중단 + 일시적 기술 문제' 공지를 보면 최악의 경우부터 대비하세요.

B. 스테이블코인 (교훈 4-5)

4. '스테이블코인'은 마케팅 라벨일 뿐 — 실제 준비금 구조를 항상 확인하라. 중앙 준비금(USDT/USDC/FDUSD)은 발행사 지급능력 + 협력 은행 안정성에 의존(USDC SVB 2023이 두 번째를 입증). 알고리즘(UST/USDN/NuBits)은 거버넌스 토큰에 대한 신뢰 지속에 의존. 두 방식 모두 다른 방식으로 실패할 수 있습니다.
5. 순수 알고리즘 스테이블코인은 구조적 사망 카테고리. NuBits·BitUSD·Iron Finance/TITAN·Terra/UST·Neutrino USDN — 다섯 번의 디페그-제로가 같은 죽음의 나선 패턴을 증명합니다. '알고리즘 스테이블코인 2.0' 마케팅에 설득당하지 마십시오.

C. DeFi와 크로스체인 (교훈 6-8)

6. 크로스체인 브릿지는 2021-2022년 최대 공격 표면 — 사용을 최소화하라. Poly Network 6.11억 달러, Wormhole 3.26억 달러, Ronin 6.25억 달러, Nomad 1.9억 달러, Multichain 1.26억 달러, Harmony Horizon 1억 달러, Heco 0.87억 달러 — 일곱 건을 합치면 20억 달러가 넘습니다(그중 Poly의 6.11억 달러는 나중에 전액 반환).
7. 플래시론 + 거버넌스 공격은 모든 저유동성 거버넌스 토큰 풀을 노릴 수 있다. Beanstalk가 이 패턴을 보여주었습니다. 보유 중인 DeFi 포지션의 프로토콜에서 의결권을 한 트랜잭션 안에서 임시로 빌릴 수 있는지 확인하세요. Beanstalk에는 '제안 후 24시간' 문턱이 있었지만 플래시 론으로 빌린 의결권에 그 자리에서 실행당했습니다 — 대기 기간만으로는 부족합니다.
8. 하드웨어 지갑은 개인키 도난은 막지만 '잘못된 내용 서명'은 막지 못한다. Bybit 2025(약 15억 달러), Ledger Connect Kit 2023(60만 달러), 최근 몇 년간 반복된 Permit2 승인 피싱 모두 정상 작동 하드웨어에서 하이재킹된 내용에 사용자가 서명한 사례. 하드웨어 지갑은 필요조건이지 충분조건이 아닙니다 — 서명 전 화면을 직접 읽으십시오.

D. 자기수탁 (교훈 9)

9. 단일 벡터에 집중하지 마라. 거래소에는 실제로 거래할 몫만 두고, 오래 보유할 자산은 개인키를 직접 관리하는 콜드월렛으로 옮기세요. 멀티시그와 커스터디도 별도의 '안전한 바구니'가 아닙니다 — 제4번, 제43번, 제44번이 모두 뚫린 멀티시그 구조였습니다. FTX에 100% 넣은 이용자는 2022년 11월 11일 자산 전부가 동결되었고, 2025년부터 회생계획에 따라 나눠 받을 때까지 기다려야 했습니다. 장부상으로는 대부분이 인정 채권액의 약 118%를 돌려받았지만, 2022년 11월 11일 기준 달러 가치로 계산된 금액이라 — 2년 넘게 묶여 있는 동안 코인 가격 상승분은 한 푼도 누리지 못했습니다.

E. ICO / 프로젝트 (교훈 10-11)

10. '수익 보장'은 거의 예외 없이 폰지 신호. BitConnect 일 1%, OneCoin 불투명 수익, Anchor Protocol 19.5%, Celsius 17%, PlusToken 월 9-30%, V Global '300% 보장' — 모두 지속 가능하게 만들 수 없는 수익률을 약속했습니다. 수익원을 3문장 안에 설명하지 못하는 프로젝트는 기본값을 폰지로 간주하십시오.
11. 셀럽 추천은 프로젝트 검증이 아니다. Floyd Mayweather와 DJ Khaled가 Centra Tech, Tom Brady가 FTX 광고. 규제 당국이 미공시 유료 홍보에 벌금을 물린 사례(제16번 Centra Tech)가 있지만, 셀럽이 나섰다는 사실이 누군가 대신 실사를 해 줬다는 뜻은 아닙니다. 셀럽에 기대는 프로젝트는 감점 요인.

F. 메타 교훈 (교훈 12)