도쿄를 멈춘 1엔짜리 주문: 미즈호 증권의 61만 주 오발주와 도쿄거래소의 97초 버그

1주당 61만 엔 대신 61만 주를 1엔에 매도한 브로커, 취소 명령을 삼켜버린 거래소 전산망, 그리고 단 97초 만에 증발한 400억 엔.

2005년 12월 8일 목요일 오전 9시 27분, 도쿄 미즈호 증권의 한 딜러가 단말기 앞에 앉아 신규 상장 주문을 처리하고 있었습니다.

고객사의 요청은 단순했습니다. 이날 도쿄증권거래소(TSE) 마더스 시장에 갓 상장된 인력 파견업체 제이콤(J-Com, 종목코드 2462)의 주식 1주를 61만 엔(약 500만 원) 지정가로 매도해 달라는 지시였습니다.

그러나 딜러는 수량과 가격 입력칸을 반대로 입력했습니다.

그는 수량란에 61만 주를, 가격란에 1엔을 적어 넣었습니다.

단말기 화면에 경고 팝업이 떴지만, 관성적으로 확인 버튼을 눌렀습니다.

오전 9시 27분 56초, 이 주문은 도쿄증권거래소 체결 엔진으로 전송되었습니다.

문제는 단 하나였습니다. 제이콤의 총 발행 주식 수는 전 세계를 다 뒤져도 14,500주에 불과했습니다.

키보드 타이핑 한 번으로 미즈호 증권은 실존하는 회사 전체 지분의 42배에 달하는 유령 주식을 껌 한 통 값도 안 되는 1엔에 시장에 던져버린 것입니다.

---

오더 입력 파라미터 불일치 분석 (Forensic Discrepancy Matrix)

원래 지시된 매도 조건과 전산망이 수신한 데이터, 그리고 회사의 실제 물리적 지분 현실 사이의 괴리는 사전 리스크 필터의 완전한 부재를 보여줍니다:

매매 파라미터	계획된 원래 주문 내용	실제 전송된 오발주 데이터	제이콤 회사의 실제 지분 현실	왜곡 배수
주문 수량	1 주	610,000 주	총 발행 주식: 14,500주	회사 전체 지분의 42.06배
지정가 단가	610,000 엔 (약 500만 원)	1 엔 (약 8원)	시초가 기준가: 610,000엔	시장 가격의 61만 분의 1
총 주문 금액	610,000 엔	610,000 엔	제이콤 시가총액: 약 88억 엔	수량과 단가의 기계적 전치
거래소 사전 검증	주문 수량 $\le$ 총 상장 주식	완전 무방비 (통과)	거래소 하한가 적용: 570,000엔	하한가 가격에 전량 체결

미즈호 증권과 거래소의 소프트웨어는 “발행된 총 주식 수보다 많은 주식을 팔 수는 없다”는 현실 세계의 가장 기초적인 물리적 제약조차 검증하지 않았습니다.

---

증거가 입증하는 것:

• 주요 규제 문서 및 법원 기록에 문서화된 기술적 실패 및 재무적 결과.

증거가 입증하지 않는 것 (What the evidence does NOT establish):

• 단일 작업자의 개인적 악의나 의도적 파괴.
• 공식 조사에서 확인되지 않은 추측성 기술적 메커니즘.

1막: 97초간의 거래소 취소 거부 버그

주문 전송 후 1분도 지나지 않아 미즈호 트레이딩 데스크는 오발주를 인지했습니다.

오전 9시 28분부터 9시 30분까지, 미즈호 증권은 도쿄증권거래소 게이트웨이로 3차례에 걸쳐 긴급 주문 취소 전문을 연속 전송했습니다.

그러나 도쿄증권거래소의 매칭 엔진은 세 번 모두 취소 명령을 거부(Reject)했습니다.

