역사상 가장 큰 암호화폐 해킹: 피해 금액·탈취 비트코인 기준 순위

바이낸스의 63억 달러 규모 재앙, 암호화폐 사상 최대 해킹 사건들을 재조명하다

암호화폐는 막대한 부와 기술적 혁신을 가져왔을 뿐만 아니라, 수많은 보안 재앙을 낳기도 했다. 일부 공격은 블록체인 인프라의 정교한 취약점을 악용한 반면, 다른 공격들은 도난당한 인증 정보, 유출된 개인 키, 또는 수십억 달러를 보호해야 할 책임이 있는 사람들의 실수를 이용했다.

바이낸스와 관련된 최근 보고된 사건은 이러한 역사적 비교를 다시 주목받게 만들었다. 최신 조사 결과에 따르면, 2026년 10월 29일 바이낸스 지갑에서 약 63억~64억 달러 상당의 디지털 자산이 유출되었으며, 이는 금액 기준으로 사상 최대 규모의 암호화폐 도난 사건이 될 가능성이 있다. 이 수치는 아직 잠정적인 것이며, 블록체인 분석 업체들이 제시한 추정치를 완료된 포렌식 조사 결과와 혼동해서는 안 된다. 그러나 달러 금액만으로는 사건의 전모를 다 알 수 없다. 지난 10년 동안 비트코인의 엄청난 가치 상승으로 인해, 발생 당시에는 비교적 소규모로 보였던 사건도 도난당한 BTC의 양으로 측정할 경우 오늘날의 10억 달러 규모 해킹 사건을 훨씬 능가할 수 있습니다. 한편, 초기에 탈취된 금액이 반드시 최종적인 재정적 손실을 나타내는 것은 아니며, 특히 자산이 동결되거나 회수되거나 배상되는 경우에는 더욱 그렇습니다.

달러 가치 기준 상위 20대 암호화폐 해킹 사건 순위

첫 번째 비교는 현재 시가총액이 아닌 각 사건 발생 당시의 추정 미국 달러 가치를 기준으로 암호화폐 도난 사건을 순위화한 것입니다. 여기에는 거래소 해킹, 브리지 악용, 무단 이체 등이 포함되지만, 특정 사건의 상황으로 인해 이를 일반적인 해킹으로 분류하기 어려운 경우도 있습니다. 회수된 금액과 배상금은 초기 유출 금액과 별도로 처리됩니다.

가장 먼저 눈에 띄는 점은 바이낸스와 나머지 업체들 간의 격차입니다. 보고된 63억 달러의 손실액은, 이전까지 달러 가치 기준으로 업계 최대 규모의 단일 암호화폐 도난 사건으로 여겨졌던 바이비트(Bybit)의 2025년 2월 해킹 사건 규모보다 4배 이상 큰 수치입니다. 하지만 표면적으로 드러난 총액조차 면밀히 살펴볼 필요가 있습니다. 예를 들어, BSC 토큰 허브(BSC Token Hub) 해킹 사건에서는 새로 발행된 BNB 약 5억 7,000만 달러가 유출되었으나, 실제로 해당 생태계를 벗어나 성공적으로 이동된 금액은 이보다 훨씬 적었습니다. 마찬가지로, 폴리 네트워크(Poly Network) 공격자는 결국 도난당한 자산의 대부분을 반환했는데, 이는 초기 유출된 가치와 영구적으로 손실된 금액 사이에 상당한 차이가 있음을 보여줍니다.

바이낸스, 바이비트, 그리고 10억 달러 시대

10월 29일 발생한 바이낸스 사건은 보고된 거래소 보안 사고 중 전례 없는 규모를 보여준다. 블록체인 조사관들은 이더리움, 비트코인, 트론, 솔라나 등 12개에 가까운 블록체인을 가로지르는 약 63억 달러 규모의 자금 이동을 추적했다. 온체인 조사관들은 또한 도난당한 자산 중 18,270 BTC를 확인했으며, 이번 공격을 북한의 ‘트레이더트레이터(Tradertraitor)’ 그룹의 소행으로 지목했다. 한편 바이낸스는 비상 예비금과 기업 자원을 통해 고객 잔고를 보상하겠다고 약속했으며, 파트너사들은 피해 자산 약 30억 달러를 동결한 것으로 알려졌다.

