빗썸 유령 코인 사건 분석 | 장부 거래의 구조적 허점과 시세 조작 가능성

2026년 2월 6일 저녁 7시, 국내 2위 가상자산 거래소 빗썸에서 전례 없는 금융 사고가 터졌다. 랜덤박스 이벤트 당첨금 62만 원을 지급하려다 단위를 '원'이 아닌 '비트코인(BTC)'으로 입력하는 바람에, 249명에게 총 62만 개의 비트코인이 쏟아진 것이다. 사고 당시 시세로 환산하면 약 60조 원에 달하는 천문학적 규모다.

이 사건이 단순한 '입력 실수'로 끝나지 않는 이유가 있다. 빗썸이 보유한 비트코인은 자체 수량 175개와 고객 예치분 4만 2,619개를 합쳐도 약 4만 2,794개에 불과하다. 그런데 보유량의 15배에 달하는 62만 개가 고객 계좌에 찍혔다. 존재하지도 않는 코인이 마치 실제 자산처럼 지급되고, 일부는 실제로 거래까지 성사됐다. 거래소가 마음만 먹으면 '없는 코인'을 만들어 유통시킬 수 있다는 가능성이 현실로 드러난 셈이다.

이 글에서는 이번 빗썸 사태가 왜 발생했는지, 장부 거래(오프체인) 시스템의 구조적 허점은 무엇인지, 그리고 이것이 비트코인 자체의 신뢰 문제인지 거래소 시스템의 문제인지를 구분해 분석한다.

1

빗썸 유령 코인 사건의 전말과 핵심 쟁점

사건의 경위를 시간순으로 정리하면, 빗썸은 2월 6일 오후 7시경 자체 랜덤박스 이벤트를 진행했다. 이벤트에 참여한 695명 중 당첨자 249명에게 1인당 2,000원~5만 원 상당의 현금을 지급하려 했다. 그런데 담당자가 전산 시스템에 금액을 입력하면서 '원(KRW)' 단위를 '비트코인(BTC)' 단위로 잘못 설정했다. 2,000원을 줘야 할 사람에게 2,000 BTC가, 5만 원을 줘야 할 사람에게 50,000 BTC가 입금된 것이다.

빗썸은 사고 발생 약 20분 후인 오후 7시 20분에 이상을 감지했고, 7시 35분에 관련 계좌의 거래와 출금을 차단했다. 그러나 이미 35분이라는 시간 동안 일부 이용자가 오지급된 비트코인을 시장에서 매도했다. 빗썸 발표에 따르면 실제 거래된 비트코인은 1,788개로 약 1,800억 원 규모다.

핵심 쟁점은 세 가지다. 첫째, 보유량보다 15배 많은 비트코인이 어떻게 지급될 수 있었는가. 둘째, 존재하지 않는 코인으로 실제 매매가 성사된 것이 시세 조작과 다름없지 않은가. 셋째, 거래소가 의도적으로 이런 행위를 한다면 막을 방법이 있는가.

2

장부 거래(오프체인) 시스템이 유령 코인을 만드는 구조

이번 사건의 근본 원인은 거래소의 장부 거래(오프체인, Off-chain) 시스템에 있다. 비트코인의 블록체인은 '위변조가 불가능한 분산 장부'라는 점에서 높은 신뢰도를 지닌다. 그런데 정작 우리가 거래소에서 코인을 사고팔 때, 그 거래는 블록체인 위에서 일어나지 않는다.

거래소에서 이뤄지는 매매는 거래소 내부 데이터베이스(DB)의 숫자를 바꾸는 것에 불과하다. A 고객이 B 고객에게 1 BTC를 판매하면, 블록체인에 트랜잭션이 기록되는 것이 아니라 거래소 전산의 'A 잔고 -1 BTC, B 잔고 +1 BTC'로 장부만 갱신된다. 이것이 바로 오프체인 거래, 즉 장부 거래다.

이 구조에는 실제 블록체인의 보유량과 거래소 내부 장부의 숫자가 실시간으로 연동되지 않는 치명적 허점이 존재한다. 거래소 내부 전산에서는 이론상 아무 숫자나 입력할 수 있다. 콜드월렛에 4만 개의 비트코인이 있든 40만 개가 있든, 내부 DB에 '잔고 200만 BTC'라고 기록하면 그것이 고객 화면에 그대로 표시된다.

이번 빗썸 사건에서 62만 개의 비트코인이 지급될 수 있었던 것은, 오지급 프로세스가 온체인이 아닌 오프체인에서 진행됐기 때문이다. 블록체인 네트워크를 통해 실제 코인을 전송했다면, 보유량 4만여 개를 초과하는 순간 트랜잭션 자체가 거부됐을 것이다. 그러나 거래소 내부 장부에 숫자를 입력하는 방식이었기에, 실물 자산의 유무와 관계없이 '디지털 차용증(IOU)'이 무한정 발행된 것이다.

