Bitget CEO, XRP 1억 290만 개 유출 해킹 배후로 북한 지목

Bitget CEO가 가리킨 배후는 북한

Bitget의 CEO 그레이스 첸(Gracy Chen)이 자사 거래소를 덮친 약 3억 5,000만 달러 규모의 해킹 배후로 북한 해킹 조직을 "가능성이 매우 높다"고 지목했다. 침입은 9월 24일 발생했고, 거래소는 출금을 전면 중단하는 강수를 두었다. 첸은 X에서 생방송 Q&A 형식으로 진행된 인터뷰에서 조사팀이 특정 북한(DPRK) 연계 그룹의 VPN 사용 패턴과 일치하는 IP 주소를 특정했으며, 침입 방식도 과거 북한 부대에 귀속된 작전들과 매우 유사하다고 밝혔다. 다만 그룹의 이름은 끝내 직접 언급하지 않았고, 내부자 소행 가능성은 배제했다. 이 사건은 현재 DefiLlama의 2026년 해킹 순위에서 1위에 올라 있다. 첸은 포렌식 팀이 공격자의 침입 경로를 정확히 확인하면 완전한 기술 보고서를 공개하겠다고 약속했으며, 이 문서가 그녀의 팀이 지금 내놓고 있는 귀속 추정을 강화할지 약화할지를 가름하게 된다.

키 탈취가 아닌 백엔드 침해

첸이 공식 포스트모템에서 상세히 설명한 공격 메커니즘은 이용자들이 가장 두려워하는 시나리오들을 배제한다. 공격자는 Bitget의 핫·웜·콜드 어느 월렛의 프라이빗 키도 확보하지 못했고, 고객의 출금 요청을 위조하지도 않았다는 것이다. 대신 그녀에 따르면 공격자는 거래소 월렛 인프라 내부의 핵심 백엔드 시스템을 침해해 거래 데이터를 위조하는 데 사용했고, Bitget 자체의 승인 프로세스를 속여 자금을 밖으로 이동시켰다. 그녀는 피해가 통제됐으며 추가 무단 이체는 불가능하다고 덧붙였으나, 조사관들은 아직 어떤 서버가 접촉됐는지, 방어선이 어떻게 무너졌는지를 추적 중이다. 일부 탈취 자금은 이미 회수됐다고 그녀가 밝혔지만 금액은 공개되지 않았으며, 회수 작업은 블록체인 재단과 보안 파트너와 함께 진행되고 있다.

공식 포스트모템에서 상세히 설명한https://x.com/GracyBitget/status/2103284265563902056

탈취 자산의 선두에는 1억 290만 XRP

온체인 추적 결과 공격자는 아홉 종류의 자산을 인출했으며, 그중 압도적으로 큰 비중을 차지한 것은 XRP(XRP)다. 약 1억 290만 개 규모로, 당시 시세 기준 약 1억 5,750만 달러의 가치였다. 전리품에는 여기에 더해 Arbitrum 네트워크로 라우팅된 USDC·USDT·USDT0 등 주요 스테이블코인과 ETH, AVAX, BNB가 포함됐다. Bitget이 확정한 손실 규모는 초기 온체인 추산으로 파악된 약 1억 7,600만 달러의 대략 두 배에 달하는데, 이 격차는 1차 모니터링이 포착하지 못한 자산 이동이 반영된 결과다. 북한 설에는 온체인 분석도 힘을 실어준다. 분석가 스펙터(Specter)는 탈취된 XRP가 브리지되어 AFX Trade 익스플로잇 자금과 직접 연결된다고 보고했다. AFX Trade는 7월 발생한 2,400만 달러 규모의 탈취 사건으로, 라자루스(Lazarus) 계열 조직인 TraderTraitor에 귀속되는바, 이 부대는 지난 4월 LayerZero가 KelpDAO 브리지 익스플로잇에 연결 지은 조직이기도 하다.

2026년 최대 해킹, 압도적 격차

DefiLlama의 트래커는 올해 281건의 사고에서 약 22억 달러가 유실됐다고 집계하고 있으며, Bitget 피해 하나만으로 그중 약 16%를 차지한다. 9월의 3억 2,000만 달러 규모 Liquid Network 사건, 4월의 2억 9,500만 달러 규모 Drift 침해를 크게 앞서는 규모다. 이 사건으로 9월은 4월의 약 6억 4,800만 달러를 제치고 2026년 가장 침율한 달이 됐다. TRM Labs 데이터는 이미 4월까지 해킹 손실의 76%가 북한 조직 배후라고 분석한 바 있으며, 업계의 기준점은 여전히 2025년 2월의 15억 달러 규모 Bybit 탈취 사건이다. FBI는 이를 라자루스의 소행으로 규정했다. Bybit CEO Ben Zhou는 Bitget에 탈취 자금 추적과 회수 지원을 공개적으로 제안했는데, 과거 Bybit 해킹 때 Bitget이 베풀었던 도움을 되돌려주는 셈이다. 거래소 측은 2022년에 출시해 현재 4억 6,400만 달러 이상을 보유한 User Protection Fund가 3억 달러 최소 담보 약정을 포함해 약 5,500 BTC를 충당하며 전체 피해를 보상할 수 있다고 공식 공지에서 밝혔다. 이로써 이 사건은 Mt. Gox와 Coincheck의 NEM 탈취로 이어지는 거래소 규모 유실의 계보에 자리 잡게 됐다. 시장을 실시간으로 추적하려는 독자는 Gate에서 현물·선물 가격을 실시간으로 확인할 수 있다.

포스트모템이 확인해야 할 것들

우리의 판단은 이렇다. 현재까지의 귀속 논리는 IP·VPN 지표와 온체인 자금 추적에 기반하지, 완성된 포렌식 보고서에 기반하지 않는다. 따라서 북한 설은 확정된 결론이 아니라 강력한 단서로 다뤄야 한다. CEO 본인의 설명에 따른 근본 원인은 거래 데이터 위조와 내부 승인 탈취에 동원된 백엔드 침해였고, 키는 끝내 예치 시스템을 벗어나지 않았다. 이는 Coinbase 같은 거래소가 핵심 통제 지점으로 취급하는 바로 그 키 관리·서명 계층이다. 피해 통제, 출금 중단, 4억 6,400만 달러 기금의 전액 보상으로 이어지는 복구 경로는 당분간 이용자를 보호해준다. 그러나 중앙화 거래소에 자산을 hodl할지 고민하는 이들은 약속된 기술 보고서가 나오기를 기다렸다가, 결론을 내리기 전에 우리의 최고 암호화폐 거래소 보안 체크리스트와 함께 비교 검토할 필요가 있다.