비트겟(Bitget), 3억 8,800만 달러 해킹 이후 비트코인(BTC) 출금 재개

비트겟, 비트코인 출금 재개

비트겟(Bitget)이 9월 24일 약 3억 8,800만 달러 규모의 자산에 영향을 미친 보안 사고 이후 사흘을 넘긴 월요일, 08:00 UTC(한국시간 17시)를 기점으로 비트코인(BTC) 출금을 다시 열었다. 비트코인 네트워크와 BNB 스마트 체인이 가장 먼저 정상화됐으며, 나머지 자산과 네트워크는 향후 며칠에 걸쳐 순차적으로 재개될 예정이다. 비트겟의 CEO 그레이스 첸(Gracy Chen)은 월요일 AMA 세션에서 BTC가 첫 번째였던 이유에 대해 출금 처리 파이프라인이 내부 점검을 가장 먼저 통과했기 때문이라고 설명했고, 이더리움(ETH)과 테더의 USDT는 보안 검토 진행 상황에 따라 뒤따를 것이라고 밝혔다. 공개된 재개 일정에 따르면 ETH 출금은 화요일 이더리움, BNB 스마트 체인, Arbitrum, Base, Optimism 네트워크에서, USDT 출금은 수요일 이더리움, BNB 스마트 체인, Solana, Tron에서 각각 재개된다. 나머지 자산, 법통화 입출금 채널과 P2P 서비스는 10월 2일로 예정돼 있다. 거래소는 이 일정이 모든 이용자에게 동일하게 적용되며 기관, VIP 고객, 임직원을 위한 우회로는 없다고 강조했다. 계정 보유자가 별도로 해야 하는 절차도 없다는 것이 공식 입장이다.

위조 인증서로 3억 8,750만 달러 유출

해킹의 발단은 9월 24일 저녁으로 거슬러 올라간다. 이 시각부터 승인되지 않은 전송이 비트겟의 핫월렛·웜월렛 인프라에서 빠져나가기 시작했다. 거래소의 사고 공시에 따르면 공격자는 플랫폼이 의존하던 서드파티 보안 제품의 취약점을 악용해 최고 권한의 내부 인증 정보를 확보했고, 지갑 시스템에 위조된 출금 데이터를 밀어 넣어 승인 절차를 통과시키고 리스크 통제를 우회했다. 핵심은 개인키는 침해되지 않았고 콜드월렛은 손대지 않았으며, 이용자 잔고에는 어떠한 영향도 없었다는 점이다. 비트겟은 처음 피해 규모를 3억 5,160만 달러로 집계했다가 Zcash와 Tron에서의 추가 자금 이동을 반영해 3억 8,750만 달러로 상향 조정했고, 이 금액은 2026년 기록된 암호화폐 도난 사건 중 최대 규모다. 외부 보안 업체 Mandiant와 SlowMist가 조사에 투입됐으며, 거래소는 취약점을 패치했고 봉쇄 이후 새로운 무단 전송이 확인되지 않았으며 도난 자산의 일부는 이미 동결했다고 밝혔다.

THORChain은 자금 선택 동결 불가

침해를 봉쇄하는 것보다 자금 회수가 더 어려운 국면에 접어들었다. 온체인 데이터는 공격자와 연결된 이더리움이 THORChain 볼트로 유입돼 비트코인으로 스왑되고 있음을 보여준다. 탈중앙화 스왑 프로토콜을 통해 체인을 넘나드는 고래급 자금 흐름이며, 이는 네트워크 간 래핑 비트코인(WBTC) 방식의 자산 이동을 지탱하는 것과 동일한 크로스체인 레일이기도 하다. 첸은 공개적으로 공격과 연관된 주소에 대한 서비스 거부를 THORChain에 요청했지만, 프로토콜 측은 월요일 성명을 통해 네트워크 중단은 시스템 전반에 영향을 주는 긴급 보안 메커니즘일 뿐 특정 자금을 골라 동결할 수는 없다고 반박했다. 분석가들은 THORChain에 주소 차단 목록이 기본 내장돼 있지 않기 때문에 거래를 중단하거나 연결 체인을 일시 정지하면 공격자만큼 일반 이용자도 타격을 입게 된다고 지적한다. 결국 비트겟의 동결·회수 전략은 프로토콜 차원의 집행이 아니라 외부 관할권과 포상금 프로그램에 의존할 수밖에 없는 구조다.

5,500 BTC 펀드가 손실 부담

비트겟은 재개 자금을 자체 준비금으로 마련했다. 월요일 재개장에 앞서 2,042.28 BTC(약 1억 6,900만 달러)가 전략적 비트코인 준비금 성격의 보호 펀드에서 핫월렛으로 이동했다. 이는 거래소가 공개한 자체 데이터에 기반한 것으로, 온체인 기록상 펀드 연결 주소에는 여전히 3,457.72 BTC가 남아 있다. 이 전송은 이용자의 출금 러시를 반영한 것이 아니라 예상 출금 수요를 미리 충당하기 위한 것이며, 해킹 시점 기준 약 5,500 BTC를 보유하던 펀드에서 인출됐다. 비트겟은 사고 발생 시점 약 4억 6,400만 달러 규모였던 이 펀드로 전체 손실을 전액 보전하겠다고 약속했으며, 그 규모는 도난 금액을 넘어선다. 또한 공격자 자금이 동결되거나 회수될 경우 그 5%를 지급하는 포상금을 걸었는데, 현재 도난 금액 기준 최대 약 1,940만 달러 규모로 업계 역사상 최대급 회수 보상 중 하나다. 시장을 실시간으로 추적하려는 독자는 MEXC에서 현물·선물 가격을 실시간으로 확인할 수 있다.

공급망 리스크가 남긴 과제

이 모든 실마리를 한 데 모으면 하나의 흐름이 된다. 몇 시간 안의 봉쇄, 일주일 안의 배상, 그리고 아직 공격자가 주도권을 쥔 세탁 전장. 온체인 증거와 거래소의 사고 공시를 우리가 함께 검토한 바에 따르면 근본 원인은 개인키 도난이 아니라 서드파티 벤더 취약점과 유출된 내부 인증 정보의 결합으로 확정됐으며, 유출 총액은 Zcash와 Tron을 포함한 여러 체인에서 온체인으로 검증 가능하다. 최고의 암호화폐 거래소로 꼽히는 플랫폼들이 서드파티 보안 검토를 강화할지, 그리고 포상금이 실제로 자금을 회수할지가 이 사건의 마무리를 결정할 것이다. 단계별 재개가 10월 2일까지 이어지는 동안 최신 비트코인 뉴스를 COINOTAG에서 계속 확인할 수 있다.