비트겟(Bitget), 3억 8,800만 달러 해킹 이후 비트코인(BTC) 출금 재개

Bitget, 비트코인 출금 재개

Bitget이 비트코인(BTC) 출금을 다시 개시했다. 9월 24일 발생한 약 3억8,800만 달러 규모의 보안 사고로부터 사흘 뒤인 월요일 08:00(UTC) 기준이다. 비트코인 네트워크와 BNB 스마트 체인이 우선 재개됐으며, 나머지 자산과 네트워크는 향후 며칠에 걸쳐 순차적으로 열릴 예정이다. Bitget CEO Gracy Chen은 월요일 AMA 세션에서 Bitcoin (BTC)가 가장 먼저 복구된 이유를 “출금 파이프라인이 내부 검증을 가장 먼저 통과했기 때문”이라고 설명했다. 이더리움(ETH)과 테더의 USDT는 보안 검토 진행 상황에 따라 뒤따른다. 공개된 일정표에 따르면 ETH 출금은 화요일 이더리움, BNB 스마트 체인, Arbitrum, Base, Optimism에서 재개되고, USDT는 수요일 이더리움, BNB 스마트 체인, Solana, Tron에서 이어진다. 나머지 자산, 법정화폐 입출금 및 P2P 서비스는 10월 2일로 예정돼 있다. 거래소는 이 일정이 기관, VIP 고객, 임직원을 위한 우회로 없이 모든 이용자에게 동일하게 적용되며 별도 절차가 필요 없다는 점을 강조했다.

변조된 인증정보로 3억8,750만 달러 유출

해킹 자체는 9월 24일 저녁, 무단 전송이 Bitget의 핫월렛·워먼월렛 인프라에서 빠져나가기 시작하면서 시작됐다. 거래소의 사고 공시에 따르면 공격자는 플랫폼이 의존하던 서드파티 보안 제품의 취약점을 악용해 고권한 내부 인증정보를 확보했고, 변조된 출금 데이터를 월렛 시스템에 밀어 넣어 승인을 유발하고 리스크 통제를 우회했다. 핵심은 프라이빗 키는 침해되지 않았고 콜드월렛은 온전했으며, 사용자 잔고에는 영향이 없다는 점이다. Bitget은 초기 피해액을 3억5,160만 달러로 산정했으나 Zcash와 Tron에서의 추가 자산 이동을 반영해 3억8,750만 달러로 상향 조정했고, 이는 2026년 현재까지 기록된 최대 규모의 암호화폐 탈취 사건이다. 외부 보안 업체 Mandiant와 SlowMist가 조사를 지원 중이며, 거래소는 취약점 패치를 완료하고 봉쇄 이후 신규 무단 전송이 없음을 확인했으며 탈취 자산의 일부를 이미 동결했다고 밝혔다.

THORChain의 선택적 자산 동결 불가

사고 봉쇄보다 자금 회수가 더 어려운 국면이다. 온체인 데이터에 따르면 공격자와 연관된 이더리움이 THORChain 볼트로 유입돼 비트코인으로 스왑되고 있다. 분산형 스왑 프로토콜을 거치며 체인을 넘나드는 고래(whale)급 흔적이며, Wrapped Bitcoin (BTC)(WBTC) 방식의 크로스체인 자산 이동과 동일한 레일이다. Chen은 공개적으로 THORChain에 공격 관련 주소에 대한 서비스 제공을 거부할 것을 촉구했으나, 프로토콜은 월요일 성명을 통해 네트워크 정지는 시스템 전반에 작용하는 긴급 보안 메커니즘이며 특정 자금만 선택적으로 동결할 수 없다고 반박했다. 분석가들은 THORChain에 주소 블랙리스트가 내장돼 있지 않아 거래 중단이나 연결 체인 일시 정지는 공격자만큼 일반 이용자에게도 타격이 된다는 점을 지적한다. 결국 Bitget의 동결·회수 전략은 프로토콜 차원의 강제가 아니라 외부 관할권과 현상금 프로그램에 의존할 수밖에 없는 구조다.

