2026년 9월 24일 Bitget은 일부 핫월렛과 웜월렛 인프라에서 승인되지 않은 가상자산 전송을 탐지했습니다. 10월 초 기준 Bitget이 밝힌 최신 피해 규모는 약 3억8,800만 달러입니다.
이 사건은 쉽게 “가상자산 거래소가 해킹됐다”고 요약할 수 있습니다. 하지만 이 표현만으로는 서로 다른 질문이 한데 섞입니다. 블록체인 자체가 침해됐는지, 개인키가 탈취됐는지, 출금 통제가 어떻게 우회됐는지, 그리고 자산이 빠져나간 뒤 최종 손실을 누가 떠안았는지는 각각 다른 문제입니다.
Bitget의 최신 설명에 따르면 공격자는 외부 보안 제품의 제로데이 취약점을 악용해 높은 권한의 자격 증명을 확보한 뒤, 위조 출금 명령을 주입해 기존 리스크 통제를 우회했습니다. Bitget은 개인키가 침해되지 않았고 콜드월렛도 영향을 받지 않았다고 밝혔습니다.
SlowMist와 Mandiant의 조사 업데이트도 외부 보안 환경에서 Bitget의 운영 지갑 환경으로 신뢰 경계를 넘어 공격이 확산됐다는 경로를 대체로 뒷받침합니다. 다만 당시 조사는 계속 진행 중이었고 일부 벤더 정보도 공개되지 않았습니다. 따라서 2026년 10월 6일 기준 이 설명은 현재까지의 가장 일관된 그림이지 최종 포렌식 결론은 아닙니다.
이용자 입장에서 더 중요한 질문은 기술적 통제가 무너진 뒤 무슨 일이 일어났느냐입니다. Bitget은 고객 계정 잔액을 줄이지 않았고 재무적 영향을 자체 Protection Fund로 흡수했다고 밝혔습니다. 출금은 단계적으로 재개됐으며 나머지 지원 자산, 법정통화 출금과 P2P 서비스도 10월 2일까지 복구하는 일정이 제시됐습니다.
핵심은 기술적으로 침해된 지점과 경제적으로 최종 손실을 부담하는 주체가 반드시 같지는 않다는 점입니다.
핵심 인사이트: 가상자산 거래소를 평가할 때 “블록체인은 안전한가”만 물어서는 부족합니다. 누가 개인키를 통제하는지, 누가 거래를 승인할 수 있는지, 어떤 시스템이 신뢰된 명령을 발행할 수 있는지, 자산이 사라졌을 때 플랫폼이 손실을 흡수할 자본이나 제도적 장치를 갖췄는지까지 봐야 합니다.
“가상자산이 해킹됐다”는 말에는 최소 다섯 가지 위험이 섞여 있다
“가상자산 해킹”이라는 표현은 서로 다른 실패 유형을 하나의 단어로 묶기 쉽습니다. 층위를 나누면 실제로 무엇이 실패했는지 더 정확히 볼 수 있습니다.
- 블록체인 또는 자산 프로토콜 위험 – 프로토콜, 스마트 컨트랙트, 브리지의 취약점 때문에 네트워크 규칙이 설계 의도와 다르게 악용되는 위험입니다.
- 커스터디 위험 – 이용자를 대신해 개인키를 보관하거나 지갑을 통제하는 시스템이 침해되는 위험입니다.
- 운영 보안 위험 – 서명 인터페이스, 고권한 자격 증명, 출금 워크플로, 핵심 시스템에 연결된 외부 소프트웨어 등에서 발생하는 실패입니다.
- 거래상대방 위험 – 공격이 끝난 뒤에도 플랫폼의 남은 자산이 부채보다 적으면 이용자는 유동성 부족, 채무조정, 지급불능 위험에 노출됩니다.
- 규제 및 소비자 보호 위험 – 고객 자산 분리, 수탁 책임, 손실 발생 시 이용자의 권리는 관할 지역마다 다릅니다.
