1조 원짜리 체크박스: 세 명의 전문가가 화면을 보고도 은행 돈 9억 달러를 송금해 버린 날

오라클 플렉스큐브(Flexcube)의 난해한 UI 결함, 3단계 결재 라인의 묵인, 그리고 월스트리트 역사상 가장 값비싼 오송금 사태의 전말.

2020년 8월 12일 수요일 아침, 월스트리트의 10개 대형 헤지펀드는 자신들의 수탁 계좌로 **8억 9,393만 4,008달러 7센트(약 1조 원)**의 막대한 현금이 씨티은행 본사 당좌 계좌로부터 입금된 것을 발견했습니다.

화장품 대기업 레블론(Revlon)은 그들에게 빚을 지고 있었습니다.

하지만 씨티은행은 그들에게 1달러의 빚도 지고 있지 않았습니다.

씨티은행의 원래 목적은 레블론을 대행하여 약 **780만 달러(약 90억 원)**의 정기 발생 이자만을 송금하는 것이었습니다. 그러나 은행은 만기가 3년이나 남은 대출 원금 전액을 은행 자체 자금으로 털어 레블론과 소송 중이던 적대적 헤지펀드들의 계좌에 꽂아 넣어버렸습니다.

이것은 세계 금융 역사상 단일 거래 기준 최대 규모의 우발적 오송금(Accidental Wire Transfer) 대참사였습니다.

그리고 이 모든 파국은 은행 전산 터미널 화면에 숨겨져 있던 난해한 3개의 체크박스에서 시작되었습니다.

---

오더 입력 파라미터 불일치 분석 (Forensic Discrepancy Matrix)

실제 지불해야 할 채무와 은행의 의도, 그리고 전산망이 전송해 버린 송금 수치의 격차는 금융 소프트웨어의 난해한 UI가 어떻게 3단계의 전문 결재 라인을 완벽하게 무력화했는지를 보여줍니다:

송금 파라미터	계획된 원래 송금 업무	실제 시스템이 송금한 데이터	레블론의 실제 채무 만기 현황	왜곡 배수
송금 총액	$7,800,000.00 (이자만 지급)	$893,934,008.07 (원금 전액)	780만 달러의 정기 이자만 도래	114.6배 송금 초과
자금 출처	레블론의 당좌 운영 계좌	씨티은행 자체 대차대조표 자금	제3자 기업의 채무 분담	은행 자체 자금으로 대위변제
원금 처리 방식	내부 임시 계정(Wash Acct) 파킹	외부 대출 기관으로 전액 와이어 송금	만기 2023년 (3년 조기 상환)	3년 만기 자동 조기 상환
검증 시스템	3인 6-Eye 교차 결재망	요식적 승인 의례로 전락	이상 고액 송금 경보: 완전 부재	전문가 3인이 모두 승인

---

증거가 입증하는 것:

• 주요 규제 문서 및 법원 기록에 문서화된 기술적 실패 및 재무적 결과.

증거가 입증하지 않는 것 (What the evidence does NOT establish):

• 단일 작업자의 개인적 악의나 의도적 파괴.
• 공식 조사에서 확인되지 않은 추측성 기술적 메커니즘.

1막: 오라클 플렉스큐브(Flexcube)의 치명적 설계 결함

어떻게 1조 원이라는 천문학적인 은행 돈이 오후 한나절 만에 전송될 수 있었는지 이해하려면, 씨티은행이 사용하던 핵심 여신 소프트웨어인 **오라클 플렉스큐브(Oracle Flexcube)**의 인터페이스를 보아야 합니다.

레블론의 채무 재조정 계약에 따라 씨티은행은 복잡한 가상 장부 조작을 해야 했습니다:

1. 레블론은 대출 기관들에 780만 달러의 이자만 지급합니다.
2. 나머지 8억 8,600만 달러의 원금은 씨티은행 내부 임시 대기 계정인 **워시 어카운트(Wash Account, 계정코드 70000)**에 그대로 묶어두어야 했습니다.

하지만 플렉스큐브 소프트웨어에서 원금의 외부 유출을 막는 방법은 직관적이지 않았습니다.

