비트겟, 3억 8,800만 달러 핫월렛 해킹 뒤 비트코인(BTC) 출금 재개

Bitcoin 출금망 재가동

Bitget이 지난주 해킹 사건 이후 고객 출금을 단계적으로 재개하기 시작했다. Bitcoin (BTC) 네트워크 출금은 9월 28일 오후 5시(JST) 전후부터 다시 열렸다. 재가동 순서는 Bitcoin이 최우선이며, 이어 Ethereum과 BSC, Arbitrum, Base, Optimism 네트워크가 함께 재개된다. 다음 단계는 USDT, 마지막으로 나머지 토큰과 법정화폐 서비스가 순차적으로 정상화된다. 거래소는 소매·VIP·기관 고객 모두에 단일 출금 채널을 유지하고 우선순위 큐를 두지 않았으며, 최소 출금액과 24시간 한도도 기존 기준을 그대로 적용했다.

수요는 많지만 흐름은 질서 정연하다. UTC+8 기준 16시 50분 현재 플랫폼에 접수된 Bitcoin 출금 주문은 총 7,683건, 규모로는 3,609 BTC에 달한다. 이 가운데 6,946건(3,326 BTC)은 이미 온체인 확인 1회 이상을 받았고, 737건(283 BTC)은 브로드캐스트된 상태에서 확인을 기다리고 있다. 출금 처리 인력은 약 5배로 증원됐으며, 이용자는 혼잡한 Bitcoin 메인넷 대신 BSC를 경유하는 더 빠르고 저렴한 대안으로 BTC를 빼낼 수 있다. 거래소는 약 3일 반에 걸친 출금 동결이 자금 부족이 아니라 재검증해야 할 시스템의 수가 많았기 때문이었다는 점을 강조했다.

재개와 함께 Bitget은 보안 태세도 강화했다. 민감 시스템 접근에는 이제 다자간 승인이 요구되고, 결함을 유발한 서드파티 벤더는 보완이 끝날 때까지 접근이 차단됐다. 모든 출금 요청에는 독립 검증 절차가 적용된다. 회사는 사설 키가 한 번도 노출되지 않았다는 입장도 재확인했다. 한편 온체인 추적은 계속되고 있다. 온체인 분석가 ZachXBT는 도난 자금이 브리지를 통해 체인 간 이동을 반복하며 Wasabi 같은 믹싱 서비스로 유입되고 있으며, 중국어권 자금 세탁 조직이 공격 그룹의 대리인으로서 Discord와 Telegram에서 처분 서비스를 공공연히 광고하고 있다고 밝혔다. 'lolo/Marin'이라는 별칭을 쓰는 한 조직원은 2억 9,200만 달러 규모의 Kelp DAO 탈취 사건 세탁과 연결된 바 있으며, ZachXBT는 이 패턴이 북한 TraderTraitor 클러스터로 귀속되는 공격에서도 반복된다고 지적했다.

서드파티 제로데이, 위조 지시서

거래소의 사후 브리핑이 공개됐다. CEO Gracy Chen과 그레이터 차이나 총괄 Xie Jiayin이 공개 자리에서 공격을 분 단위로 복기했다. 공격은 9월 25일 UTC+8 기준 오전 2시 31분, 두 건의 소규모 탐지 시도로 시작됐다. 이더리움 핫월렛에서 0.84 ETH, TRON 핫월렛에서 93 TRX가 빠져나갔으나 리스크컨트롤 임계값을 넘지 않아 어떤 알림도 발생하지 않았다. 오전 2시 58분부터 4시 9분 사이 공격자는 Ethereum, XRP, BSC, Base, Arbitrum, Optimism, Avalanche에 걸쳐 약 3억 6,000만 달러 규모의 대형 이체 17건을 실행했고, 두 번째 물결은 ALGO, TIA, ATOM, 프라이버시 코인 Zcash까지 미쳤다. 플랫폼 대사 시스템은 3시 5분에 이상을 포착해 전 사용자 출금을 자동 차단했고, 3시 14분에 P0급 긴급 대응이 이뤄졌다. 지갑 동결 전에 7건의 추가 이체로 약 2,800만 달러가 더 유출됐다. 핫월렛과 웜월렛에서 유출된 총액은 약 3억 8,800만 달러다.

공식 공개에 따르면 침입 경로는 서드파티 보안 제품의 제로데이 취약점이었다. 공격자는 이를 통해 정품 고권한 내부 자격증명을 탈취하고, 지갑 백엔드에 위조 출금 명령을 직접 기록해 실행 전 리스크 검사를 우회한 뒤, 이체 후 흔적을 삭제했다. 멀웨어는 개입하지 않았다. 선물과 현물 거래에서 업계 최대 규모 중 하나인 Bitget은 사설 키와 콜드월렛은 손대지 않았으며 내부자 개입은 1차적으로 배제됐다고 밝혔다. 당시 약 4억 6,400만 달러 규모에 준비율 127%를 기록하던 보호기금이 손실을 흡수하며, 1주일 이내에 검증 가능한 공개 지갑으로 최소 3억 달러 이상 재충전된다. Mandiant와 SlowMist가 독립 포렌식을 진행 중이며, 완전한 보고서는 1주일 이내에 나온다. 동결·반환 자금의 5%를 보상하는 회수 포상금도 운영된다. 실시간 시세 추적이 필요한 독자는 Gate에서 현물·선물 가격을 확인할 수 있다.

3억 달러 기금 검증 앞둔 국면

CEO Gracy Chen의 9월 28일 라이브 방송 발표에서 손실 추정치가 상향됐다. 공격자 주소로 이동한 자산은 기존 집계 3억 5,160만 달러에서 3억 8,750만 달러로 늘었다. Chen은 보호기금이 부족분 전액을 충당하며 계좌 잔고에는 영향이 없다고 재확인했고, 자체 자본으로 1주일 이내에 기금을 3억 달러 이상으로 채운다는 계획과 함께 사용자 지원 프로그램 'Project Stand Together'도 공개했다. 확산 차단은 완료됐다. 영향받은 시스템은 격리됐고, 자격증명은 회수 후 재발급됐으며, 침해된 서드파티 기능은 벤더 패치가 나올 때까지 비활성화됐다. 출금 처리는 빠르게 확대됐다. 18:00 JPT까지 총 9,585건, 4,098.03 Bitcoin (BTC)가 처리됐으며, ETH와 USDT는 다음 날 재개된다. 회수 작업은 이미 업계 파트너를 통해 일부 자금을 동결했고, Bybit의 LazarusBounty 플랫폼을 활용한 5% 포상금이 지렛대 역할을 할 수 있다.

(05:26 UTC 기준) 우리의 판단은 이렇다. 이번 사건은 Bitget 8년 역사상 첫 보안 사고였고, 핵심 교훈은 서드파티 보안 계층 그 자체가 자사 코드만큼 공격 표면이므로 거래소가 동일한 강도로 감사해야 한다는 것이다. 온체인 증거 경로는 이례적으로 깔끔하다. 공격자 주소는 공개돼 있고 모든 자금 이동은 추적 가능하며, 재충전된 기금이 이용자가 직접 검증할 수 있는 공개 지갑에 놓이므로 복구 절차도 독립적으로 확인할 수 있다. 진짜 관건은 3억 달러 기금 충전과 1주일 내 나올 독립 포렌식 보고서다. 시장이 이번 사태를 통제된 것으로 봤는지는 크립토 공포·탐욕 지수 같은 심리 지표가 보여줄 것이다.