Bitget CEO Gracy Chen, 3억 5,160만 달러 XRP 해킹에서 프라이빗 키 유출 부정

Bitget 침해 사고에서 프라이빗 키는 무사했다

암호화폐 거래소 Bitget의 지갑 인프라에서 약 3억 5,160만 달러 규모의 자금이 유출되는 공격이 발생했으며, CEO는 이번 사고에서 거래소의 암호학적 키는 결코 도난당하지 않았다고 밝혔다. 무단 이체는 9월 24일 18:31 UTC에 처음 감지됐으며, 이는 거래소의 공식 보안 공지에 명시돼 있다. 영향을 받은 계층은 핫 월렛과 웜 월렛 스택의 일부를 포괄했으며, 콜드 스토리지는 온전히 그대로였다. X에 공유된 기술 업데이트에서 CEO Gracy Chen은 공격자가 Bitget의 지갑 서비스에 연결된 핵심 백엔드 시스템을 침해해 이체 데이터를 위조한 뒤, 플랫폼 자체의 승인 절차를 이용해 자금을 빼돌렸다고 설명했다. 핵심 결론은 단 하나다: 프라이빗 키 침해는 없었다. 이 구분이 중요한 이유는 명확하다 — 공격자는 키 자체가 아니라, 어떤 이체가 서명될지를 결정하는 트랜잭션 파이프라인만 손에 넣으면 됐기 때문이다. Chen은 또한 침해에 연루된 일부 IP 주소가 북한 연계 그룹이 과거 사용한 것과 유사한 VPN 패턴을 보인다고 지적하면서도, 아직 포렌식 기반의 귀속 조사는 이루어지지 않았음을 강조했다. 침해는 현재 봉쇄됐고 새로운 무단 유출은 차단됐지만, 최초 침입 지점에 대한 추적은 계속되고 있다.

Xhttps://x.com/GracyBitget/status/2103359775723626736

출금 동결, 4억 6,400만 달러 보호기금 가동

거래소는 탐지 몇 시간 후 첫 공식 발표를 통해 예상 피해 규모를 약 3억 5,160만 달러로 산정했고, 현물 거래와 선물(계약) 거래는 정상 운영되는 가운데 출금은 중단 상태라고 확인했다. Bitget은 사용자 잔액이 정확하게 보호되고 있다고 밝혔으며, 의심 이체 주소를 표시하고 법 집행 기관에 경고했으며, 자금 추적 및 동결을 돕기 위해 온체인 보안 업체까지 투입했다. 공지에는 출금 재개 일정이 명시되지 않았다. 대신 거래소가 확약한 것은 발표 후 24시간 이내에 근본 원인 분석과 재발 방지 대책을 포함한 완전한 사고 보고서를 제출하는 것이었다. 지급여력 측면에서 공개된 수치는 부족이 아니라 여유를 가리킨다. Bitget의 사용자 보호 기금은 발표 시점 기준 4억 6,400만 달러 이상을 보유해 추정 피해액을 상회한다. Chen은 나아가 플랫폼이 10억 달러 이상의 자기 자산을 추가로 보유하고 있으며 사용자 예치 자산에 대해 1:1 준비금을 유지하고 있다고 밝혔다. 그녀는 이번 출금 중단을 유동성 문제가 아니라 보안상의 결정으로 프레임했고, 취약점이 완전히 닫히면 출금은 몇 주가 아니라 몇 시간에서 며칠 내에 재개될 것으로 전망했다.

라자루스 단서, 7월 AFX 해킹으로 연결

공격은 빠르고 집중적으로 이뤄졌다. Bitget 팀은 침해 직후 몇 시간 동안 약 52건의 대규모 자금 이동을 관찰했지만, 이 수치는 긴급 내부 이체와 일반 사용자 출금이 뒤섞인 것이며, 약 19건의 트랜잭션이 약 3억 5,100만 달러를 공격자의 지갑 주소로 보낸 것으로 확인됐다. 첫 비정상 유출은 대부분 이더리움(ETH)으로 18:31 UTC에 발생했고, 약 30분 뒤 XRP 핫 월렛에서 최대 단일 손실이 이어졌으며, 집중 유출은 대략 19:16 UTC까지 지속됐다. 체인별로는 XRP와 이더리움(ETH)이 가장 큰 피해를 흡수했으며, 이체는 Arbitrum, Optimism, Base, BNB Smart Chain, Avalanche에도 미쳤다. 온체인 조사 업체 Specter는 크로스체인 이동을 거친 도난 XRP를 7월 AFX 해킹 자금으로 역추적해, 북한 라자루스 그룹의 개입 가능성을 시사했다 — 다만 이 귀속은 아직 확정되지 않았다. 자기관리형 상품인 Bitget Wallet은 온체인 자금이 거래소 커스터디와 분리돼 있어 영향을 받지 않았다고 밝혔다. Bybit CEO Ben Zhou는 자신의 LazarusBounty.com 추적 플랫폼을 통해 공개적으로 협조를 제안했다 — 2025년 2월, Bybit의 14억 달러 침해 사고 당시 Bitget이 Bybit에 당시 약 1억 600만 달러어치인 40,000 ETH를 빌려줬던 데 비하면 주목할 만한 반전이다. 시장을 실시간으로 추적하려는 독자는 Binance에서 현물·선물 가격을 실시간으로 확인할 수 있다.

온체인 기록이 아직 남긴 과제

우리의 판단은 이렇다. 이번에 무너진 보안 경계는 키 커스터디가 아니라, 어떤 이체가 서명을 받을 자격이 있는지를 결정하는 승인 파이프라인이다. Bybit의 Safe 인터페이스 침해를 뒤집었던 것과 동일한 계열의 약점이, 이번에는 수십 개 자산과 체인에 걸쳐 동시에 실행된 것이다. 검증 가능한 앵커는 구체적이다: 온체인에서 추적 가능한 약 19건의 공격자 트랜잭션, AFX 해킹과 연결되는 XRP의 크로스체인 경로, 그리고 Bitget이 약속한 사고 후 보고서. 거래 상대방 리스크를 고려하는 트레이더라면, 우리의 최고 암호화폐 거래소 가이드에서 주요 플랫폼들이 커스터디 사고를 어떻게 다루는지 비교할 수 있다. 근본 원인 보고서는 두 가지에 답해야 한다: 백엔드가 어떻게 침입됐는지, 그리고 위조된 이체 데이터가 어떻게 승인 검증을 통과했는지.