태국 SEC, 5000만 달러 해킹 은폐 혐의로 비트컵 기소

2026년 7월 23일, 태국 증권거래위원회(SEC)는 태국 최대 암호화폐 거래소인 비트컵 온라인(Bitkub Online Co.)과 전직 이사 2명을 상대로 형사 고발을 제기했다. 이번 조치는 5년 전인 2021년에 발생한 17억 바트(약 5,000만 달러) 규모의 사이버 공격 사실을 규제 당국에 고의로 은폐하고 허위 보고서를 제출했다는 혐의에 따른 것이다.

SEC의 고발장에 따르면, 비트컵은 2021년 5월 해킹으로 인해 16종의 디지털 자산을 탈취당했음에도 불구하고 이를 즉시 보고하지 않았다. 고발 대상에는 사콜콘 사카비(Sakolkorn Sakavee)와 타위삽 라완(Thaweesap Rawan) 전 이사가 포함되었으며, 이들은 회사 내부 문서를 조작하여 고객 자산이 안전하게 유지되고 있는 것처럼 규제 당국을 속인 혐의를 받고 있다.

비트컵은 2021년 5월 10일부터 10월 30일까지 제출된 일일 순자본 보고서(Form DA 1)에서 중대한 자산 손실을 전혀 언급하지 않았으며, 이는 규제 당국이 회사의 실제 재무 상태를 파악하는 것을 방해하려는 의도적인 행위였다.

2021년 5월에 발생한 이 보안 사고는 비트컵 시스템의 취약점을 노린 공격으로, 당시 가치로 약 17억 바트에 달하는 막대한 자산이 유출되었다. 해커들은 거래소의 핫월렛에 접근하여 비트코인과 이더리움 등 주요 암호화폐를 포함한 총 16가지 자산을 탈취한 것으로 조사되었다.

허위 보고의 메커니즘과 은폐 수법

SEC는 비트컵이 해킹 발생 직후부터 약 5개월 동안 매일 제출해야 하는 'Form DA 1' 보고서에 허위 내용을 기재했다고 지적했다. 규제 당국은 전직 이사들이 고객 자산이 온전하게 유지되고 있으며 회사에 아무런 피해가 없는 것처럼 보이게 하기 위해 고의로 장부를 조작하고 허위 사실을 기재한 것으로 보고 있다.

• 2021년 5월: 사이버 공격 발생으로 17억 바트 상당의 16종 디지털 자산 탈취.
• 2021년 5월 10일 ~ 10월 30일: 손실 사실을 누락한 허위 일일 순자본 보고서 제출.
• 2021년 10월 31일: 비트컵 공동 창업자들이 사비로 탈취된 자산 전액을 보충 완료.

비트컵 측은 이번 고발에 대해 실제 고객 자산의 손실은 전혀 없었으며, 당시 미공개 결정은 시장의 혼란과 대규모 인출 사태(뱅크런)를 방지하기 위한 전략적 판단이었다고 해명했다. 회사 측은 공동 창업자들이 즉각적으로 자산을 보충하여 고객의 자산은 100% 안전하게 유지되었으며, 이번 사건은 사기가 아닌 경영진의 공시 시점 선택에 관한 문제라고 강조했다.

또한 비트컵은 2021년 사건 발생 당시 즉시 경찰에 신고하고 해커를 추적하는 등 법적 절차를 밟았으며, 이후 보안 시스템을 글로벌 상위 20위 수준으로 강화했다고 밝혔다. 거래소 측은 현재 모든 운영이 정상적으로 이루어지고 있으며 고객 자산은 완벽하게 보호되고 있다는 점을 재차 확인했다.

규제 당국의 검증과 향후 법적 절차

태국 SEC는 2025년 9월 8일 실시한 현장 검사에서 비트컵의 고객 자산이 안전하게 보관되어 있음을 확인한 바 있다. 그러나 규제 당국은 자산의 사후 보충이나 현재의 안전 여부와는 별개로, 2021년 당시 발생한 허위 보고 행위 자체가 시장의 투명성을 훼손하는 중대한 법규 위반이라고 판단했다.

이번 사건은 태국 경제범죄수사국(ECD)으로 송치되어 추가 조사가 진행될 예정이다. SEC의 이번 조치는 암호화폐 사업자가 규제 당국에 제출하는 보고서의 정확성이 시장 신뢰의 핵심이며, 과거의 위반 사항이라 하더라도 엄격하게 책임을 묻겠다는 의지를 보여준 것으로 풀이된다.

비트컵 조사 및 규제 대응 타임라인

아래 타임라인은 2021년 해킹 발생 시점부터 2026년 7월 SEC의 형사 고발에 이르기까지 비트컵 사건의 주요 전개 과정을 보여준다.