핵심 인사이트: 네트워크 관점에서는 완전히 유효한 거래라도 이용자나 기관 관점에서는 승인되지 않은 거래일 수 있습니다. 블록체인은 올바른 서명이 붙은 명령을 실행했을 뿐이지만, 그 서명을 만들거나 승인한 내부 절차가 이미 공격자에게 장악됐을 수 있습니다.
세 거래소 보안 사고 비교
| 사례 | 기술적 실패 지점 | 보고된 영향 규모 | 이용자에게 미친 결과 |
|---|---|---|---|
| Bitget (2026) | 외부 보안 제품이 침해돼 고권한 접근과 위조 출금 명령이 가능해짐 | 약 3억8,800만 달러 | 고객 잔액은 감액되지 않았고 Bitget은 Protection Fund로 영향을 흡수했다고 설명 |
| Bybit (2025) | Safe 환경의 멀티시그 콜드월렛 서명 워크플로가 조작됐고 공급망 차원의 보안 문제가 관여 | 약 14억6,000만 달러 | 거래소가 자산 부족분을 메우고 보고 범위 자산의 1:1 담보를 복구 |
| WazirX (2024) | 멀티시그 지갑 침해로 큰 담보 부족 발생 | 2억3,000만 달러 초과 | 법적 구조조정에 들어갔고 대상 이용자는 스킴에 따라 Approved Claims의 약 85%에 해당하는 1차 분배를 받음 |
항상 두 질문을 분리해야 합니다. 시스템은 어디서 실패했는가, 그리고 최종 손실은 누가 부담했는가. 전자는 보안 아키텍처의 문제이고 후자는 자본, 유동성, 계약, 법의 문제입니다.
Bitget: 블록체인이 아니라 개인키 주변의 권한이 장악됐다
Bitget 사례는 개인키를 직접 보유하는 것과 개인키 주변의 운영 흐름을 통제하는 것이 다른 문제임을 보여줍니다. Bitget의 최신 설명에 따르면 공격자는 콜드월렛 개인키를 직접 훔치지 않았고, 외부 보안 제품을 침해해 높은 권한의 자격 증명을 확보했습니다.
쉽게 말하면 공격자는 신뢰된 운영자로 가장할 수 있을 정도의 권한을 얻어 내부 시스템이 정상으로 받아들이는 위조 출금 명령을 만들 수 있었습니다. 개인키만 안전하게 보관해도 충분하지 않다는 뜻입니다. 키 주변에서 명령을 내릴 수 있는 시스템이 장악되면 자산은 여전히 이동할 수 있습니다.
따라서 현대적인 커스터디 구조는 핫월렛과 콜드월렛을 나누는 데서 끝나지 않습니다. 서명자 권한, 업무 분리, 거래 정책, 출금 한도, 외부 벤더 보안까지 함께 관리해야 합니다. 자산의 안전성은 자산을 움직일 수 있는 특권 경로 가운데 가장 약한 고리에 좌우됩니다.
기술 통제가 실패한 뒤 Bitget은 자체 재무상태표와 Protection Fund를 다음 방어선으로 사용했습니다. 회사는 고객 잔액을 감액하지 않겠다고 밝혔습니다. 모든 거래소가 같은 대응을 할 수 있는 것은 아니지만, 기술 방어가 무너진 뒤에는 조직이 손실을 흡수할 수 있는 재무 역량 자체가 경제적 보안 통제가 됩니다.
핵심 인사이트: 이제 중요한 질문은 “개인키가 안전한가”뿐 아니라 “개인키 주변에서 명령을 내릴 수 있는 시스템을 누가 통제하는가”입니다. 블록체인과 개인키가 직접 침해되지 않아도 주변 워크플로의 권한을 빼앗기면 경제적 피해는 동일하게 발생할 수 있습니다.
Bybit: 콜드월렛도 승인 과정이 속으면 안전하지 않다
2025년 2월 21일 Bybit는 Ethereum 멀티시그 콜드월렛에서 자산을 잃었습니다. Bybit가 밝힌 손실은 약 14억6,000만 달러였고 FBI는 약 15억 달러를 제시하며 북한과 연계된 공격자에게 책임을 돌렸습니다.