법원 재판 과정에서 공개된 씨티은행 내부 운영 매뉴얼에 따르면, 원금을 내부 계정으로 우회시키기 위해서는 서로 다른 3개의 체크박스를 동시에 수동으로 체크해야만 했습니다:

┌──────────────────────────────────────────────────────────────────────────────────────────┐
│                   오라클 플렉스큐브 체크박스 조합 매트릭스 (법원 증거물)                 │
├──────────────┬────────────────────────┬────────────────────────────────┬─────────────────┤
│ 체크박스 항목│ 화면상 표기된 의미     │ 실제 시스템 동작 방식          │ 작업자 조작     │
├──────────────┼────────────────────────┼────────────────────────────────┼─────────────────┤
│ [ ] PRINCIPAL| 원금 처리 항목 활성화  │ 원금 지급 필드를 활성화        │ ✅ 체크함       │
│ [ ] FRONT    │ 알 수 없는 암호화 약어 │ 외부 와이어 송금을 차단(억제)  │ ❌ 빈칸으로 둠  │
│ [ ] FUND     │ 알 수 없는 암호화 약어 │ 자금을 내부 워시 계정으로 우회 │ ❌ 빈칸으로 둠  │
└──────────────┴────────────────────────┴────────────────────────────────┴─────────────────┘

화면에는 이 체크박스들 간의 상관관계에 대한 안내가 전혀 없었습니다:

• 만약 작업자가 PRINCIPAL 상자 하나만 체크하면, 시스템은 원금을 전액 상환하여 외부 연방준비은행 전산망(Fedwire)으로 송금하겠다는 뜻으로 해석했습니다.
• 원금의 외부 유출을 차단하려면 반드시 PRINCIPAL, FRONT, FUND 3개를 모두 체크해야만 했습니다.

인도 첸나이의 외주 전산 담당자는 PRINCIPAL 상자를 체크하고 내부 워시 계정 번호를 적어 넣었으니 자금이 내부로 들어갈 것이라 오판했습니다. 그는 FRONT와 FUND 상자를 체크하지 않았습니다.

소프트웨어는 즉시 8억 9,393만 달러의 외부 송금 전문을 소리 없이 생성했습니다.

---

2막: 3단계 ‘6-Eye’ 결재망의 완벽한 붕괴

씨티은행은 사고를 막기 위해 3명의 금융 전문가가 단계별로 검증하는 ‘6-Eye’ 승인 프로세스를 운영하고 있었습니다:

작성자 (Maker: 인도 외주직원) ──▶ 검토자 1 (Checker: 선임 외주직원) ──▶ 최종 승인자 (Approver: 씨티은행 부사장)

하지만 3명의 전문가가 화면을 보고도 1조 원짜리 참사를 막지 못한 이유는 다음과 같습니다:

1. 작성자 (Maker - 인도 위프로 파견직): 트랜잭션을 작성하면서 PRINCIPAL만 체크하고 배치 파일을 상위로 넘김.
2. 검토자 (Checker - 선임 검토관): 총액 숫자가 맞는지 확인하고, 작성자가 체크박스 세부 옵션을 올바르게 설정했을 것이라 막연히 가정하며 ‘승인’ 클릭.
3. 최종 승인자 (Approver - 미국 델라웨어 씨티은행 부사장): 최종 결재 요청을 받고 요약 화면을 2분도 채 보지 않음. 요약 화면에 내부 장부 잔액이 “0”으로 정산되어 있는 것만 확인하고, 암호화 서명 키를 입력한 뒤 최종 전송(Transmit) 버튼을 누름.

오후 5시 43분, 전송된 자금은 미국 연방준비은행의 페드와이어(Fedwire) 전산망을 타고 전 세계 수백 개 대출 기관 계좌로 순식간에 흩어졌습니다.

---

공식 판결문 인용: 미국 뉴욕 남부 연방지방법원 판결

다음 날 아침 사태를 파악한 씨티은행이 자금 반환을 요청했으나, 브리게이드 캐피털 등 10개 헤지펀드는 반환을 단호히 거부했습니다:

🏛️ 공식 판결문 인용 (SDNY 20-CV-6539, 제시 퍼먼 연방판사)

“증거에 따르면 씨티은행이 사용한 여신 처리 소프트웨어는 지극히 비직관적이었으며, 단순한 송금 억제를 위해 모호한 3개의 암호화된 체크박스를 수동 선택하도록 요구하고 있었다.

트랜잭션을 검토한 3명의 금융 전문가들은 외부 와이어 송금에 대한 명확한 경고 대신 내부 회계상의 정산 잔액만을 보여주는 시스템 UI로 인해 인지적 맹점에 빠졌다. 세계에서 가장 정교한 금융 기관 중 하나가 적대적 채권자들에게 실수로 8억 9,400만 달러를 전송했다는 사실은, 해당 은행의 내부 통제 시스템이 총체적 마비 상태였음을 의미한다.“

— 미국 뉴욕 남부 연방지방법원 제시 퍼먼(Jesse M. Furman) 판사

---

3막: 2년간의 소송전과 ’레블론 조항’의 탄생

2021년 2월, 1심 법원은 1991년 뉴욕주의 법적 선례인 **‘채무변제 항변 원칙(Discharge-for-Value)’**을 적용하여, 채권단이 씨티은행의 돈 5억 달러를 돌려주지 않아도 된다는 충격적인 판결을 내렸습니다.

씨티은행은 막대한 법률 비용을 투입하여 항소에 나섰습니다.