┌──────────────────────────────────────────────────────────────────────────────────────────┐
│                     미즈호 제이콤 97초 취소 불능 텔레메트리 로그 (JST)                   │
├──────────────┬────────────────────────┬────────────────────────────────┬─────────────────┤
│ 타임스탬프   │ 발생 주체              │ 기계적 동작 / 전문 내용        │ 시스템 응답     │
├──────────────┼────────────────────────┼────────────────────────────────┼─────────────────┤
│ 09:27:56 JST │ 미즈호 트레이딩 데스크 │ 61만 주 @ 1엔 오발주 전송       │ 도쿄거래소 접수 │
│ 09:28:12 JST │ 거래소 매칭 엔진       │ 하한가(57만 엔) 제한 후 체결 개시│ 대량 체결 진행 │
│ 09:29:10 JST │ 미즈호 트레이딩 데스크 │ 1차 긴급 주문 취소 전문 송신   │ 거부 (Error 반환)│
│ 09:29:44 JST │ 미즈호 트레이딩 데스크 │ 2차 긴급 주문 취소 전문 송신   │ 거부 (Error 반환)│
│ 09:30:33 JST │ 미즈호 트레이딩 데스크 │ 3차 긴급 주문 취소 전문 송신   │ 거부 (Error 반환)│
│ 09:35:00 JST │ 도쿄거래소 비상전화   │ 거래소 긴급 핫라인 불통        │ 수동 개입 실패  │
└──────────────┴────────────────────────┴────────────────────────────────┴─────────────────┘

취소가 거부된 원인은 통신 장애가 아니었습니다. 도쿄증권거래소의 체결 시스템(후지쯔 개발) 내부에 숨어 있던 미문서화 소프트웨어 결함(Bug) 때문이었습니다.

거래소 시스템의 내부 트랜잭션 로직:

1. 주문 가격이 일일 가격제한폭인 **하한가(57만 엔)**에 도달하면, 시스템은 해당 주문을 ‘체결 처리 대기열’ 상태로 락(Lock)을 걸었습니다.
2. 시스템의 취소 루틴은 주문이 살아 있는지 확인한 뒤 취소하도록 짜여 있었는데, 주문이 락에 걸려 있자 취소 처리 모듈이 이를 ORDER_NOT_FOUND(주문 없음) 오류로 잘못 판단하고 취소 명령을 그냥 버려버렸습니다.

취소가 막힌 97초 동안, 전 세계의 알고리즘 매매 봇들이 달려들어 존재하지도 않는 54만 주의 유령 주식을 헐값에 쓸어 담았습니다.

---

2막: 27세 데이트레이더 BNF의 200억 원 돈벼락

일본 전역의 전문 트레이더들이 호가창에 나타난 전대미문의 기현상을 목격했습니다.

당시 27세의 유명 개인 데이트레이더 **코테가와 타카시(BNF)**는 제이콤 주가가 하한가에 박힌 채 수십만 주의 매도 잔량이 쌓여 있는 것을 보고 유동성 오체결을 직감했습니다. 그는 수 분 만에 7,100주—회사 전체 지분의 절반에 육박하는 물량—를 장내에서 쓸어 담았습니다.

BNF는 당일 장마감 전 및 이후 결제 과정에서 주식을 매도하여, **단 하루 만에 20억 3,000만 엔(약 200억 원)**의 순현금 차익을 확정 지었습니다.

---

공식 판결문 인용: 도쿄지방재판소 판결

이후 미즈호 증권과 도쿄증권거래소 간에 10년에 걸친 손해배상 소송전이 벌어졌습니다:

🏛️ 공식 판결문 인용 (도쿄지방재판소 헤이세이 18년 (와) 제24867호 판결)

“도쿄증권거래소는 거래 참가자들에게 표준적인 내결함성을 갖춘 신뢰성 있는 전자 매매 시스템을 제공할 행정적·계약상 의무를 부담한다.

증거에 따르면 미즈호 증권은 09시 29분 10초부터 09시 30분 33초까지 유효한 취소 주문을 3차례 전송하였다. 거래소 매칭 엔진은 하한가 도달 시 취소를 거부하는 프로그램 구조적 결함으로 인해 이를 처리하지 못했다. 도쿄거래소는 첫 번째 취소 명령이 도달한 이후 발생한 손해에 대해 70%의 배상 책임을 진다.“

— 일본 도쿄지방재판소 민사 제8부 판결문 中

1심 법원은 도쿄거래소에 **107억 엔(약 1,100억 원)**의 배상을 명령했고, 2013년 도쿄고등재판소(헤이세이 22년 (네) 제347호) 항소심에서는 거래소의 책임을 더 무겁게 물어 배상액을 **165억 엔(약 1,700억 원)**으로 상향했습니다.