이 사건은 “콜드월렛”이라는 이름만으로 위험이 사라지지 않는다는 점을 보여줍니다. 서명자가 거래를 확인하고 승인하는 절차가 조작되면 사람이 의도하지 않은 거래도 지갑이 승인할 수 있습니다.
Bybit는 Safe를 통한 멀티시그 거래 과정에서 서명자가 화면에서 확인한 내용과 실제 온체인에서 실행된 거래가 일치하지 않았다고 설명했습니다. 따라서 통제 문제는 서명자 수뿐 아니라 소프트웨어 구성, 검증 인터페이스, 목적지 주소와 거래 데이터를 독립적으로 확인할 수 있는 능력까지 포함합니다.
사고 뒤 Bybit는 단기 차입, OTC 매입, 대규모 예치 등을 통해 ETH 부족분을 메웠다고 밝혔습니다. 이후 준비금 증명 보고서는 약 72시간 안에 보고 범위의 고객 자산이 다시 1:1로 뒷받침됐다고 했습니다.
핵심 인사이트: 개인키를 오프라인에 보관해도 서명 워크플로가 조작될 수 있다면 절대적 안전을 보장하지 못합니다. 또한 사고 후 1:1 담보를 보여주는 준비금 증명은 유용한 정보지만, 그것만으로 장기 지급능력, 고객 자산의 법적 분리, 미래 보안을 모두 증명할 수는 없습니다.
WazirX: 사이버 손실이 유동성과 채권자 문제로 번질 때
WazirX는 다른 결말을 보여줬습니다. 2024년 7월 18일 멀티시그 지갑 공격 뒤 회사는 2억3,000만 달러 초과의 가상자산이 도난당했고, 이 손실이 1:1 담보를 유지하는 능력에 영향을 줬다고 인정했습니다.
이 시점부터 문제는 기술적 사고 대응만이 아니었습니다. 남은 자산이 이용자에게 진 부채보다 적다면 어떻게 상환할 것인가라는 재무상태표 문제가 됐습니다.
2025년 WazirX 운영사 Zettai는 싱가포르에서 Scheme of Arrangement 절차에 들어갔습니다. 회사에 따르면 스킴은 2025년 10월 효력이 발생했습니다. 이후 대상 이용자는 스킴의 기준가격 방식에 따라 Approved Claims의 약 85%에 해당하는 1차 분배를 받았고, 향후 추가 회수에 참여할 수 있는 Recovery Tokens도 배정받았습니다.
따라서 85%라는 숫자를 “현재 시장가격 기준으로 원래 코인의 85%를 돌려받았다”고 이해해서는 안 됩니다. 법적 구조조정의 계산 방식에 따라 가치가 분배된 것입니다.
Bitget, Bybit, WazirX를 비교하면 보도 제목에서는 비슷해 보이는 사이버 사고가 이용자에게 전혀 다른 경제적 결과를 만들 수 있다는 점이 분명해집니다.
거래소에 충분한 자본, 유동성, 준비 자원이 있으면 이용자가 직접 헤어컷을 당하지 않을 수 있습니다. 반대로 손실이 재무상태표를 뚫어 자산이 부채보다 적어지면 문제는 지급불능, 채권자 우선순위, 재산권 규칙으로 빠르게 이동합니다.
핵심 인사이트: 사이버 사고는 취약점을 패치했다고 끝나는 것이 아닙니다. 손실이 기관의 재무 방어선을 넘는 순간 채무 구조의 문제가 되고, 이용자의 회수 규모는 플랫폼의 재무상태와 적용 법률에 크게 좌우됩니다.
블록체인 자금은 추적할 수 있어도 자동으로 되돌릴 수는 없다
가상자산의 역설 가운데 하나는 많은 거래가 공개 원장에 기록돼 자금 흐름을 추적할 수 있지만, 보인다고 해서 취소 버튼이 생기는 것은 아니라는 점입니다.
