거래소를 고르는 기준에서 수수료보다 중요한 건 보안이에요. 한 번의 사고로 자산이 몇 시간 안에 사라지고 회수율은 낮은 게 코인 보관의 현실이거든요. 그래서 한국 5대 거래소가 지난 8년간 어떤 사고를 겪었는지 시계열로 정리하면 어디에 어떤 자산을 얼마나 둘지 판단하기가 한결 수월해져요.
이 글은 2017년 빗썸 사고부터 2025년 11월 업비트 솔라나 핫월렛 사건까지 한국 거래소의 주요 보안 사고와 그 이후의 규제 흐름을 정리한 거예요. 거래소를 비방하려는 글은 아니고 패턴을 보여드리려는 글이에요. 매매 권유는 아니에요.
2017~2019년 — 거래소 보안의 첫 번째 충격기
한국 코인 시장이 폭발적으로 커지던 시기에 보안 사고도 함께 폭증했어요. 거래소들이 빠르게 자산을 받아들였지만 보안 인프라는 그 속도를 따라잡지 못한 시기였어요.
2017년 빗썸 데이터 유출
2017년 6월 빗썸은 직원 PC 해킹을 통해 약 3만 명 규모의 고객 개인정보가 유출되는 사고를 겪었어요. 자산 직접 탈취보다 정보 유출이 핵심이었지만, 이 정보는 이후 보이스피싱·피싱 메일 공격에 재활용된 정황이 확인됐어요. 거래소 보안이 "지갑 키"만이 아니라 "직원 단말 보안"까지 포함된다는 사실을 처음 강하게 보여준 사례였어요.
2018년 코인레일 해킹
2018년 6월 코인레일에서 약 400억 원(당시 환율 기준 약 4천만 달러) 규모의 코인이 탈취됐어요. 이때 빠진 종목은 비트코인·이더리움이 아니라 펀디엑스·NPXS 같은 중·소형 알트가 중심이었어요. 거래소 핫월렛에 보관된 알트 자산이 핵심 타깃이 되는 패턴이 처음 드러난 사고예요. 코인레일은 사고 이후 점유율을 회복하지 못하고 시장 영향력이 크게 줄었어요.
2018년 빗썸 두 차례 추가 사고
2018년 6월 빗썸은 핫월렛에서 약 350억 원이 탈취됐고, 같은 해 후속 사고까지 합치면 누적 피해는 더 커졌어요. 빗썸은 이후 콜드월렛 비중을 대폭 늘리고 보안팀을 분리하는 등 대응에 나섰지만, 이 시기 사고들은 한국 거래소가 글로벌 해커 그룹의 주요 타깃임을 각인시켰어요.
2019년 업비트 이더리움 사고
2019년 11월 업비트 핫월렛에서 약 580억 원(당시 환율 기준 약 4,100만 달러) 규모의 이더리움 34만 2천 개가 탈취됐어요. 한국 경찰과 글로벌 사이버 보안업체의 분석으로 북한 라자루스 그룹 소행으로 결론났고, 이 사고는 한국 거래소 사고와 북한 해킹 그룹 사이의 직접 연결고리를 가장 명확하게 보여준 사례로 남았어요.
2020~2024년 — 비교적 안정기와 시스템 장애
대형 사고가 잠잠해진 5년 구간이지만 시스템 장애·내부 통제 사고는 계속됐어요.
시스템 장애 패턴
2020년 이후에는 외부 해킹보다 내부 시스템 장애·점검 지연·출금 정지 같은 사건이 더 자주 발생했어요. 비트코인 변동성이 크게 튈 때 거래소가 점검에 들어가서 사용자가 체결을 못 하는 사례, 특정 종목 출금이 며칠 막히는 사례 같은 운영 리스크가 누적됐어요. 자산이 직접 빠지는 건 아니지만 매매 기회 손실로는 충분히 큰 영향이에요.
5대 거래소 누적 사고 통계
2023년 이후 약 2년간 한국 5대 거래소(업비트·빗썸·코인원·코빗·고팍스)에서는 약 20건의 보안·시스템 장애 사고가 보고됐어요. 업비트가 6건, 빗썸이 4건, 나머지가 분산된 형태예요. 사고당 영향 규모는 작았지만 빈도 자체가 적지 않아 거래소가 단일 보관처가 되면 안 된다는 메시지를 던져요.
업비트 vs 빗썸 수수료·스프레드 비교에서 두 거래소의 운영 인프라 차이를 더 다뤘어요.
투자 정보 안내
본 글은 미국 주식·ETF에 대한 객관 데이터·시뮬레이션 정보이며, 특정 종목 매수·매도 권유가 아닙니다. 환율·세금·시장 변동 리스크가 있어 본인 판단과 전문가 상담 후 결정하세요.
2025년 11월 업비트 솔라나 핫월렛 사고
가장 최근의 대형 사고가 2025년 11월 27일 업비트에서 발생했어요. 솔라나 핫월렛에서 약 540억 원(약 3,680만 달러) 규모의 자산이 탈취됐어요. 한국 수사 당국은 북한 해킹 그룹의 소행으로 보고 공식 조사를 진행 중이에요.