2025년 2월 21일 발생한 바이빗(Bybit) 해킹 사건이 이전까지 1위를 차지하고 있었다. 공격자들은 이더리움 콜드 월렛 이체 과정에서 거래 승인 절차를 침해하여, 승인 권한이 있는 서명자들에게 악성 거래가 정상적인 것으로 보이게 만들었다. 약 40만 ETH와 관련 자산, 총 가치 약 14억 6천만 달러에서 15억 달러 상당이 도난당했다. 이후 FBI는 이번 공격을 북한 요원들의 소행으로 지목했으며, 바이빗은 고객들의 출금 요청을 처리하기 위해 추가 유동성을 확보했다.

로닌(Ronin), 폴리 네트워크(Poly Network) 및 브리지 해킹 사건

2022년 3월 로닌 네트워크(Ronin Network) 공격은 소수의 검증자 키가 해킹당하는 것만으로도 전체 브릿지가 침해될 수 있음을 보여주었습니다. 공격자들은 9명의 검증자 중 5명에 대한 통제권을 확보하고 173,600 ETH와 2,550만 USDC를 인출했습니다. 평가 시점에 따라 도난당한 자산의 가치는 약 5억 4,000만 달러에서 6억 2,500만 달러에 달했다. 미국 당국은 이번 작전을 북한의 라자루스 그룹 소행으로 지목했다. 폴리 네트워크는 2021년 8월 또 다른 유형의 재앙을 겪었다. 크로스체인 프로토콜의 접근 제어에 존재하던 결함으로 인해 약 6억 1,000만 달러 상당의 무단 이체가 발생했습니다. 그러나 대부분의 대규모 암호화폐 도난 사건과 달리, 공격자는 이후 거의 모든 자산을 반환하여, 처음에는 치명적인 손실로 보였던 사건을 업계에서 가장 이례적인 회복 사례 중 하나로 바꿨습니다.

2022년 10월 발생한 BSC 토큰 허브(BSC Token Hub) 사건은 200만 BNB가 무단으로 생성될 수 있게 한 취약점과 관련이 있었습니다. 해당 토큰의 명목 가치는 5억 7천만 달러에서 5억 8천6백만 달러에 달했으나, 개입 조치 이전에 생태계를 빠져나간 것은 극히 일부에 불과했습니다. 이러한 차이는 중요합니다. 시장 가격으로 평가된 새로 발행된 토큰이 반드시 즉시 현금화할 수 있는 수익과 동일하지는 않기 때문입니다.

코인체크, FTX, Mt. Gox

일본의 코인체크(Coincheck)는 2018년 1월 공격자들이 핫 월렛을 해킹한 후 약 5억 2,300만 개의 NEM 토큰을 잃었습니다. 당시 해당 자산의 가치는 약 5억 3,000만 달러에 달했으며, 이 사건은 당시 최대 규모의 거래소 해킹 사건 중 하나로 기록되었습니다. 코인체크는 이후 회사 자금을 활용해 피해를 입은 고객들에게 보상했습니다.

FTX는 2022년 11월 파산 과정에서 약 4억 5,000만~4억 7,700만 달러 상당의 무단 암호화폐 이체를 겪었다. 이 인출은 파산 절차와 기업 내부 통제의 극심한 붕괴 속에서 발생했다. 이 사건은 광범위한 지급 불능 사태 및 고객 자산의 남용 의혹과 맞물려 있었기 때문에, 일부 역사적 순위에서는 이를 일반적인 해킹 사례 비교 대상에서 제외하기도 한다.