3

삼성증권 유령주식 사태와의 비교 분석

이번 빗썸 사태는 2018년 4월 삼성증권 유령주식 사태와 구조적으로 판박이라는 평가가 지배적이다. 두 사건 모두 '단위 입력 오류'로 존재하지 않는 자산이 발행됐고, 일부가 실제로 시장에서 거래되면서 가격 교란이 발생했다.

삼성증권 사태의 경우, 우리사주 조합원 2,018명에게 1주당 1,000원의 현금 배당을 하려다 1,000주를 잘못 입력했다. 그 결과 28억 1,295만 주의 유령 주식이 생성됐고, 이는 당시 시가 기준 약 112조 원에 해당하는 규모였다. 직원 16명이 이 유령 주식 501만 2,000주를 시장에 매도했고, 주가는 급락했다. 이후 관련 직원들은 유죄 판결을 받았으며, 삼성증권은 6개월 일부 영업 정지 처분과 대표이사 사임이라는 결과를 맞았다.

두 사건의 메커니즘은 놀라울 정도로 유사하지만, 빗썸 사태가 더 심각하다고 보는 시각도 있다. 삼성증권의 경우 증권시장의 예탁결제원이라는 중앙 기관이 존재해 최종적인 결제 과정에서 유령 주식의 실물 인수도가 불가능했다. 반면 가상자산 거래소에는 이런 중앙 감시 장치가 없다. 거래소 내부 장부만으로 자산 생성·이전·매매가 모두 가능하기에, 외부에서 이상을 감지하기가 훨씬 어렵다.

4

비트코인은 사기인가, 거래소 시스템이 문제인가

이번 사건 이후 '비트코인은 사기 아니냐'는 논란이 다시 불거졌다. 그러나 이 질문에 정확하게 답하려면 비트코인(블록체인 프로토콜)과 거래소(중앙화 플랫폼)를 명확히 분리해야 한다.

비트코인 블록체인 자체는 2009년 가동 이후 단 한 차례도 위변조된 적이 없다. 전 세계 수만 개의 노드가 동일한 거래 기록을 보유하고 있으며, 특정 누군가가 블록체인에 가짜 비트코인을 생성하는 것은 현실적으로 불가능하다. 비트코인의 총 발행량은 2,100만 개로 코드에 의해 엄격히 제한되어 있고, 약 4년마다 채굴 보상이 반감되는 구조로 인플레이션이 통제된다.

이번 사건에서 62만 개의 '유령 비트코인'이 생성된 공간은 블록체인이 아니라 빗썸의 내부 데이터베이스다. 쉽게 비유하면, 금(金) 자체는 진짜이지만, 금을 보관해주겠다며 가짜 보관증을 남발한 보관소의 문제인 것이다.

그렇다고 해서 비트코인 생태계에 구조적 문제가 없다고 할 수는 없다. 현실에서 대부분의 투자자는 블록체인과 직접 상호작용하지 않는다. 거래소라는 중앙화된 중개자를 통해 코인을 매매하고, 거래소 장부에 기록된 숫자를 '내 자산'으로 인식한다. 이 중앙화 레이어에서 FTX의 고객 자산 유용(2022년, 약 80억 달러), 그리고 이번 빗썸의 유령 코인 사건 같은 문제가 반복적으로 터진다.

국내 가상자산 투자자는 약 1,500만 명을 돌파했고, 2024년 12월 기준 국내 5대 거래소의 월간 거래대금은 약 541조 원에 달했다. 코스피와 코스닥 합산 거래대금의 2배에 가까운 규모다. 이처럼 거대한 시장이 움직이는데, 거래소 내부 장부의 신뢰성을 담보할 제도적 장치가 미비하다는 점이 이번 사태의 진짜 문제다.

2024년 7월 시행된 가상자산 이용자 보호법은 거래소가 고객 예치 자산과 동일한 종류·수량의 자산을 실질적으로 보유하도록 규정하고 있다. 그러나 이번 사건은 그 보유량 검증 시스템, 즉 준비자산 증명(Proof of Reserves) 체계가 실시간으로 작동하지 않았음을 입증했다. 거래소가 내부 장부 숫자를 조작하거나 오류를 일으켜도, 온체인 자산과의 정합성을 즉시 대조하는 메커니즘이 부재한 것이다.

빗썸은 연간 영업 이익이 1,000억 원을 넘는 대형 사업자다. 그럼에도 자산 지급 프로세스에서 '수량 상한 검증'이나 '보유량 초과 차단' 같은 기본적인 안전장치가 작동하지 않았다. 한 금융권 관계자는 "거래소 내 자산 이동이 블록체인과 무관하게 법정화폐 장부처럼 작동한다는 것을 보여준 사례"라며 "무결성 검증조차 어려운 중앙화 시스템이 핀테크 혁명을 논하는 것은 어불성설"이라고 지적했다.

5

거래소 장부 조작으로 시세 조작이 가능한가

이번 사건은 거래소가 마음만 먹으면 시세 조작이 가능하다는 우려를 현실로 만들었다. 사고 직후 오지급된 비트코인이 대량 매도되면서, 빗썸 내 비트코인 가격은 다른 거래소 대비 17% 낮은 8,111만 원까지 폭락했다. 다른 거래소에서 9,800만 원대에 거래되던 비트코인이 빗썸에서만 급락한 것이다.

