Bitget 3억 8,700만 달러 Bitcoin(BTC) 월렛 해킹, 2026년 최악의 해킹의 달 기록

9월, 2026년 최대 월간 피해 경신

9월은 2026년 들어 암호화폐 보안 사고로 가장 많은 자금이 유출된 달로 마무리됐다. 온체인 데이터에 따르면 해킹으로 유출된 자금은 7억 6,649만 달러에 달하며, PeckShield가 온체인에서 추적한 수치다. 이는 8월의 1억 3,630만 달러에서 약 462% 급증한 것이고, KelpDAO 해킹으로 피해가 불어난 4월의 종전 월간 최고 기록 6억 4,689만 달러도 넘어섰다. 두 건의 해킹이 사실상 한 달 피해 전부를 차지했다. Bitget은 핫월렛에서 약 3억 8,700만 달러를 잃었고, 비트코인 사이드체인인 Liquid Network에서도 약 3억 2,000만 달러가 인출됐다. 두 사고를 합치면 7억 700만 달러로 월간 전체의 약 92%에 이른다. 사고 건수 역시 신기록을 세웠다. PeckShield는 8월의 당시 최다 기록 50건을 넘어선 55건의 주요 해킹을 집계했고, CertiK의 대시보드는 같은 기간 99건의 보안 사고를 기록했다. 9월에는 50만 달러를 넘긴 해킹이 13건 있었지만, 수익은 대형 사고에 집중됐다. 분기 전체 피해는 12억 달러로, 8억 1,940만 달러를 기록한 2분기보다 53% 늘었고 사고 건수도 12.8% 증가한 247건이었다. 이번 유출은 Bitcoin(BTC) 가격 형성 구조 자체가 아니라 커스터디와 브리지 인프라를 타격했다.

@PeckShieldAlert · X 게시물

PeckShield가 온체인에서 추적.

X에서 보기

SlowMist, Bitget 침해의 기점을 8월 31일로 추적

Bitget 해킹 포렌식 결과, 침해는 자금이 실제로 빠져나가기 수주 전부터 시작된 것으로 확인됐다. 블록체인 보안 업체 SlowMist와 함께 작성해 9월 29일 기준으로 발행된 거래소의 공식 경과 보고서는 최초의 악성 활동을 8월 31일로 특정했다. 공격자는 제3자 보안 제품의 제로데이 취약점, 즉 그까지 알려지지 않은 버그를 악용했고, 조사단은 침입자가 삭제한 파일에서 별도로 제작된 출금 도구를 복구했다. 탈취된 프라이빗 키 정보는 이후 Bitget 핫월렛 접근을 허용했다. 핫월렛은 거래소의 유동성 예치 자산을 보관하는 온라인 저장소로, 오프라인 콜드월렛과는 분리돼 있다. SlowMist는 아직 특정 해킹 조직으로 규명하지 않았으나, Bitget CEO Gracy Chen은 앞서 의심되는 세력으로 북한계 해커를 지목한 바 있다. 이번 피해는 2026년 최대 규모로, 9월 이전까지 연간 집계를 이끌었던 Drift Protocol, KelpDAO, LayerZero 해킹을 모두 상회한다. 침입 지점이 Bitget 자체 코드 바깥에 있었다는 점에서, 같은 제3자 보안 스택을 쓰는 모든 거래소에 해당하는 문제다.

Liquid Network 탈취 자금 일부 반환

9월의 모든 피해가 확정된 것은 아니다. 스스로를 화이트햇이라 칭한 Liquid Network 공격자는 약 3억 2,000만 달러 중 약 2억 8,500만 달러를 반환했고, 네트워크는 이후 3,400 Bitcoin (BTC)를 되돌려받았다. 781만 달러 규모의 최대 추출가치(MEV) 봇 프론트런 피해도 자금이 전액 반환으로 끝났고, 결제 처리 서비스 Payment Processor V2의 660만 달러 피해 중 340만 달러도 회수됐다. 크립토 카지노 Duelbits는 700만 달러를 잃었고, Nostra 오라클 해킹으로는 350만 달러가 유출됐다. 다수 DAO 금고가 의존하는 멀티시그 지갑 구성, 곧 Gnosis Safe를 노린 공격 시도는 Yoink라는 이름의 봇이 선수를 쳐 자금이 그대로 돌아왔다. 탈취 자금은 수 시간 안에 이동한 뒤 며칠에 걸쳐 DEX 스왑, 크립토 믹서 Tornado Cash, 신원확인이 없는 거래처를 통해 세탁됐으며, 신규 활동은 자금을 Monero(XMR)와 프라이버시 기능이 강화된 ZCash(ZEC)로 바꾸는 흐름을 보였다. 나머지 53건의 사고는 합계 약 5,900만 달러로, 대부분 지갑, 브리지, Web3 애플리케이션을 겨냥한 300만~700만 달러 규모의 피해였다.

반환액을 반영한 12억 달러 분기

분기를 통틀어 보면 피해는 계약 버그보다 운영상의 침해에 집중됐고, 같은 기간 이더리움과 BNB 스마트 체인에 공격이 가장 많이 몰렸다. 3분기 피해 12억 달러는 2분기 8억 1,940만 달러보다 53% 높지만, 순수 피해액은 표면 수치보다 작다. CertiK 대시보드는 9월에 동결 또는 반환된 자금을 2억 7,320만 달러로 기록했고, 조정 피해액은 약 4억 9,530만 달러로 줄어든다. 피싱은 3분기 전체 사고의 11%를 넘겼고, 공격은 크립토 공포 탐욕 지수가 사이클 어디에 있든 계속 이어졌다. SlowMist의 사후 분석은 대응 방향을 정리한다: 제3자 제로데이 노출 차단, 키 커스터디 강화, 출금 통제 강화가 그것이다. 한 분기에 247건의 사고가 발생한 만큼, 다음 분기에 피해가 누적되기 전에 거래소와 프로토콜은 더 엄격한 감사와 실시간 출금 모니터링을 갖춰야 한다.