Bitget, 이더리움(ETH) 포함 3억 5,160만 달러 핫월렛 해킹 확인

체인을 넘어 핫월렛 인출

글로벌 대형 암호화폐 거래소 Bitget이 핫월렛 해킹으로 3억 5,000만 달러 이상의 손실을 입었다. 핫월렛은 거래소가 출금과 정산을 처리하기 위해 온라인에 상시 연결해 두는 지갑으로, 거래소 해킹 사건에서 공격자의 첫 표적이 되는 자산이다. 온체인 모니터링 도구는 9월 25일 새벽 최초의 비정상 자금 이동을 포착했고, 1억 8,000만 달러 이상의 자산이 거래소 관리 주소에서 소유주를 특정할 수 없는 지갑으로 빠져나가는 것을 확인했다. 이후 추적된 유출액 누계는 3억 5,100만 달러를 넘어섰으며, 이 침해는 거래소 내부 모니터링이 아닌 외부 온체인 분석에서 먼저 적발됐다. 탈취된 자산은 이더리움(Ethereum (ETH), ETH), 스테이블코인 USDC와 USDT, BNB, AVAX에 걸쳐 있었다. 온체인 데이터에 따르면 공격자는 당시 시장 가격보다 훨씬 낮은 가격에 이 자산들을 매도했는데, 이는 슬리피지의 극단적 사례다. 이후 공격자는 브리지 프로토콜을 통해 수익금을 다른 블록체인으로 옮기며 회수 작업을 어렵게 만들었다. 의심스러운 자금 유출 직후 몇 분 안에 사용자들의 출금 실패 요청이 잇따랐다. Bitget 최고경영자 Gracy Chen은 목요일 해당 사건을 공개적으로 인정했고, 예상 피해액을 약 3억 5,160만 달러로 추정했다. 그녀는 고객 자산은 안전하며, 전체 손실이 현재 4억 6,400만 달러 이상을 보유한 거래소의 사용자 보호 기금(User Protection Fund) 적용 범위 안에 들어간다는 점을 강조했다. 이는 침해 규모 전액을 흡수하기에 충분한 수준이다. Bitget은 공격을 감지한 직후 출금을 즉시 중단했고, 전체 보안 점검을 마친 후에야 서비스를 재개하겠다고 밝혔다. Chen은 조사 과정에서 추적된 IP 주소가 북한 관련 그룹과 연관될 가능성이 있다고 밝히면서도, 해당 연관성은 아직 확정적으로 입증되지 않았다고 덧붙였다.

백엔드 침해, 프라이빗 키는 무사

Bitget의 9월 25일 공식 후속 발표는 근본 원인을 좁혔다. Chen이 자신의 X 계정을 통해 게시한 보안팀의 초기 조사 결과에 따르면, 침입자는 거래소 지갑 서비스의 핵심 백엔드 시스템에 침투해 이체 정보를 위조하고 승인 서명 절차를 트리거해 외부 주소로 자금을 이동시켰다. 해당 지시는 플랫폼의 정상적인 이체 오더 타입과 유사한 형태였다. 핵심은 지갑의 프라이빗 키가 유출됐다는 증거는 없다는 점이다. Chen은 "키 유출은 배제됐다"면서 "이는 더 심각한 리스크 시나리오가 제거됐음을 의미한다"고 밝혔고, 피해 통제가 완료돼 더 이상 허가되지 않은 자금이 플랫폼 밖으로 빠져나갈 가능성은 없다고 설명했다. 회사 자체 평가에 따르면 Bitget의 3중 지갑 구조 덕분에 콜드월렛은 전혀 영향받지 않았다. 공격자가 백엔드를 어떻게 침투했는지는 조사가 진행 중이며, Bitget은 침입 방식이 특정되는 대로 전체 기술 보고서를 공개하겠다고 밝혔다. 비상 대응팀은 사고 직후 즉시 가동됐고, 비정상 자금을 수령한 주소를 식별·보고했으며, 사건을 다루는 수사기관과 온체인 보안 업체에 통지했다. 이런 유형의 백엔드 침해는 유출된 키 해킹보다 적발이 어렵다. 공격자가 거래소 자신이 신뢰하는 인프라 내부에서 움직이기 때문이다. 여러 기술팀이 시스템 복구와 보안 강화를 병행하는 동안 출금은 계속 중단된 상태다. Chen은 재개 일정 약속을 피하며, Bitget은 날짜가 확정되는 즉시 발표하겠지만 "지킬 수 없는 일정을 성급하게 약속하지는 않을 것"이라고 말했다. 실시간 시장 추적이 필요한 독자는 Gate에서 현물과 선물 가격을 실시간으로 확인할 수 있다.

4억 6,400만 달러 기금, 재개 일정 주목

탈취 자금 일부에 대한 구체적 동결 조치가 이뤄졌다. Circle은 금요일 05:00 UTC에 Etherscan에서 "Bitget Exploiter 8"로 표시된 주소를 블랙리스트에 올렸고, 블록체인 보안 업체 MistTrack에 따르면 Tether도 이어서 해당 지갑을 차단했다. 이번 조치로 약 31만 8,000달러 규모의 스테이블코인이 잠겼다. 21만 8,023 USDT와 9만 9,990 USDC가 동결됐고, 170.47 Ethereum (ETH)가 함께 보유돼 있었다. 이는 3억 5,160만 달러 피해액의 극히 일부에 불과하다. 한계는 구조적이다. MistTrack의 추적기에 따르면 다른 공격자 주소가 여전히 6만 3,000 ETH 이상을 보유 중인데, 이는 발행자가 동결할 수 없는 자산이다. Circle의 신속한 대응은 4월 2억 8,500만 달러 규모의 Drift 해킹과 대조된다. 당시에는 블랙리스트 등록이 이뤄지기 전에 약 2억 3,200만 달러의 USDC가 Solana에서 Ethereum으로 넘어갔고, ZachXBT를 포함한 온체인 조사 커뮤니티의 비판을 받았다.

(15:10 UTC 기준) 두 발표를 종합하면 이번 침해는 암호학적 실패가 아니라 운영 보안의 실패로 규명된다. 프라이빗 키는 그대로였으나, 서명 파이프라인 자체가 백엔드 내부에서 조작될 수 있었다는 뜻이다. 유출된 약 3억 5,160만 달러 자금의 온체인 추적은 건별로 검증 가능하며, 공격자가 브리징을 마치기 전에 얼마를 동결하거나 회수할 수 있는지가 여기서 갈린다. 지금까지의 공식 사후 분석은 피해 원인을 백엔드 침입으로 규정했고, 복구 세부 내역은 아직 공개되지 않았다. Bitget의 4억 6,400만 달러 기금과 같은 보상 풀은 Coinbase Global (COIN)에 이르는 거래 전문점들에서 표준이 되었으며, 거래소 생존의 필수 요건으로 자리 잡았다. 거래소 리스크를 비교하는 트레이더에게는 최고 암호화폐 거래소 가이드가 커스터디 모델의 차이를 상세히 설명한다. 다음 관전 포인트는 출금 재개 공지와 기술 보고서다.