사고의 의미
업비트는 점유율 71% 이상의 1위 거래소라 이번 사고는 단순 한 거래소의 사고가 아니라 한국 거래소 보안 체계 전반에 대한 신뢰 문제로 번졌어요. 업비트가 자체 자금으로 즉시 보상에 나섰고 "무과실 책임"을 강화하는 방향으로 정부 정책 변화도 빨라졌어요.
규제 대응 — 무과실 책임제 강화 논의
기존 한국 가상자산 규제는 거래소가 "과실이 있을 때"만 보상 책임을 지는 구조였어요. 2025년 11월 사고 이후 정부는 거래소를 은행 수준의 무과실 책임 주체로 격상하는 법안 논의를 시작했어요. 거래소가 어떤 사유든 자산이 빠지면 우선 보상하고 책임을 거래소가 입증하도록 한 구조예요. 통과되면 거래소 입장에서는 보안 투자 압박이 커지고 사용자 입장에서는 보호 수준이 올라가요.
거래소별 보안 등급과 콜드월렛 비중
5월 첫 주 기준 한국 5대 거래소의 핵심 보안 지표를 정리해볼게요.
ISMS-P 인증
5대 거래소 모두 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증을 획득한 상태예요. 인증은 최소 기준선이지 절대적 안전 보장은 아니에요. 인증을 받은 거래소도 사고가 발생할 수 있으니 인증 유무만으로 안전을 판단하면 안 돼요.
콜드월렛 비중
- 업비트: 약 70% (2025년 사고 이후 80% 이상으로 상향 추진 발표)
- 빗썸: 약 70%
- 코빗: 약 70%
- 코인원: 약 70%
- 고팍스: 약 70~75%
5대 거래소 모두 콜드월렛 70% 이상을 유지한다고 공시하고 있어요. 다만 이 비중은 거래소 자체 발표 기반이라 외부 검증이 쉽지 않아요. 핫월렛에 보관된 30%는 거래·출금 처리에 쓰이는데, 그 30%가 사고 시 노출 자산이 돼요.
보험 가입 여부
업비트·빗썸은 핫월렛 보험에 가입돼 있고 일부 사고는 자체 자금 + 보험금으로 보상돼요. 보험이 모든 사고를 커버하진 않지만 일부 위험은 분산돼요. 코빗·코인원·고팍스도 보험 또는 자체 보장 펀드 형태로 대비하고 있어요.
투자 정보 안내
본 글은 미국 주식·ETF에 대한 객관 데이터·시뮬레이션 정보이며, 특정 종목 매수·매도 권유가 아닙니다. 환율·세금·시장 변동 리스크가 있어 본인 판단과 전문가 상담 후 결정하세요.
패턴이 알려주는 보관 원칙
8년 사고 이력을 보면 몇 가지 분명한 패턴이 있어요.
핫월렛에 보관된 자산이 항상 타깃
2018년 코인레일, 2019년 업비트, 2025년 업비트 모두 핫월렛 자산이 표적이었어요. 콜드월렛은 한 번도 탈취된 적이 없어요. 즉 거래소에 자산을 두는 순간 핫월렛 노출 위험은 피할 수 없는 구조라는 뜻이에요.
알트코인이 비트코인보다 더 잘 빠짐
코인레일·업비트 두 사고 모두 알트코인이 핵심 타깃이었어요. 비트코인은 거래량이 압도적으로 커서 탈취 후 자금 세탁이 어려운 반면, 중·소형 알트는 추적이 비교적 쉽지만 동시에 익명성 강한 코인으로 환전이 가능해요. 알트 보유 비중이 큰 분일수록 거래소 보관 위험이 더 커요.
1위 거래소도 예외가 아님
점유율 70% 이상의 업비트가 두 차례나 큰 사고를 겪었어요. "큰 거래소가 더 안전하다"는 인식은 데이터로 뒷받침되지 않아요. 점유율은 유동성·수수료 측면에서는 의미 있지만 보안 면에서는 절대 안전을 보장하지 못해요.
비트코인 거래소 잔고 7년 최저 정리에서 거래소 외부 보관 트렌드를 더 자세히 다뤘어요.
자가 보관 vs 거래소 보관의 균형
8년 패턴이 보여주는 결론은 단순해요. 거래용 자산만 거래소에 두고 장기 보유 자산은 자가 보관이 안전 기준선이에요. 다만 자가 보관도 시드 분실·피싱·기기 분실 같은 다른 위험을 수반하니 만능은 아니에요.
일반적 분산 원칙 (개인 상황별 조정 필요)
- 단기 거래용 자산만 거래소에 두기
- 장기 보유 자산은 하드월렛(레저·트레저) 또는 자가 보관 지갑으로 이동
- 거래소 자체도 1곳 몰빵보다 2곳 분산이 안전
- 시드 구문은 종이·금속에 오프라인 백업
- 피싱 방지를 위해 공식 앱·도메인만 사용
자가 보관도 시드 관리 실수가 많으면 오히려 위험해요. 자기 보안 지식 수준에 맞는 보관처를 정하는 게 핵심이에요. 5천만 원 이상 장기 보유라면 하드월렛 학습 비용을 들일 가치가 충분해요.
