Bitget의 3억 5,100만 달러 규모 대규모 해킹 사건에 대해 우리가 알고 있는 모든 것

이 거래소는 해킹 사실을 확인하고 출금을 동결한 뒤, 법 집행 기관 및 온체인 보안 업체들과 협조를 시작했습니다. 그레이시 첸 CEO는 고객 잔고가 그대로 유지되고 있으며, 콜드 월렛은 무사했고, 비트겟의 4억 6,400만 달러가 넘는 사용자 보호 기금이 전체 손실을 감당하기에 충분하다고 밝혔습니다.

Bitget 해킹 사건의 전말

목요일, Bitget은 9월 24일 UTC 기준 18시 31분에 자사의 보안 시스템이 일부 핫 월렛에서 무단 이체를 감지했다고 밝혔다. 몇 분 내에 비상 절차가 가동되었고, 의심스러운 주소가 식별 및 신고되었으며, 법 집행 기관 및 블록체인 보안 업체에 연락이 취해졌다.

피해 규모는 상당했다. 비트겟은 약 3억 5,160만 달러가 피해를 입은 것으로 추산했으나, 핫 월렛과 웜 월렛 계층의 일부만 침해당했다고 밝혔다. 이 회사는 3단계 월렛 아키텍처를 운영 중이며, 콜드 월렛은 여전히 완벽하게 안전하다고 강조했다. 이후 예방 조치로 플랫폼 전반에 걸쳐 출금이 중단되었다. 입금 및 거래 기능은 정상적으로 운영되고 있으며, Bitget은 고객 계좌 잔고가 여전히 사용자의 자산을 정확하게 반영하고 있다고 상세히 밝혔습니다.

이러한 구분이 중요한 이유는, 거래소가 이번 손실을 고객에게 전가할 의도가 아니라 사실상 기업의 대차대조표상 손실로 처리하겠다는 입장을 취하고 있기 때문이다. 첸 대표는 X(구 트위터) 게시물을 통해 고객들의 자산은 전액 보장될 것이라고 설명했다. 이 거래소 설립자는 Bitget의 사용자 보호 기금에 현재 4억 6,400만 달러 이상이 적립되어 있어, 추정 손실액 3억 5,160만 달러가 기금의 공시된 가치보다 약 1억 1,200만 달러 적다고 밝혔다. 따라서 거래소는 이번 사건 전체가 기금의 보상 범위 내에 충분히 포함된다고 전했다.

비트겟은 공식 공지를 통해 “우리는 이 문제에서 도망치지 않을 것”이라며 “모든 달러와 모든 결정”에 대해 책임을 지겠다고 약속했다.

비트겟의 공식 입장 발표 전부터 블록체인은 이상 징후를 포착했다

Bitget이 어떤 사실도 확인하기 전부터, 블록체인 관찰자들은 거래소 명의의 지갑에서 수백만 달러가 유출되는 것을 지켜보고 있었다. 초기 분석에 따르면 약 1억 5,000만 달러에서 1억 7,000만 달러 이상의 자산이 새로운 주소로 이동한 것으로 나타났다. 이는 최상의 거래 조건을 찾아다니는 사람의 행동 양상과는 거리가 멀다.

상황이 더 넓게 드러나면서 온체인 연구원들은 여러 네트워크에 걸쳐 자산을 추적했다. 룩온체인(Lookonchain)의 후속 집계에는 1억 5,750만 달러 상당의 XRP 약 1억 293만 개, 8,580만 달러 상당의 ETH 31,890개, 3,475만 달러 상당의 USDT, 2,105만 USDC, 1,967만 USDT0, 3,000 XAUt, 12,719 BNB, 821,012 AVAX 및 2,059만 TRX가 포함되었습니다.

이더리움 가상 머신(EVM) 호환 네트워크를 통해 이동 가능한 자산의 상당 부분이 신속하게 통합되어 이더리움으로 전환되었습니다. Lookonchain은 해당 규모가 결국 약 67,982 ETH에 달한 것으로 추정했습니다. 이 수치와 Bitget의 3억 5,160만 달러 추정치 간의 차이는 중요합니다. 약 1억 8,300만 달러라는 수치는 온체인 추적자들이 포착한 눈에 띄는 클러스터를 반영한 반면, 비트겟의 수치는 영향을 받은 인프라 전반과 막대한 XRP 포지션을 포함한 추가 블록체인에 대한 회계를 반영한 것입니다. 다시 말해, 초기 블록체인 경보와 온체인 조사관들은 화재의 일부만을 포착했을 뿐, 건물 전체를 파악한 것은 아니었습니다.

Bitget, “개인 키 도난 당하지 않았다”고 밝혀

현재 밝혀지고 있는 기술적 상황은 이번 사건에서 가장 중대한 부분일 수 있다. 후속 업데이트에서 첸 대표는 비트겟의 개인 키가 유출되지 않았다고 설명했다. 대신, 그녀의 예비 설명에 따르면 공격자들은 거래소 지갑 인프라 내의 핵심 백엔드 구성 요소를 침해하여, 비트겟의 일반적인 승인 및 서명 절차를 거치는 거래 데이터를 위조하거나 스푸핑할 수 있었다.