2022년 9월, 미국 제2순환연방항소법원(21-487)은 1심 판결을 파기환송하며, 레블론의 만기가 3년이나 남아 있었으므로 채권단 역시 이 송금이 정상적인 상환이 아닌 명백한 전산 실수임을 알 수 있었다고 판시했습니다.

결국 헤지펀드들은 2년 만에 돈을 돌려주었지만, 금융 시스템에 남겨진 상처는 막대했습니다:

┌──────────────────────────────────────────────────────────────────────────────────────────┐
│                             최종 재무적 및 제도적 제재 결산                             │
├────────────────────────────────────────────────────────┬─────────────────────────────────┤
│ 잘못 송금된 총 자금 규모                               │ $893,934,008.07 (약 1조 원)     │
│ 우호적 기관이 즉시 자진 반환한 금액                    │ $385,000,000.00                 │
│ 2년간 연방 법원에 묶여 있던 소송 금액                  │ $501,000,000.00                 │
│ 미국 통화감독청(OCC)이 씨티은행에 부과한 과징금        │ $400,000,000.00 (약 4,500억 원) │
├────────────────────────────────────────────────────────┼─────────────────────────────────┤
│ 글로벌 금융권 제도적 영향                              │ 모든 대출 계약에 '레블론 환수 조항' 의무화 │
│ 최고경영진 문책                                        │ 마이클 코뱃 CEO 조기 사임       │
└────────────────────────────────────────────────────────┴─────────────────────────────────┘

미국 통화감독청(OCC)은 씨티은행에 4억 달러(약 4,500억 원)의 대규모 민사 과징금을 부과했습니다.

---

🛡️ 시스템 재발 방지 실무 가이드 (인간의 현실을 견디는 아키텍처)

1조 원 규모의 자금 유출을 막는 안전장치가 모호한 3개의 체크박스 조합에 의존하고 있다면, 그것은 사고가 일어날 수밖에 없도록 설계된 시스템입니다.

현대의 핀테크 및 엔터프라이즈 자금 관리 플랫폼이 이와 같은 오송금을 원천 차단하기 위해 적용하는 3대 원칙은 다음과 같습니다:

1. 마찰의 법칙: 고액 자금 외부 유출의 명시적 모달 UI

치명적인 위험을 가진 명령을 모호한 불리언(Boolean) 체크박스 뒤에 숨겨서는 안 됩니다:

• 외부 유출 경로의 명시적 경고: 송금액이 100억 원을 초과할 경우, 확인 화면에 일반적인 정산 화면 대신 명확한 텍스트 경고창을 강제 출력: [경고: 씨티은행 당좌 계좌에서 외부 10개 계좌로 8억 8,600만 달러의 실물 자금이 출금됩니다].
• 최종 승인자가 승인 버튼을 누르기 전, 외부로 송금되는 정확한 총 금액 숫자를 키보드로 직접 타이핑해야만 락이 풀리도록 물리적 마찰 강제.

2. 물리적 한계선 검증: 대차대조표 이상 유출 한도 차단

고객사의 이자 지급에 은행 자체 자본이 투입되는 것을 시스템적으로 원천 차단해야 합니다:

• 고객사 잔고 대비 송금액 비율 검증: 고객사 계좌에 실제 입금된 현금 잔고를 초과하는 외부 송금 요청은 API 게이트웨이 단계에서 즉시 자동 거부(Hard Reject).
• 은행 자체 자금이 고객의 대출 상환을 위해 자동 차입되는 프로세스는 별도의 여신 한도 승인 없이는 전산망 통과 불가.

3. 비상 브레이크: 인지적 독립성이 보장된 6-Eye 검증망

형식적인 요식 행위로 전락한 다단계 결재 라인을 재설계해야 합니다:

• 독립된 컨텍스트 화면 제공: 최종 승인자에게는 작성자가 넘겨준 템플릿 화면이 아니라, 시스템이 백엔드에서 전송 직전 상태의 ’실제 외부 와이어 송금 전문(Outgoing Wire Payload)’을 추출하여 독립된 1페이지 요약본으로 재렌더링하여 제시.