또한 Mt Gox의 경우, 원래의 달러 가치만으로는 그 역사적 중요성을 파악하기가 거의 불가능하다. 이 거래소는 2014년 고객 및 회사 보유분을 포함해 약 85만 BTC가 사라졌다고 공개했으나, 이후 오래된 지갑에서 약 20만 BTC를 찾아냈다. 파산 당시 초기 부족분은 약 4억 7,300만 달러로 평가되었으나, 비트코인 시세가 상승함에 따라 약 65만 BTC에 달하는 잔여 손실의 영향력은 훨씬 더 커졌습니다.

Bitget, Wormhole 및 Liquid Network

Bitget에서 보고된 2026년 9월 사건의 피해 규모는 당초 3억 5,160만 달러로 추정되었으나, 조사관들이 추가로 피해를 입은 자산을 확인함에 따라 이후 약 3억 8,750만 달러로 수정되었다. 제공된 연구 자료에 따르면 인출 인프라가 침해되었으며, 해당 거래소는 보호 기금을 활용해 고객 손실을 보상할 계획이라고 밝혔다. 북한 세력의 소행이라는 주장은 아직 확정된 공식 조사 결과가 아닌 추정 단계에 머물러 있습니다. 웜홀(Wormhole)은 2022년 2월, 공격자들이 서명 검증 취약점을 악용해 필요한 담보 없이 12만 개의 랩드 ETH를 생성함으로써 약 3억 2천만 달러에서 3억 2,600만 달러의 손실을 입었습니다. 점프 크립토(Jump Crypto)는 이후 누락된 담보를 보충하여, 이 공격으로 인한 손실이 사용자에게 영구적인 손실로 이어지지 않도록 방지했습니다. 2026년 9월 리퀴드 네트워크(Liquid Network) 사건에는 약 4,000 BTC가 연루되었으며, 제공된 보고서에 따르면 가해자들은 화이트햇 해커로, 이후 3,400 BTC를 반환했습니다. 이 사례는 신중한 접근이 필요합니다. 주장된 반환 사실은 경제적 영향을 상당히 변화시키며, 해당 연구는 사건에 대한 완전한 1차 자료 재구성을 제공하지 않기 때문입니다.

DMM Bitcoin, KelpDAO 및 Drift Protocol

DMM 비트코인은 2024년 5월 4,502.9 BTC(약 3억 5백만~3억 8백만 달러 상당)를 분실했다. 수사관들은 이 도난 사건을 지갑 관리 업체를 표적으로 한 북한의 사회공학 공격과 연관 지었다. 이 일본 거래소는 결국 고객 보상 조치를 마련하고 운영을 중단했는데, 이는 보상 약속이 있더라도 보안 사고가 기업의 존립 자체를 위협하는 문제로 비화될 수 있음을 보여준다. 2026년 4월에 보고된 두 건의 사고로 인해 업계의 보안 비용은 약 5억 7,700만 달러가 추가로 발생했다. KelpDAO는 오프체인 인프라와 관련된 약 2억 9,200만 달러 규모의 해킹 피해를 입었고, Drift Protocol은 약 2억 8,500만 달러에서 2억 9,500만 달러를 잃은 것으로 추정된다. 수사관들은 Drift 사건에 북한이 연루된 것으로 의심했으나, 제공된 자료에 따르면 그 귀속 여부는 여전히 잠정적인 상태였다.

Kucoin, WazirX, Cetus, Mixin, Euler 및 Nomad

2020년 9월 발생한 쿠코인(Kucoin) 침해 사고는 핫 월렛의 개인 키 유출과 관련이 있었으며, 피해 자산 규모는 1억 5,000만 달러에서 2억 8,000만 달러로 추산된다. 이후 해당 거래소는 추적, 자산 동결 및 타 플랫폼과의 협력을 통해 자금의 상당 부분을 회수했다고 보고했으며, 이는 조직적인 대응이 공격으로 인한 장기적인 재정적 피해를 줄일 수 있음을 보여줍니다.

