Bitget, 해킹 피해 추정치 3억 8,750만 달러로 상향... XRP가 최대 타격

유출된 키가 아니라 위조된 승인

암호화폐 거래소 Bitget은 9월 25일, 자사가 관리하는 지갑에서 약 3억 5,160만 달러 규모의 디지털 자산이 무단 유출됐음을 공식 확인했다. 거래소의 보안 공지에 따르면 사적키는 도난당하지 않았다. 공격자는 Bitget 지갑 인프라를 떠받치는 핵심 백엔드 시스템에 침투해 전송 데이터를 변조하고, Bitget 자체 승인 절차를 통과하는 위조된 출금 지시를 밀어 넣은 것이다. 침해는 핫월렛과 웜월렛 계층 일부에 국한됐고 콜드스토리지는 온전히 무사했다. 탈취 자산은 이더리움, XRP, BNB, USDT, USDC 등 여러 체인과 자산에 걸쳐 있었다. 예입과 거래는 정상 운영됐지만 출금은 보안 검증을 이유로 동결됐고, 이 중단 조치는 보도 시점에도 유지 중이다. Bitget의 모니터링은 9월 24일 18:31 UTC에 비정상 유출을 포착했고, CEO Gracy Chen은 몇 시간 안에 첫 공개 경보를 발령하며 사용자 보호펀드를 통해 확인된 손실을 전액 보전하겠다고 약속했고 내부자 개입 가능성은 배제했다.

5,500 BTC 규모의 안전판

사용자 손실의 후방담보는 Bitget 보호펀드다. 이 펀드는 5,500 BTC를 보유하고 있으며, 현재 8만 4,000달러에 육박하는 비트코인 가격 기준으로 약 4억 6,100만 달러의 가치를 지닌다. 이 버퍼는 오늘 확인된 손실을 커버할 수 있지만 가격 의존적이다. 펀드 규모를 계산해 보면 비트코인이 약 6만 3,900달러 아래로 떨어지면 3억 5,160만 달러의 초기 손실액조차 충당하지 못한다. 가정에 그치는 임계점도 아니다. 펀드 자체의 8월 보고서는 이달 초 비트코인이 6만 2,800달러 부근에서 거래되던 시점에 펀드 가치가 약 3억 4,530만 달러까지 미끄러졌음을 보여준다. 현재 손실액보다 낮은 수치다. 펀드 규모도 줄어들었다. 2025년 7월에는 6,500 BTC를 보유했으나 현재 5,500 BTC로 감소했으며, 이 1,000 BTC 감소에 대한 공개 설명은 없다. Bitget은 펀드의 비트코인을 매도할지 아니면 자기자본으로 손실을 흡수할지 밝히지 않았고, 이 사건은 키를 사용자가 직접 보관하는 Tangem Pay 같은 자기 관리형 셋업에 대한 관심을 다시 끌어올리고 있다.

북한 추적 흔적과 동결된 스테이블코인

귀속 추적은 북한을 가리키고 있지만 공식 확인된 바는 없다. Chen은 초기 보안 조사에서 특정 북한 그룹이 선호하는 가상사설망과 일치하는 IP 주소를 식별했다고 밝혔다. Bitget의 12시간 보고서는 해당 지표들이 알려진 DPRK 해커 수법과 매우 일치한다고 기술했으며, 사건은 당국에 신고됐다. 다만 특정 그룹명은 지목되지 않았다. 온체인 연구자들은 병행 추적 결과도 내놓았다. 탈취된 XRP 일부가 AFX Exploiter로 라벨링된 지갑에서 68,808 USDT를 받은 적 있는 이더리움 주소로 추적됐다. AFX는 7월 해킹으로 2,400만 달러를 잃었고 그 배후를 TraderTraitor 클러스터로 지목한 바 있다. 발행사들도 움직였다. Circle은 170.47 ETH, 218,023 USDT, 99,990 USDC를 보유한 'Bitget Exploiter 8' 주소를 블랙리스트에 올렸고, Tether도 같은 지갑을 차단해 약 31만 8,000달러의 스테이블코인을 동결했다. 공격자 지갑은 여전히 63,000 ETH 이상을 보유 중이다. 탈취된 스테이블코인은 수 분 만에 DeFi 플랫폼에서 ETH로 교환됐고, 속도를 위해 시세보다 최대 5% 높은 가격을 지불하기도 했다. BNB와 ETH는 네트워크 간 wrapped Bitcoin을 이동시키는 방식과 같은 노-KYC 크로스체인 서비스를 통해 비트코인으로 전환됐다.

피해 집계 3억 8,750만 달러로 수정

피해 규모 자체도 계속 움직이고 있다. Bitget의 중화권 총괄 담당 임원 Xie Jiayin은 X에 올린 업데이트에서, 온체인 추적 결과 공격자 주소로 이동한 자산이 약 3억 8,750만 달러로 집계됐다고 밝혔다. ZEC와 TRX가 목록에 추가되면서 초기 추정치인 3억 5,160만 달러에서 상향된 수치다. Bitget은 해당 자산 외에 추가 무단 이전은 확인되지 않았다고 설명했다. 보안팀은 공격자가 내부 보안 통제를 우회한 방식을 포함해 공격 경로와 사용된 기법을 대부분 파악했다. 다만 조사는 완결되지 않았다. Mandiant와 SlowMist의 제3자 검토가 진행 중이며, 이들이 마무리되면 최종 기술 보고서가 공개될 예정이다. Bitget은 회복 인센티브도 시작했다. 탈취 자산의 동결이나 회수에 협조하는 측에 회수액의 5%를 포상금으로 지급하는 방식이다. 이 메커니즘은 초기 성과가 있다. Chen은 일부 탈취 자산이 이미 회수됐음을 확인했지만 금액은 공개하지 않았다. 시장을 실시간으로 추적하려는 독자는 Gate에서 현물·선물 가격을 실시간으로 확인할 수 있다.

Xhttps://x.com/xiejiayinBitget/status/2103497298655547608

회수는 최종 기술 보고서에 달려 있다

온체인 기록에 대한 COINOTAG의 검토는 사후 분석이 얼마나 진전됐는지 보여준다. 유출은 라벨링된 핫월렛에서 0.84 ETH 테스트 전송으로 시작됐다. 가장 큰 단일 이동은 XRP Ledger에서 약 9,142만 XRP에 이르렀고, 이는 온체인에서 독립적으로 검증 가능하며 공식 집계와 일치한다. 팀의 사후 분석은 원인을 키 도난이 아닌 침해된 백엔드의 위조 전송 데이터 생성으로 확정했고, 대응은 출금 동결, 보호펀드 보전, 5% 포상금으로 요약된다. 남은 변수는 공격자 지갑에 고여 있는 6만 3,000 ETH 이상이다. 시장이 이 매물 부담을 exit liquidity가 되지 않고 흡수할 수 있을지, 그리고 약속된 24시간 보고서와 최종 기술 보고서가 어떻게 나올지 지켜봐야 한다. 거래 상대방 리스크를 다시 평가하는 투자자라면 최고의 암호화폐 거래소 가이드부터 살펴볼 수 있다.