2억 3,500만 달러 와지르X 해킹: 상환을 보장하지 않는 리커버리 토큰

1. 화면과 페이로드가 달랐던 멀티시그

2024년 7월 18일, 인도 거래소 와지르X(WazirX)의 멀티시그 지갑에서 회사 추산 2억 3,000만 달러 이상의 가상자산이 유출되었습니다. 엘립틱(Elliptic)은 200종 이상, 약 2억 3,500만 달러의 피해로 추정했고 공격자가 토큰을 탈중앙화 서비스에서 이더리움으로 바꿨다고 분석했습니다.^[1][2]

지갑은 2023년 2월부터 리미널(Liminal) 커스터디로 운영됐습니다. 와지르X 5명과 리미널 1명 중 와지르X 3명이 렛저 하드웨어 지갑으로 승인하고 리미널이 최종 승인해야 했으며, 그노시스 세이프의 화이트리스트 주소만 허용했습니다.^[1]

와지르X의 예비 보고서는 서명자가 화면에서 본 내용과 실제 서명된 데이터 사이의 불일치를 원인으로 지목했습니다.^[1]

이번 사이버 공격은 리미널의 인터페이스에 표시된 데이터와 트랜잭션의 실제 내용 사이의 불일치에서 비롯되었습니다.^[1]

— 와지르X, 멀티시그 지갑 사이버 공격 예비 보고서 (2024년 7월 18일)

2. 440만 채권자와 하나의 대차대조표

와지르X는 지갑 제어권을 넘기도록 페이로드가 교체됐다고 의심했지만, 이는 회사 추정이지 사법 판단이 아닙니다. 거래소는 출금과 거래를 중단했습니다. 엘립틱은 북한 연계 해커를 지목했고, 2025년 1월 미·한 공동성명도 상세한 업계 분석을 근거로 2억 3,500만 달러 탈취를 북한(DPRK)에 귀속했습니다.^[1][2][3]

2024년 8월 27일, 와지르X 운영사인 싱가포르 법인 제타이(Zettai Pte Ltd)는 싱가포르 고등법원에 모라토리엄을 신청하여 30일간 소송 및 청산 유예를 얻고 법정 채무조정(Scheme of Arrangement) 수립에 착수했습니다.^[4]

회사 신청에 따르면 수사기관 신탁 예치금을 제외한 440만 명 이상 이용자는 무담보 채권자였습니다. 채무조정은 투표와 법원 인가로 모두를 구속하며, 바이낸스와의 소유권 분쟁과 자산을 초과한 부채라는 불확실성도 있었습니다.^[4][10]

손실은 동일 순위 무담보 채권자 모두에게 비례 배분(pro-rata)되었습니다. 싱가포르 회사법 제210조(3AB)는 투표 채권자 과반수의 인원수 동의와 총 채권액 75% 이상의 가치 동의를 요구하며 이후 법원 인가를 받아야 합니다.^[4][5]

3. 5억 달러의 잔고, 리밸런싱된 희망

제타이의 공식 예시에서 2024년 7월 18일 13:00 IST 기준 총채권은 5억 4,600만 달러였습니다. 회생안은 자산을 조기 분배용 순유동성 자산과 장기 회수가 필요한 비유동성·도난 자산으로 나눴습니다.^[7][2][4]

2025년 1월 회사는 약 85.25%(변동폭 0.5%)의 법정화폐 환산액을 발효 후 10영업일 내 토큰으로 분배한다고 밝혔습니다. 저유동성 토큰은 일부 USDT로 정산되고 해킹 후 입금분은 전액 반환됩니다. 회사는 이 수치가 참고용 추정치이지 확정 약속이 아니라고 명시했습니다.^[6]

잔여 청구권에는 총 10억 개의 리커버리 토큰이 5억 4,600만 달러 총채권에 비례해 배정됐습니다. 이는 비유동성·도난 자산의 지분을 나타내며 즉시 현금화하거나 요구 시 상환할 수 없습니다. 분기 순회수액이 1,000만 달러 이상일 때 일부가 환매에 쓰이고 미달액은 이월됩니다.^[7][4]