자주 묻는 질문
Q: 한국 거래소 중 가장 안전한 곳은 어디인가요?
자본시장법상 특정 거래소가 가장 안전하다고 단정하면 권유로 해석될 수 있어 정확한 순위를 말씀드리긴 어려워요. 5대 거래소 모두 ISMS-P 인증·콜드월렛 70% 이상·핫월렛 보험을 갖췄지만 사고 이력은 거래소마다 달라요. 점유율과 사고 빈도, 자체 자금 보상 능력을 함께 보고 본인 자산 규모와 거래 빈도에 맞게 분산 배치하는 게 가장 실용적이에요.
Q: 사고 발생 시 자산 보상은 어떻게 받나요?
지금까지 한국 거래소 사고는 대부분 거래소 자체 자금으로 보상이 이뤄졌어요. 2019년 업비트 사고도 업비트가 자체 자금으로 사용자 자산을 100% 보상했어요. 다만 이건 거래소의 자율적 선택이지 법적 의무는 아니에요. 2025년 11월 사고 이후 정부가 무과실 책임제를 추진 중이라 향후엔 법적 보호가 더 명확해질 가능성이 있어요.
Q: 콜드월렛 비중이 70%면 안전한가요?
콜드월렛 70%는 한국 거래소의 자율 기준선이지 글로벌 최고 수준은 아니에요. 일부 글로벌 거래소는 95% 이상을 콜드월렛에 두는 곳도 있어요. 중요한 건 비중보다 콜드월렛이 어떤 다중 서명·보관 절차로 운영되는지인데, 이 부분은 거래소 외부에서 검증하기 어려워요. 거래소 발표를 그대로 믿기보다 사고 이력과 함께 종합 판단해야 해요.
Q: 자가 보관 지갑이 거래소보다 무조건 안전한가요?
아니에요. 자가 보관은 거래소 해킹 위험은 피하지만 시드 분실·기기 분실·피싱·악성코드 위험을 본인이 직접 부담해요. 통계적으로 보면 자가 보관에서도 시드 분실이나 피싱으로 자산을 잃는 사례가 거래소 해킹만큼 많아요. 자기 보안 지식 수준에 맞는 보관처를 고르는 게 가장 안전해요.
Q: 한국 거래소가 글로벌 해커의 주요 타깃이 되는 이유가 뭔가요?
한국 코인 시장이 글로벌 거래량 상위에 들어가고, 김치 프리미엄으로 인해 같은 코인이 더 비싸게 거래되며, 5대 거래소가 자산을 집중 보관하고 있어 표적 가치가 크기 때문이에요. 또 북한 해킹 그룹이 외화 획득 수단으로 코인 탈취를 적극 활용하면서 지리적으로 가까운 한국 거래소가 우선 표적이 됐어요. 한국 정부도 이 패턴을 인식하고 거래소 보안 규제를 강화하는 방향으로 가고 있어요.
마무리 — 사고는 줄지만 사라지지 않아요
한국 거래소 보안 사고는 2017~2019년 폭증기를 지나 빈도가 줄긴 했지만 완전히 사라지지 않았어요. 2025년 11월 업비트 사고는 1위 거래소도 예외가 아니라는 점을 다시 확인시켜줬어요. 거래소가 무책임해서 사고가 나는 게 아니라 코인 보관 자체가 본질적으로 사이버 공격 표적이라는 구조적 사실이 핵심이에요.
따라서 거래소 선택 단계에서 보안만 보고 한 곳을 고르는 것보다 자산을 거래용·장기 보유용으로 나누고 보관처를 분산하는 게 훨씬 효과적이에요. 거래소 사고가 발생해도 전 자산이 그 거래소에 있지 않으면 충격이 제한되거든요. 이 글이 거래소 선택과 보관 비중 결정에 작은 참고가 됐으면 해요.
면책 사항 — 본 글은 정보 제공 목적이며 매매 권유나 특정 거래소 권유·비방이 아니에요. 가상자산은 변동성이 큰 자산이고 보관·거래 모두 원금 손실 위험이 있어요. 거래소 보안 정책과 사고 이력은 자주 변경되니 거래 전 거래소 공식 페이지와 최신 보도를 직접 확인하세요. 모든 보관·투자 결정과 손익은 본인에게 귀속됩니다.
참고 자료
- 업비트·빗썸·코빗·코인원·고팍스 공식 보안 공지 (2017~2025)
- KISA ISMS-P 인증 공시
- DLNews "South Korean police probe 30 million Upbit hack" (2025)
- KoreaTechDesk "The Trust Recession: 2025 Upbit Hack" 보도
- BeInCrypto "Korea No-Fault Liability on Crypto Exchanges" 보도