이 과정에서 발생하는 피해는 크게 두 가지다. 첫째, 갑작스러운 가격 폭락에 놀란 기존 이용자들이 패닉셀(공포 매도)에 나서면서 추가 하락이 발생한다. 둘째, 거래소 간 가격 차이를 이용한 차익거래(아비트라지)가 발생해, 빗썸에서 싸게 사서 다른 거래소에서 비싸게 파는 방식으로 부당 이익을 취하는 것이 가능해진다.

빗썸은 "거래된 계좌가 모두 내부 계좌이며 외부 인출은 없었다"고 해명했지만, 이것이 문제의 본질을 해소하지는 못한다. 거래소가 의도적으로 유령 코인을 생성해 특정 계좌에 지급하고, 이를 시장에 매도시켜 가격을 떨어뜨린 뒤, 저점에서 되사들이는 시나리오가 기술적으로 가능하다는 점이 확인됐기 때문이다.

실제로 2022년 FTX 파산 사태에서는 거래소가 고객 자산 약 80억 달러를 자매회사 알라메다 리서치에 유용하면서 시장 전체를 뒤흔들었다. CEO 샘 뱅크먼-프리드는 사기죄로 25년형을 선고받았다. FTX의 경우 고의적 자산 유용이었고, 빗썸의 경우 단순 입력 오류라는 차이가 있으나, 두 사건 모두 중앙화 거래소가 가진 자산 조작 가능성이라는 동일한 구조적 취약점에서 비롯됐다.

국회에서도 이번 사건을 계기로 가상자산 거래소의 내부 통제와 장부 관리 시스템에 대한 규제 강화 목소리가 커지고 있다. 가상자산 기본법 2단계 입법 과정에서 거래소의 자산 보유 실시간 검증 체계 구축, 대주주 지분 제한(15~20% 수준) 등 더 강력한 규제가 도입될 가능성이 높다.

6

투자자가 반드시 알아야 할 자산 보호 대책

이번 사건에서 가장 중요한 교훈은 '거래소에 맡긴 코인은 내 것이 아닐 수 있다'는 사실이다. 암호화폐 업계에는 "Not your keys, not your coins(당신의 키가 아니면, 당신의 코인이 아니다)"라는 격언이 있다. 거래소 장부에 찍힌 숫자와 블록체인 위의 실제 코인은 근본적으로 다르다.

자산을 보호하기 위한 구체적 방법으로는, 장기 보유 물량의 경우 하드웨어 월렛(레저, 트레저 등)이나 소프트웨어 월렛으로 출금해 개인이 직접 프라이빗 키를 관리하는 것이 가장 안전하다. 매매를 위해 거래소에 자산을 예치할 때는 필요한 최소 금액만 보관하고, 나머지는 개인 지갑에 분산 보관하는 전략이 효과적이다.

거래소 선택 시에는 준비자산 증명(Proof of Reserves)을 정기적으로 공개하는지, 외부 회계법인의 감사를 받는지, 그리고 가상자산 이용자 보호법에 따른 예치금 분리 보관을 철저히 이행하는지를 확인해야 한다. 거래소의 재무 건전성과 내부 통제 시스템의 수준도 중요한 판단 기준이다.

빗썸은 이번 사건과 관련해 시세 급락 시간대(2월 6일 오후 7시 30분~45분)에 패닉셀로 손해를 본 고객에게 매도 차익 전액과 10% 추가 보상을 지급하겠다고 밝혔다. 고객 손실 규모는 약 10억 원 안팎으로 추정되며, 데이터 검증 후 1주일 내 자동 지급할 예정이라고 한다. 그러나 이 보상이 거래소 전체에 대한 신뢰 붕괴를 얼마나 회복시킬 수 있을지는 미지수다.

이번 빗썸 유령 코인 사태는 비트코인 블록체인 기술의 결함이 아니라, 중앙화 거래소의 장부 거래 시스템이 가진 구조적 취약점이 빚어낸 사건이다. 1,500만 명이 넘는 투자자가 참여하고 하루 수조 원이 오가는 시장에서, 거래소 내부 DB의 숫자 하나가 수십조 원의 유령 자산을 만들어낼 수 있다는 현실은 심각한 경종을 울린다. 투자자 개인은 '내 코인은 내가 지킨다'는 원칙 아래 개인 지갑 활용과 거래소 분산을 실천해야 하며, 제도적으로는 온체인 자산과 내부 장부의 실시간 정합성 검증 의무화, 거래소 내부 통제 시스템 강화, 그리고 가상자산 기본법 2단계 입법을 통한 규제 체계 정비가 시급하다. 지금 당장 개인 지갑을 마련하고, 거래소에 맡겨둔 자산의 보관 방식을 점검하는 것이 가장 현실적인 첫걸음이 될 것이다.