코인데스크의 10월 28일 보도에 따르면 빗썸은 외부 침입자가 직원용 내부 모바일 시스템에 접근해 개인정보가 유출됐다고 밝혔다. 직원들이 업무를 처리하고 메시지를 주고받는 시스템이 공격 대상이었다. 회원정보까지 유출됐는지는 분석 중이며, 보도에서 전한 아시아 오후 시점까지 가상자산 자금 손실은 보고되지 않았다.
빗썸은 침해된 시스템과 거래 플랫폼을 분리해 운영한다고 설명했다. 이를 근거로 이번 침입 경로를 통해서는 고객 가상자산에 접근할 수 없다는 입장을 밝혔다. 다만 노출된 개인정보의 정확한 범위와 피해 인원은 공개하지 않았다. 입출금 여부에 관한 설명도 없어, 자산 접근에 대한 회사 설명과 서비스 운영 상태는 구분해서 볼 필요가 있다.
침입 사실을 발견한 때는 발표 전날인 화요일이었다. 빗썸은 한국인터넷진흥원과 개인정보보호위원회에 신고했다고 밝혔다. 거래량 기준 국내 두 번째 규모인 거래소에서 발생한 이번 사고에 대해 금융감독원은 수요일 빗썸을 포함한 3개 금융회사를 평가하고 있다고 전했다.
함께 보도된 금융회사들의 피해 양상은 달랐다. 대신증권은 외부 공격으로 고객 38,490명의 개인정보와 신용정보가 유출됐다고 밝혔다. 미래에셋자산운용은 일부 웹 시스템에서 비정상적인 접근을 차단했으며 투자자 정보에는 영향이 없었다고 설명했다. 대신증권이 공개한 피해 인원은 빗썸의 유출 규모를 나타내는 수치가 아니다.