---

3막: 강제 현금 결제와 도쿄거래소 이사장 사임

미즈호 증권이 체결시킨 주식은 54만 주였지만, 실제 주식은 14,500주뿐이었으므로 결제일 실물 인도가 물리적으로 불가능했습니다.

일본증권결제기구(JSCC)는 긴급 결의를 통해 주당 91만 2,000엔으로 계산하여 차액을 물어주는 **강제 현금 결제(Cash-Settlement)**를 집행했습니다.

┌──────────────────────────────────────────────────────────────────────────────────────────┐
│                             최종 재무적 및 행정적 결산표                                 │
├────────────────────────────────────────────────────────┬─────────────────────────────────┤
│ 시장에서 체결된 총 유령 주식 수                        │ 543,841 주                      │
│ 실제로 지구상에 존재하는 진짜 주식 수                  │ 14,500 주                       │
│ 미즈호 증권이 당일 입은 순 실현 손실액                 │ 40,700,000,000 엔 (약 3,400억 원)│
├────────────────────────────────────────────────────────┼─────────────────────────────────┤
│ 도쿄고등재판소 판결로 거래소가 배상한 금액             │ 16,500,000,000 엔 (약 1,400억 원)│
│ 미즈호 증권이 최종 부담한 순손실                       │ 약 242억 엔 (약 2,000억 원)     │
│ 최고경영진 문책                                        │ 츠루시마 타쿠오 도쿄거래소 이사장 사임 │
└────────────────────────────────────────────────────────┴─────────────────────────────────┘

이 사고로 도쿄의 금융 신뢰도는 바닥으로 추락했습니다. 도쿄증권거래소의 츠루시마 타쿠오 이사장과 전무 2명이 사임했고, 일본 금융청(FSA)은 양사에 강도 높은 업무개선 명령을 내렸습니다.

---

🛡️ 시스템 재발 방지 실무 가이드 (인간의 현실을 견디는 아키텍처)

발행 주식 수의 42배를 장내에 투매할 수 있도록 방치한 시스템은 소프트웨어가 아니라 사고 유발 장치입니다.

현대의 자본시장 아키텍처가 이와 같은 팻핑거 참사를 원천 봉쇄하기 위해 강제하는 3대 안전 원칙은 다음과 같습니다:

1. 마찰의 법칙: 가격 괴리율 기반 동적 타이핑 확인

단순한 “확인 / 취소” 팝업은 100% 무시당합니다:

• 입력 마찰 강제: 주문 가격이 직전 체결가 대비 10% 이상 괴리되거나 총 주문 금액이 100억 원을 초과할 경우, 종목 코드와 총 주문 금액을 키보드로 직접 타이핑해야만 전송 버튼이 활성화되도록 UI 설계.

2. 물리적 한계선 검증: 총 발행 주식 대비 발주 한도 검증

거래소 게이트웨이는 물리적 현실을 검증해야 합니다:

• 지분 비율 제약: assert(order_quantity <= company_total_shares * 0.05).
• 단일 주문이 해당 기업의 총 발행 주식 수의 5%를 초과할 경우, 거래소 API 게이트웨이 단계에서 FATAL_VOLUME_SANITY_BREACH 에러를 띄우며 즉시 하드 리젝트(Hard Reject).

3. 비상 브레이크: 비차단 논블로킹 취소 전용 큐

취소 명령은 체결 루프보다 무조건 우선되어야 합니다:

• 거래소 매칭 엔진의 취소 핸들러는 독립된 비동기 인터럽트 큐에서 동작해야 하며, 주문이 하한가 체결 대기열에 걸려 있더라도 원자적(Atomic)으로 즉시 중단 플래그를 세워 추가 체결을 차단하도록 아키텍처 재설계.