WazirX는 2024년 7월 다중 서명 지갑이 해킹당하면서 약 2억 3,000만~2억 3,500만 달러의 손실을 입었습니다. 이 사건으로 출금 및 거래가 중단되었으며, 이에 따라 구조 조정 및 복구 노력이 이루어졌습니다. 이 공격은 라자루스 그룹(Lazarus Group)의 소행으로 지목되었으며, 자산 보관 체계 자체가 집중적인 조사 대상이 되었다.

나머지 사례들은 취약점이 중앙화된 거래소를 훨씬 넘어 확장되고 있음을 보여줍니다. 2025년 5월 발생한 Cetus Protocol의 해킹 사건에서는 약 2억 2,300만 달러가 유출되었으며, Mixin Network는 2023년 9월 약 2억 달러의 손실을 보고했습니다. Euler Finance는 2023년 3월 플래시 론(flash loan)을 이용한 공격으로 약 1억 9,700만 달러의 손실을 입었으나, 협상을 통해 도난당한 자금의 약 90%를 회수하는 데 성공했다. 한편, 노마드 브릿지(Nomad Bridge)는 2022년 8월 메시지 검증 취약점으로 인해 부정 인출이 발생하며 약 1억 9,000만 달러 규모의 해킹 피해를 입었다.

가장 큰 규모의 비트코인 도난 사건들은 완전히 다른 이야기를 들려준다

달러 기준 순위는 암호화폐 시장 가치가 현저히 높았던 최근 사건들에 유리하게 작용한다. 도난당한 비트코인 수량을 기준으로 과거 도난 사건을 측정하면, 초기 거래소 해킹, 해킹당한 지갑, 그리고 BTC가 현재 가격의 극히 일부 수준에서 거래되던 시기에 발생한 손실들이 주를 이루는, 극명하게 다른 순위 체계가 나타난다.

비교를 위해 아래 순위표는 비트코인 1개당 78,000달러라는 고정 기준가를 적용했습니다. 이 계산은 과거 BTC 보유량에 대한 가상의 평가액일 뿐, 공격자들이 여전히 통제하고 있는 자산이나 현실적으로 회수 가능한 금액을 추정한 것이 아닙니다.

이러한 비교는 역사적 위상 전체를 뒤바꿉니다. Mt Gox가 당초 보고한 850,000 BTC의 부족분은 코인당 78,000달러를 기준으로 할 때 가상의 평가액이 663억 달러에 달하며, 이는 2026년 10월 바이낸스 사건의 추정 달러 가치보다 10배 이상 많은 금액입니다. 구형 지갑이 발견된 후 남은 약 650,000 BTC조차도 동일한 기준 가격을 적용하면 507억 달러의 가치를 지닐 것입니다. 2016년 비트파이넥스(Bitfinex) 해킹 사건도 비트코인으로 환산하면 훨씬 더 엄청난 규모로 드러납니다. 공격자들은 당시 약 7,200만 달러 상당의 119,756 BTC를 탈취했습니다. 이 분석에 사용된 기준 가격을 적용하면, 동일한 양의 비트코인은 약 93억 4,000만 달러의 가치를 가지게 되지만, 미국 당국이 이후 도난당한 코인의 상당 부분을 압수했습니다.

루비안 마이닝(Lubian Mining) 사건은 또 다른 이례적이면서도 논란이 되는 사례입니다. 아캄 인텔리전스(Arkham Intelligence)는 2020년 12월, 개인 키 생성 과정의 취약점으로 인해 이 채굴 업체에서 127,426 BTC가 도난당했다고 주장했습니다. 코인당 7만 8,000달러로 계산할 때, 이 추정 손실액은 약 99억 4,000만 달러에 달한다. 그러나 소유권, 해킹 경위, 그리고 이후 진행된 미국 당국의 압수 절차에 대한 미해결 의문점들로 인해, 이 사건을 거래소나 채굴 풀 해킹으로 확정된 사례로 제시해서는 안 된다.