이는 단순히 개인 키를 훔치는 것과는 매우 다른 형태의 공격이다. 만약 비트겟의 설명이 사실로 확인된다면, 어떤 거래에 서명해야 할지 결정하도록 설계된 시스템이 조작되어 본래 존재해서는 안 될 거래들을 승인하게 된 것이다. 따라서 키 자체는 기술적으로 안전하게 유지되었을 수 있으나, 키에 명령을 전달하는 인프라가 실패한 셈이다.

첸은 이번 침해 사고가 통제되었으며, 더 이상 무단 이체가 불가능하다고 밝혔다. 그러나 비트겟은 조사가 완료될 때까지 공식적으로 최종 공격 경로를 발표하는 데는 신중을 기하고 있다. 이로 인해 여전히 많은 의문점이 남아 있다. 수사관들은 백엔드가 어떻게 침투당했는지, 공격자들이 어떤 권한을 획득했는지, 기존 통제 장치가 왜 해당 거래를 거부하지 못했는지, 그리고 추가 인증이나 거래 정책상의 안전장치가 이를 막을 수 있었는지 여부를 여전히 규명해야 한다.

북한의 라자루스 그룹이 비트겟을 공격했는가?

그리고 북한 관련 의문도 제기되고 있다. 천의 실시간 업데이트 이후 나온 보도와 소셜 미디어 게시물들은 초기 IP 또는 라우팅 정보를 과거 북한 공격자들과 연관된 인프라 패턴과 연결지었다. 이에 따라 라자루스 그룹이 배후일 수 있다는 추측이 빠르게 확산되었다. 현재로서는 이것이 순전히 추측에 불과하다.

이러한 우연의 일치를 무시하기는 불가능하다. 북한 해커들, 특히 국가 지원 라자루스 그룹은 암호화폐 업계에서 발생한 최대 규모의 탈취 사건 중 일부의 배후로 지목되어 왔으며, 그중에서도 2025년 2월 발생한 약 15억 달러 규모의 바이비트(Bybit) 해킹 사건이 가장 대표적이다. 하지만 수사 당국이 비트겟(Bitget) 공격자를 알려진 단체와 연결 짓는 기술적 지표, 자금 세탁 패턴 또는 기타 증거를 공개하기 전까지는 라자루스 그룹의 연루 여부는 결론이 아닌 가설로 남아야 합니다.

이제 비트겟 사용자들은 어떻게 되나요?

고객들에게 당면한 문제는 출금입니다. 비트겟이 보안 점검을 진행하는 동안 출금 기능은 계속 중단된 상태입니다. 거래소 측은 팀들이 피해 인프라를 복구하는 동시에 출금 서비스 재개 준비를 병행하고 있다고 밝혔으나, 첸 대표는 보장할 수 없는 재개 시점을 밝히기를 거부했습니다. 입금 및 거래 기능은 정상적으로 이용 가능합니다.

보호 기금도 현재 면밀한 조사를 받고 있다. 비트겟은 4억 6,400만 달러 이상의 기금 규모가 예상 손실을 충분히 충당할 수 있다고 밝혔으나, 지금까지 공개된 공지사항만으로는 기금의 구성이나 분리 관리에 대한 독립적이고 실시간적인 감사 결과를 확인하기 어렵다.

회복 문제는 또 다른 사안이다. USDT나 USDC와 같은 법정화폐 연동 스테이블코인은 자산이 식별 가능한 상태일 경우 발행자가 통제하는 계약을 통해 동결될 가능성이 있다. 반면, 새로운 지갑에 보관된 이더리움(ETH) 자체는 차단하기가 훨씬 더 어려우므로, 공격자가 이를 신속히 ETH로 전환한 점은 특히 중요한 의미를 지닌다.

첸 대표는 커뮤니티에 정기적으로 최신 정보를 전달해 왔으며, 거래소가 맨디언트(Mandiant) 및 슬로우미스트(Slowmist)와 협력하여 이번 사건에 대한 전면적인 조사를 진행 중이라고 강조했다. 그녀는 “사용자 잔액은 그대로 유지된다”는 점을 재차 강조하며, 비트겟(Bitget)의 사용자 보호 기금이 이번 침해 사고로 인한 손실을 보상할 것이라고 밝혔다. 첸은 또한 Bitget Wallet의 자체 보관 인프라가 거래소와 분리되어 있어 이번 사건의 영향을 받지 않았다고 덧붙였습니다. 이번 사건은 2025년 4월 발생한 약 1억 달러 규모의 Bitget 시장 조성, 봇 및 차익 거래 사건과 혼동해서는 안 됩니다. 이는 메커니즘이 다른 별개의 사건이었습니다. 다음 주요 증거는 비트겟 측에서 직접 제시될 것으로 보인다. 해당 거래소는 초기 공지 후 24시간 이내에 근본 원인 분석 및 시정 조치를 포함한 시간별 업데이트와 전체 사고 보고서를 제공하겠다고 약속했다.

그때까지 세 가지 수치가 사건의 전모를 대부분 설명해 줍니다. 피해 규모는 3억 5,160만 달러이며, 그 배후에는 4억 6,400만 달러 이상이 있는 것으로 추정되며, 비트겟 사용자들은 출금 서비스가 재개되기를 기다리고 있습니다. 네 번째 수치인, 도난당한 암호화폐 중 실제로 얼마나 회수될 수 있을지는 여전히 누구도 알 수 없는 일입니다.