---

아키비스트의 판결

아키비스트의 분석:

1. 겉으로 드러난 실수: 오라클 플렉스큐브 화면에서 작업자가 FRONT와 FUND 두 개의 암호화된 체크박스를 체크하지 않고 넘긴 단순 조작 실수.
2. 실제로 붕괴한 시스템: 1조 원의 외부 자금 유출 여부를 난해한 3개 체크박스 조합에 맡겨두고, 3명의 검토자가 관성적으로 결재 도장만 찍도록 방치한 거대 글로벌 은행의 부실한 내부 통제 및 소프트웨어 아키텍처.
3. 합리적인 사람들이 이를 방치한 이유: 검재 라인의 각 담당자는 앞선 사람이 설정을 검증했을 것이라 믿었고, 복잡한 업무 마감 시간 압박 속에서 요약 화면의 숫자 정산 잔액이 ’0’인 것만 보고 서명 키를 입력함.
4. 돌이킬 수 없었던 순간: 2020년 8월 11일 오후 5시 43분, 최종 승인자가 암호화 키를 전송하여 페드와이어 전산망을 통해 8억 9,400만 달러가 전 세계 10개 헤지펀드 계좌로 분산 송금된 순간.
5. 최종적으로 책임을 진 주체: 2년간의 지리한 소송전 끝에 원금을 회수했으나, 4,500억 원의 금융당국 과징금과 최고경영자 조기 퇴진, 그리고 전 세계 금융권의 조롱을 감당해야 했던 씨티은행 경영진.
6. 남겨진 뼈아픈 교훈: 엔터프라이즈 인터페이스가 복잡하고 불친절할 때, 사람의 눈을 6개로 늘리는 것은 안전장치가 되지 못합니다. 그것은 단지 사고의 책임을 여러 사람에게 분산시킬 뿐입니다. 소프트웨어의 안전 검증이 없는 6개의 눈은 여전히 완벽한 장님입니다.

---

공식 1차 출처 및 사법 기록

• 미국 뉴욕 남부 연방지방법원 20-CV-6539 판결문 (Judge Jesse M. Furman) — 105페이지 분량의 플렉스큐브 결함 판결문.
• 미국 제2순환연방항소법원 21-487 판결문 — 씨티은행 승소 항소심 파기환송 판결.
• 미국 통화감독청(OCC) 제재의결서 (Consent Order AA-EC-2020-63) — 4억 달러 과징금 부과 결정문.
• LSTA 표준 계약서 및 레블론 조항 가이드 — 미국대출매매협회 신디케이트 론 표준 약관.

---

자주 묻는 질문 (FAQ)

시티은행은 어떻게 실수로 9억 달러를 송금했나요?

2020년 8월 11일, 론 오퍼레이션 담당자가 레블론(Revlon) 신디케이트 론의 만기 전 이자 지급을 처리하는 과정에서 Flexcube 금융 소프트웨어의 복잡하고 직관적이지 않은 UI로 인해 발생했습니다. 원금 송금을 억제하려면 ‘PRINCIPAL’ 필드뿐만 아니라 ‘FUND’ 및 ‘FRONT’ 필드의 체크박스를 모두 수동으로 설정해야 했으나, 이를 누락하여 채권단 계좌로 9억 달러의 원금 전액이 실시간 결제망을 통해 자동 이체되었습니다.

3단계 승인 절차(Maker-Checker-Approver)가 왜 이 실수를 걸러내지 못했나요?

담당자, 검토자, 승인자 등 3명의 금융 전문가 모두 해당 복잡한 시스템 워크플로에서 화면 상의 ‘Override’ 체크박스가 선택되면 원금이 차단될 것이라는 동일한 잘못된 멘탈 모델을 공유하고 있었습니다. 복잡한 UI 디자인과 명확한 사전 유효성 검증 경고의 부재로 인해 다중 승인 통제가 무력화되었습니다.

시티은행은 실수로 송금된 9억 달러를 모두 회수했나요?

일부 대출 기관은 자금을 자발적으로 반환했으나, 브리그 브릿지(Brigade Capital), HPS 등 10개 헤지펀드는 약 5억 400만 달러의 반환을 거부했습니다. 뉴욕 남부 연방지방법원은 채권단이 이를 정당한 부채의 상환으로 믿을 합리적 이유가 있었다고 보아 반환 의무가 없다고 판결했으나, 2022년 제2연방항소법원에서 시티은행이 최종 승소하여 자금을 회수했습니다.

법원 판결에서 쟁점이 된 법적 원칙은 무엇인가요?

뉴욕주의 ’선순위 가치 변제 예외 원칙(Discharge-for-Value Defense)’이 핵심 쟁점이었습니다. 채권자가 채무자로부터 착오로 입금된 돈을 받았더라도, 그것이 실제 만기 도래한 정당한 채권액과 일치하고 착오 사실을 알지 못했다면 반환하지 않아도 된다는 판례입니다. 항소법원은 채권단이 이체가 실수였음을 알 수 있는 충분한 정황이 있었다고 판단했습니다.

이 사고를 방지하기 위해 현대 금융 시스템에는 어떤 통제가 도입되었나요?

비정상적으로 큰 규모의 송금에 대한 다중 팩터 경고, 원금과 이자 지급 파이프라인의 물리적 분리, 모호한 체크박스 대신 명시적인 의도 입력 인터페이스(예: 금액 직접 타이핑 확인), 그리고 고액 이체 전 자동 시뮬레이션 및 잔액 검증 게이트가 의무화되었습니다.