---

아키비스트의 판결

아키비스트의 분석:

1. 겉으로 드러난 실수: 신규 상장 첫날 아침, 딜러가 단말기 입력창에서 수량과 단가를 뒤바꿔 적은 단순 타이핑 실수.
2. 실제로 붕괴한 시스템: 총 발행 주식 수를 초과하는 비상식적 주문을 거르지 못한 증권사/거래소의 사전 검증 부재, 그리고 하한가 도달 시 취소 명령을 삼켜버린 도쿄증권거래소의 시스템 버그.
3. 합리적인 사람들이 이를 방치한 이유: 증권사는 거래소가 검증할 것이라 믿었고, 소프트웨어 벤더는 취소 명령을 비상 인터럽트가 아닌 일반 백오피스 트랜잭션으로 안일하게 취급함.
4. 돌이킬 수 없었던 순간: 2005년 12월 8일 오전 9시 27분 56초, 거래소 체결 엔진이 주문을 수신하고 하한가 체결 락을 걸어 97초 동안 취소 경로를 완벽히 차단한 순간.
5. 최종적으로 책임을 진 주체: 2,000억 원의 순손실을 떠안은 미즈호 증권뿐만 아니라, 사법부로부터 시스템 결함에 대한 70% 배상 책임을 선고받고 지도부가 총사퇴한 도쿄증권거래소.
6. 남겨진 뼈아픈 교훈: 오타는 흔한 인간의 실수입니다. 그러나 오타를 취소할 수 없도록 만든 것은 아키텍처의 결함입니다. 소프트웨어가 물리적 현실을 검증하지 않을 때, 단순한 키 입력 하나가 국가 금융망 전체를 마비시킬 수 있습니다.

---

공식 1차 출처 및 사법 기록

• 도쿄지방재판소 헤이세이 18년 (와) 제24867호 판결문 — 일본 사법부 공식 1심 판결 기록.
• 도쿄고등재판소 헤이세이 22년 (네) 제347호 판결문 — 도쿄고등재판소 항소심 판결 및 소프트웨어 결함 분석.
• 일본 금융청(FSA) 미즈호 증권 행정처분 공시 — FSA 공식 감독 처분 문서.
• 도쿄증권거래소(JPX) 전산 장애 보고서 — 거래소 기술 조사 공시.

---

자주 묻는 질문 (FAQ)

미즈호 증권 J-Com 주문 사고에서 정확히 무슨 일이 발생했나요?

2005년 12월 8일, 미즈호 증권 트레이더가 신규 상장된 J-Com 주식에 대해 ‘1주당 61만 엔 매도’ 대신 ’61만 주를 1엔에 매도’하는 치명적인 입력 실수를 저질렀습니다. J-Com의 총 발행 주식수는 14,500주에 불과했으나, 시스템은 총 주식의 42배가 넘는 주문을 시장에 그대로 쏟아냈습니다.

왜 97초 동안 주문 취소가 불가능했나요?

미즈호 증권이 오류를 인지하고 97초 동안 세 차례에 걸쳐 전산 취소 명령을 내렸으나, 도쿄증권거래소(TSE) 매칭 엔진의 취소 대기열 소프트웨어 결함으로 인해 취소 명령이 처리되지 않고 대량 매도 주문이 전량 체결되었습니다.

미즈호 증권의 최종 손실액은 얼마였나요?

약 407억 엔(당시 미화 약 3억 4천만 달러)의 순손실이 발생했습니다. 헐값에 매수한 주식들이 거래소 결제 시스템을 통해 정상 결제되면서 손실이 확정되었습니다.

도쿄고등법원의 판결과 법적 책임은 어떻게 결론났나요?

도쿄고등법원(헤이세이 22년 (네) 제347호)은 거래소 매칭 엔진의 취소 기능 결함을 인정하여, 도쿄증권거래소가 미즈호 증권에 약 107억 엔의 손해배상금을 지급하라고 판결했습니다. 이 사고의 여파로 도쿄증권거래소 사장이 사임했습니다.

이 사고를 막을 수 있었던 사전 주문 통제 장치는 무엇이었나요?

상장 총 주식수를 초과하는 주문의 자동 거부, 현재 시장가 대비 과도한 가격 괴리를 차단하는 프라이스 칼라(Price Collar), 그리고 비정상적으로 거대한 명목 금액 주문 시 관리자 승인을 요구하는 사전 위험 필터가 있어야 했습니다.

사고 이후 일본 및 글로벌 금융 시장에는 어떤 변화가 생겼나요?

도쿄증권거래소는 취소 큐 결함을 전면 수정하고 이상 거래에 대한 서킷 브레이커를 신설했습니다. 금융청(FSA)은 유통 주식수 대비 주문량 제한, 호가 스프레드 제한, 고위험 주문 2차 인증 등 엄격한 사전 리스크 통제 규칙을 법제화했습니다.