5,500 BTC 규모 보호펀드가 손실 부담

Bitget은 재개 자금을 자체 준비금으로 마련했다. 월요일 재개 전, 거래소 고유 데이터(거래소 공시)에 따르면 2,042.28 BTC(약 1억6,900만 달러)가 전략적 비트코인 비축 성격의 Protection Fund에서 핫월렛으로 이동했다. 온체인 기록상 3,457.72 BTC는 여전히 펀드 연계 주소에 보유 중이다. 이번 이체는 사용자 이탈 금액을 반영한 것이 아니라 예상 출금 수요를 사전 충당하기 위한 것이며, 해킹 시점 기준 약 5,500 BTC를 보유한 펀드에서 출금됐다. Bitget은 사건 발생 시점 약 4억6,400만 달러였던 해당 펀드로 전체 손실을 전액 보전하겠다고 약속했으며, 이는 탈취 금액을 넘어선다. 또한 공격자 자금이 동결·회수되면 그 5%를 보상하는 현상금을 걸었는데, 현재 피해액 기준 최대 약 1,940만 달러 규모로 업계 역사상 최대급 회수 보상에 속한다. 실시간 시세 추적은 MEXC에서 현물·선물 가격을 확인할 수 있다.

공급망 리스크가 사고 수습을 규정

Chen의 X 라이브 방송에서 공개된 포렌식 세부 내역은 사고의 분 단위 경과를 메워준다. 공격자는 9월 24일 18:31(UTC)경 두 건의 소액 전송으로 시험을 시작했다. 이더리움 핫월렛에서 0.84 ETH, Tron 핫월렛에서 93 TRX가 리스크 통제 기준선 아래로 빠져나갔고, 이어 18:58부터 20:09(UTC) 사이 약 3억6,100만 달러어치 대형 전송 17건이 이뤄졌다. Bitget 모니터링은 첫 대형 전송 7분 후 이상 징후를 포착했고, 이는 플랫폼 전체 출금 차단, 19:14(UTC) P0 긴급 선언, 19:40(UTC) 봉쇄로 이어졌다. 출금 서비스가 완전히 격리되기 전인 20:55~21:23(UTC) 사이, Avalanche, XRP, 이더리움, Zcash, Algorand, TIA, Cosmos에 걸친 약 3,000만 달러 규모의 전송 7건이 2차 파도로 발생했다. 월요일 09:00(UTC) 기준 9,585명의 이용자가 합계 4,098 Bitcoin (BTC)를 출금했으며 서비스는 정상화된 것으로 전해졌다.

CEO Gracy Chen 서명의 거래소 공식 성명은 해킹과 자금세탁 경로 모두에 대해 새로운 세부 정보를 덧붙였다. Bitget은 이번 9월 24일 사건이 8년 운영 역사상 처음으로 인프라를 뚫은 공격이며, 이 기록이 대응 수준을 평가하는 기준이 될 것이라고 확인했다. THORChain 외에도 공격자는 Uniswap, 1inch Fusion, Stargate를 통해 자금을 이동시켰고, 무단 전송은 이더리움, XRP Ledger, Tron에 걸쳐 있었다. Bitget은 조사 지원을 위해 확인된 공격자 주소와 추적 데이터를 공개했으며, 검증이 완료되면 이번 주 내로 정식 보안 보고서를 발표할 계획이라고 밝혔다. 성명은 통합 준비금 비율 127%를 함께 공시하며 사용자 잔고가 손상되지 않았음을 재확인했다.

(14:24 UTC 기준) 이 사건의 흐름을 한 줄로 정리하면 이렇다. 몇 시간 내 봉쇄, 일주일 내 보전, 그리고 아직 공격자가 주도권을 쥔 세탁 전장. 온체인 증거와 거래소 사고 공시를 종합하면, 원인이 키 탈취가 아닌 서드파티 벤더 취약점과 유출된 내부 인증정보의 결합이라는 점은 확립됐고, 유출 총액은 Zcash와 Tron을 포함한 다중 체인에서 온체인으로 검증 가능하다. 최고 암호화폐 거래소 권위 기업들이 서드파티 보안 검토를 강화하는지, 그리고 현상금이 실제로 자금을 회수하는지가 이 사건의 결말을 결정할 것이다. 단계별 재개가 10월 2일까지 이어지는 상황을 최신 비트코인 뉴스에서 계속 확인하라.