비용 준비금 3,000만 달러가 보전될 때까지 회사 수익의 100%를 배분하고, 이후 36개월간 또는 모든 토큰 매입 시까지 이익의 50%를 공유하는 조건이 인가되었습니다. 다만 이 역시 총 회수액을 보장하지는 않습니다.^[4]

4. 찬성과 거절, 그리고 다시 얻어낸 95%

1차 투표는 2025년 3월 19~28일 크롤 플랫폼에서 진행되었습니다. 알바레즈 앤 마살 검증을 거친 회사 발표에 따르면 1억 9,565만 달러 채권의 14만 1,476명이 참여해 인원수 93.1%, 채권액 94.6% 찬성으로 가결되었습니다.^[5]

그러나 2025년 6월 4일 싱가포르 고등법원은 HC/SUM 940/2025에서 인가를 거절했습니다. 언론은 신규 디지털 토큰 서비스 제공자(DTSP) 규제 체계에서 리커버리 토큰의 처리 문제가 우려되었기 때문이라고 보도했습니다.^[8][11]

MAS가 FSM Act 2022 규정을 2025년 6월 30일 시행하자, 제타이는 잔마이 랩스가 분배와 운영을 맡도록 수정했습니다. 법원은 6월 4일 결정을 취소하고 재투표를 허가했습니다. 7월 30일~8월 6일 14만 9,559명(채권 2억 689만 달러)이 참여해 인원수 95.7%, 채권액 94.6%로 재가결했습니다.^[4][8]

와지르X 창업자 니샬 셰티는 재투표 결과를 긍정적으로 평가했습니다.^[8]

2차 투표에서 이처럼 강력한 지지가 나온 것은 공정하고 투명하며 이용자가 자금을 회수할 수 있는 가장 빠른 선택지를 제공한 당사의 회생 접근법을 입증하는 결과입니다.^[8]

— 니샬 셰티(Nischal Shetty) 와지르X 창업자 (2025년 8월 보도자료, The Hindu 인용)

5. 법원 인가와 효력 발생, 그러나 끝나지 않은 변제

2025년 10월 13일, 제타이는 싱가포르 고등법원이 회생안을 수정과 함께 인가했다고 발표했습니다. 코인텔레그래프는 15만 명 이상의 이용자에게 보상 경로가 열렸다고 보도했습니다. 명령문은 10월 15일 싱가포르 기업청(ACRA)에 등기되었고 제210조 계획은 당일부터 법적 효력을 발휘했습니다.^[9][11][10]

니샬 셰티 창업자는 법원 인가가 신속한 사업 재편의 이정표라고 밝혔습니다.^[9]

이번 인가는 암호화폐 역사상 최대 규모의 사이버 공격을 겪었음에도 글로벌 크립토 업계에서 가장 신속하게 이뤄진 구조조정 중 하나라는 점에서 와지르X 여정의 중대한 이정표입니다.^[9]

— 니샬 셰티 와지르X 창업자 (2025년 10월 13일 보도자료)

플랫폼은 비트고(BitGo) 커스터디 체제에서 재가동했습니다. 디크립트는 10월 24일 수수료 무료 정책, 일일 약 25%씩의 순차 재개, 이미 가능해진 INR 출금을 보도했습니다. 당시 리커버리 토큰 발행은 회생안에 따라 준비 중이었습니다.^[9][12]

1차 분배는 채권액의 추정 약 85.25%였으며, 인도 머드렉스 CEO는 디크립트에 "15% 결손분은 여전히 우려"라고 밝혔습니다. 일부 이용자는 기대보다 적은 수량을 받았다고 주장했고 델리 고등법원은 제타이에 바이낸스 인수 계약서 제출을 명령했습니다. 리커버리 토큰은 즉시 현금화할 수 없으며 규제 요건을 충족해야 거래될 수 있고 환매 역시 불확실한 자산 회수와 장래 이익에 의존합니다. 도난당한 자산은 여전히 미래의 미청산 청구권으로 남아 있습니다.^{[12][6][7][9]}