비트코인(BTC) 거래소 BitMart서 39만 1,000달러 해킹, 창업자 Sheldon Xia 확인

Mercado Bitcoin 피해 53분 전 시작된 자금 유출

BitMart 창업자 Sheldon Xia가 X 게시물에서 해킹 사실을 확인했다. 11월 2일 거래소가 해킹을 당했으며, BitMart 관련 지갑에서 Base, Arbitrum, Optimism 네트워크로 약 39만 1,000달러가 유출된 것으로 추정된다. 이 세 네트워크는 모두 이더리움 레이어 2로, Wrapped Bitcoin 같은 브리지 자산이 네이티브 토큰과 함께 보관된다. 즉 도난 자금은 단일 금고가 아니라 여러 체인으로 이동했고, 브리지를 통해 빠르게 전환될 수 있어 회수는 한층 어려워진다. 온체인 데이터에 따르면 유출은 공격자가 브라질 최대 암호화폐 거래소 Mercado Bitcoin (BTC)을 노리기 53분 전에 시작됐다. Mercado Bitcoin은 같은 날 4,860만 달러 규모의 해킹 피해를 보고했다. Xia는 같은 답글에서 예비 조사 결과 Mercado Bitcoin 침해 배후 조직이 연루됐을 가능성을 언급했다. 사실이라면 BitMart는 대륙을 하나로 뛰는 당일 공격 연쇄의 첫 번째 무대가 되는 셈이다. 53분의 간격은 한 공격자가 작은 거래소를 먼저 시험한 뒤 더 큰 곳으로 옮겨갔다는 해석을 가능하게 한다. 이번 침해는 미국 중간선거 개표 국면의 출렁임을 지나 7만 8,000달러 부근을 지키고 있는 비트코인(BTC) 가격 상황에서 터졌다. 이번 주 비트코인 관련 보도를 주도한 것은 가격이 아니라 보안이었고, BitMart의 확인은 침해 목록에 새 이름을 하나 추가했다. Xia의 게시물은 사용자 자산에 영향이 있었는지, BitMart가 손실을 보상할 계획인지는 밝히지 않았다. 두 사항 모두 아직 공개되지 않았다. 39만 1,000달러는 올해 최대 규모 사건들과 비교하면 작은 금액이지만, 단일 공격 그룹과의 연루 가능성이 사건의 무게를 더하고 있다.

철수 과정에서 보안 인력은 크게 부족한 상태

BitMart는 지난 7월 업계 9년 만의 폐업을 밝혔고, 운영 완전 중단은 2027년 1월 31일로 예정돼 있다. 그 공지 이후 핵심 인력만 남아 운영해왔다. Xia는 축소된 팀이 심각한 압박에 놓여 있다고 설명했다. 사용자들의 신상 공개와 협박, 일부 전 직원의 보복 행동을 나열하며 그중 전 마케팅 총괄을 가해자로 지목했다. 그는 이런 개인 공격 때문에 일부 기술 인력이 버티기 어려웠다며, 공격이 계속되는 상황에서 보안 팀이 “심각하게 인력이 부족하다”고 적었다. 두 조건이 겹치면 철수 중인 플랫폼도 공격을 받을 수 있다. 폐업 과정 내내 사용자 데이터와 자금을 보관해야 하기 때문에 보안 공백을 찾는 공격자에게 상시 표적이다. 엔지니어링 인력이 줄면 핫월렛 감시도 약해지고, 사건 발생 직후의 대응도 느려진다. 침해의 처음 몇 분이 좌우하는 순간이다. 업계 상황은 그림을 더 선명하게 만든다. 해킹 추적에 따르면 올해 누적 도난 금액은 약 87억 7,600만 달러로 추정된다. 지난해의 27억 1,500만 달러의 세 배를 넘겼고, 기록상 최악의 해를 큰 격차로 갱신한 것이다. 이 가운데 지난주의 63억 달러 규모 Binance 해킹이 업계 역상 최대 단일 피해로 대부분을 차지한다. BitMart는 이제 Bitget, Binance, Mercado Bitcoin (BTC)과 함께 2026년 침해 목록에 이름을 올렸다. Xia의 규인이 유지된다면 한 조직이 한 시간 안에 두 대륙의 거래소 두 곳을, 그중 인원이 가장 적게 남은 곳부터 공격한 것이다. Xia는 남은 직원들이 데이터와 자산을 지키기 위해 할 수 있는 모든 일을 하고 있다고 말했지만, 폐업일을 앞두고 핵심 시스템을 얼마나 더 유지할지는 밝히지 않았다.

2026년의 표적 선택 문제

온체인 기록과 Xia 본인의 설명은 이번 사건을 우연이 아니라 표적 선택의 문제로 프레임한다. 가장 얇은 방어선부터 시작해 규모 사다리를 오르는 공격자는 폐업 절차가 관리 시스템을 그대로 남겨두는 한 계속 후보를 찾을 것이다. 보유자 입장에서는 중앙화 거래소에 대한 거래상대방 리스크 질문이 다시 떠오른다. 실무적 답은 익히 알려진 것이다. 자기 관리 자산이나 사용자가 직접 통제하는 비트코인 디파이 포지션에는 출금 동결 리스크가 없다. 다만 거래소 밖에서 HODL을 선택하면 보안 책임이 개인에게 넘어간다. 기관들은 패닉이 아니라 방어에 움직이는 모습이다. BlackRock의 IBIT은 11월 3일 1억 1,560만 달러 규모의 비트코인 ETF 자금 유출을 기록했고, 우리의 비트코인 기술적 분석은 7만 6,400달러 지지대를 계속 주목한다. 아직 집계되지 않은 것은 BitMart 사용자 잔고에 미친 영향이다. 올해 도난 누계는 지난해 27억 1,500만 달러 대비 약 87억 7,600만 달러로 추산되며, 이제 이 거래소의 39만 1,000달러가 최신 항목으로 더해졌다.