2025년 업비트 해킹

1.개요

2025년 업비트 해킹은 2025년 11월 27일 오전 4시 42분부터 5시 36분까지 54분 동안 업비트의 핫월렛에서 솔라나 네트워크 기반 가상자산이 외부 지갑으로 빠져나간 사고다. 핫월렛은 인터넷에 연결된 채 입출금에 쓰는 지갑이다. 처음 알려진 피해 규모는 약 540억 원이었고, 최종 집계는 445억 원이다.

업비트 운영사 두나무는 사고 당일 "비정상 출금으로 인해 발생한 손실은 전액 회사 자산으로 보전하며 회원 자산에는 어떠한 피해도 없다"고 밝혔다. 데일리안에 따르면 두나무는 이용자 몫 약 386억 원을 회사 자산으로 메웠고, 빠져나간 자산 가운데 약 26억 원어치는 동결했다.

업비트는 2019년 11월 27일에도 이더리움 34만2천 개(당시 약 580억 원)를 탈취당했다(2019년 업비트 해킹). 두 사고는 날짜가 같다. 한국경제는 두 사고의 수법이 같다고 보도했다. 2025년 사고가 난 날은 두나무와 네이버파이낸셜이 합병을 발표한 날이기도 하다(네이버파이낸셜·두나무 주식교환).

2.경과

• 2025년 11월 27일 오전 4시 42분~5시 36분: 솔라나 계열 자산이 외부 지갑으로 빠져나갔다.
• 11월 27일: 두나무가 가상자산 입출금을 모두 멈추고 손실 전액을 회사 자산으로 보전하겠다고 공지했다. 디지털데일리는 두나무가 네이버파이낸셜과의 합병 관련 일정을 마친 뒤에야 사고를 알렸다며, 이용자 보호보다 사업 일정을 앞세웠다는 '늑장 공지' 비판이 나왔다고 전했다.
• 사고 직후: 금융감독원과 금융보안원이 현장점검에 나섰고 한국인터넷진흥원(KISA)이 인력을 지원했다. 경찰도 조사에 착수했다.
• 11월 28일: 과학기술정보통신부는 2019년 사고와 "동일한 북한 조직의 소행일 가능성이 크다"고 밝혔다. 북한 정찰총국 산하 해킹 조직 라자루스를 가리킨다.
• 2026년 6월: 국민의힘 이헌승 의원이 금융감독원에서 받은 자료에서 업비트가 해킹 사고 후속 조치로 약 7억9천만 원을 보상한 것으로 집계됐다.
• 2026년 7월: 금융감독원이 검사를 마치고 두나무에 검사의견서를 보냈다. 사고 약 8개월 만이다.

3.대응과 결과

3.1.두나무

두나무는 이용자 자산에 해당하는 손실을 회사 자산으로 메웠다. 빠져나간 자산 가운데 약 26억 원어치는 동결해 회수 절차를 밟았다. 이와 별도로 업비트가 해킹 사고 후속 조치로 지급한 보상은 약 7억9천만 원으로 집계됐다.

3.2.수사

경찰이 조사에 착수했고, 정부는 사고 이튿날 북한 라자루스를 유력한 배후로 지목했다. 한국경제는 핫월렛과 콜드월렛 사이의 연결 구간을 노리고 관리자 계정 정보를 탈취하는 방식이 2019년 업비트 사고와 같다고 전했다. 정부의 지목은 수사 초기의 판단이며, 이 문서가 참고한 보도에는 수사 결론이 나와 있지 않다.

3.3.금융당국

금융감독원은 두나무의 보안 체계와 내부통제, 사고 보고가 제때 이뤄졌는지, 이용자 자산 보호 의무를 지켰는지를 검사했다. 2026년 7월 보낸 검사의견서에 대해 두나무가 소명하면, 금융감독원이 제재안을 올리고 제재심의위원회와 금융위원회 의결을 거친다.

현행 가상자산이용자보호법에는 해킹을 당한 사실 자체를 직접 처벌하는 조항이 없다. 그래서 실제 제재 수위는 예방 조치와 보고 절차에서 위반이 드러나느냐에 달려 있다고 디지털데일리와 데일리안은 전했다. 2026년 9월 기준 제재는 결정되지 않았다.

4.영향

업비트는 같은 날짜에 6년 간격으로 두 번 핫월렛을 털렸다. 두 번 모두 두나무가 손실을 회사 자산으로 메웠다.

이헌승 의원 자료에 따르면 2020년부터 2026년 4월까지 5대 원화 거래소에서 해킹과 전산 장애 사고가 57건 일어났다. 업비트가 26건으로 가장 많았고 빗썸이 14건이었다. 같은 기간 거래소들이 지급한 보상은 모두 약 70억 원이다.

사고 공지가 합병 발표 일정 뒤로 밀렸다는 비판은 금융감독원 검사의 쟁점이 됐다. 디지털데일리는 금융감독원이 두나무 제재 절차에서 이 '늑장 공지'를 겨누고 있다고 보도했다. 석 달 뒤인 2026년 2월에는 빗썸에서 비트코인 오지급 사고가 나, 거래소의 자산 관리와 내부통제를 두고 금융당국의 점검이 이어졌다.