초기 암호화폐 역사에는 2012년 여러 기업에 영향을 미친 리노드(Linode) 관련 절도 사건, 2011년 ‘Allinvain’으로 알려진 지갑에서 25,000 BTC가 유출된 것으로 보고된 사건, 그리고 크립트시(Cryptsy), 비트스탬프(Bitstamp), 민트팔(Mintpal)과 관련된 사건들도 포함된다. 이 사건들은 당시 비트코인 가격 기준으로 보면 재정적 규모는 작았지만, 현대의 많은 해킹 사건과 비교하면 BTC 양은 어마어마한 수준이다. 바이낸스의 2026년 10월 사건 역시 비트코인 기준 비교 대상에 포함될 만하며, 해당 거래소는 보고된 자금 유출 과정에서 이전된 자산 중 18,270 BTC를 기록했다. 이는 2019년 5월 바이낸스에서 도난당한 약 7,000 BTC와는 별개의 사건이다. 이 최근 사건의 비트코인 분량만으로도 기준가 78,000달러를 적용할 경우 약 14억 3천만 달러 상당의 가치가 있지만, 전체 달러 가치는 훨씬 더 광범위한 디지털 자산 포트폴리오에 의해 결정되었다.

CZ, “달러 기준 최대 도난액이 비트코인 기준 최대 도난액이 아니다”

CZ로 널리 알려진 바이낸스 창립자 창펑 자오(Changpeng Zhao)는 본 보고서를 위해 제공한 성명에서 달러 기준 손실액과 비트코인 수량 간의 차이점을 설명했다. 그의 주장은 겉보기에는 단순해 보이지만 핵심을 찌르는 점에 초점을 맞추고 있다. 즉, 가장 큰 헤드라인 수치가 반드시 사용자, 시장 또는 암호화폐 공급량에 있어 가장 중대한 사건을 의미하는 것은 아니라는 것이다.

“해킹 규모나 비트코인 가격에 미치는 영향이 왜 작은지에 대한 몇 가지 논의를 봤습니다. 63억 달러는 달러 기준으로는 가장 큰 규모이지만, BTC 기준으로는 그렇지 않습니다. MtGox 사건은 65만 BTC였습니다,”라고 자오는 X에 게시했다. “고려해야 할 다른 중요한 수치들: 비트코인 총 공급량 대비 비율, 즉 시장 영향도입니다. 이 부분에서도 MtGox는 5% 이상으로 규모가 컸습니다. 영향을 받은 사용자 수와 사용자 자산 중 영향을 받은 비율도 고려해야 합니다. MtGox(당시 최대 중앙화 거래소)와 FTX(규모가 작지 않은)의 경우, 사용자 및 그들의 [assets].” CZ는 다음과 같이 덧붙였습니다:

“가장 중요한 점은: 누가 피해를 입었는가? 플랫폼이 모든 손실을 보상해 주는가? (피해자는 단 한 명뿐), 최근 두 건의 중앙화 거래소 사례와 바이낸스의 경우처럼 말이다. 분명히, 이는 업계와 바이낸스(그리고 나)에게 여전히 큰 재앙이다. 고통스럽지만 우리는 살아남을 것이다. 무엇보다 중요한 것은, 우리가 사용자를 보호한다는 점이다.”

제공된 그대로 인용된 이 성명은 업계가 보안 실패를 어떻게 측정하는지에 대한 중요한 의문을 제기합니다. 총 도난 금액은 유출된 자산을 나타내지만, 고객이 궁극적으로 얼마나 손실을 입는지, 피해 기업이 지급 능력을 유지하는지, 도난당한 암호화폐 중 얼마나 회수될 수 있는지는 드러내지 않습니다.