거래가 네트워크 규칙을 충족한 뒤 경제적 효과를 되돌리려면 외부 통제 지점이 필요합니다. 자산을 받은 중앙화 거래소가 동결할 수도 있고, 일부 스테이블코인 발행사가 특정 토큰을 동결할 수도 있습니다. 수사기관이 법적 권한을 확보하고 서비스 사업자의 협조를 받으면 자산을 압수할 수도 있습니다.
Bybit 사건에서는 일부 동결과 압수 사례가 실제로 나왔습니다. T3 Financial Crime Unit은 2025년 3월 사건과 연계된 약 900만 달러를 동결했다고 발표했고, Chainalysis는 이후 그리스 수사기관이 관련 자산 일부를 압수한 사례도 소개했습니다.
이 사례들은 추적 가능성이 법 집행에 유용하다는 것을 보여주지만, 도난 자금 대부분이 항상 회수된다는 뜻은 아닙니다. 모든 디지털 자산에 중앙 관리자의 긴급 동결 기능이 있는 것도 아닙니다.
Bitcoin이나 Ether 같은 베이스 레이어 자산에는 일부 스테이블코인처럼 과거 거래를 동결할 수 있는 중앙 발행자가 없습니다. 공격자가 자산을 여러 체인, 스왑, 브리지, 수사에 협조하지 않는 서비스로 빠르게 분산할수록 회수는 더 어려워집니다.
공개 원장은 추적 흔적을 남기지만 블록체인을 신용카드식 차지백 시스템으로 바꾸지는 않습니다.
블록체인은 투명하면서도 최종성이 강한 시스템일 수 있습니다. 도난 자산이 어디로 갔는지 보인다고 해서 누군가에게 그것을 자동으로 되돌릴 권한이 생기는 것은 아닙니다.
셀프 커스터디는 거래상대방 위험을 낮추지만 책임을 키 보유자에게 옮긴다
거래소가 해킹된 뒤 자산을 셀프 커스터디로 옮기라는 조언이 자주 나옵니다. 이용자가 직접 개인키를 보유하면 거래소 파산, 출금 중단, 커스터디 실패에서 오는 거래상대방 위험을 줄일 수 있습니다.
하지만 위험이 사라지는 것은 아닙니다. 보안팀, 사고 복구 절차, 재무 여력을 가진 조직에서 개인에게 옮겨갈 뿐입니다. 이용자는 시드 구문을 보호하고, 전송 주소를 확인하고, 피싱을 막고, 필요하면 기기를 분리하며, 접근 권한을 잃었을 때의 복구 방법까지 준비해야 합니다.
Chainalysis는 2025년 중반까지 추적한 도난 자금 활동 가운데 개인 지갑 침해가 23.35%를 차지했다고 밝혔습니다. 이 수치만으로 셀프 커스터디가 거래소 커스터디보다 위험하다고 결론내릴 수는 없습니다. 정의와 데이터셋이 다르기 때문입니다. 다만 자산을 중개기관 밖으로 옮겨도 공격면이 사라지는 것이 아니라 관리 책임자가 바뀐다는 점은 보여줍니다.
따라서 더 나은 질문은 이용자가 어떤 위험을 직접 감당할 준비가 돼 있고, 수탁기관에 어떤 역량을 기대하느냐입니다.
거래소를 계속 이용한다면 보안 점검은 콜드월렛이나 준비금 증명이라는 홍보 문구에서 끝나서는 안 됩니다. 서명자 거버넌스, 고객 자산 분리, 출금 통제, 대사와 감사, 보험이나 보호기금, 법적 조건, 과거 사고 대응 이력까지 살펴야 합니다.
핵심 인사이트: 셀프 커스터디는 만능 해법이 아닙니다. 플랫폼 위험을 개인의 운영 책임으로 바꾸는 방식입니다. 자산을 중개기관에 맡긴다면 투자자는 기술 마케팅을 넘어 거버넌스, 자산 분리, 손실 흡수 능력을 확인해야 합니다.
디지털 화폐의 미래는 “아무도 믿지 않는 것”보다 무엇을 믿는지 아는 데 달려 있을 수 있다
블록체인의 초기 비전은 흔히 신뢰 최소화에서 출발합니다. 검증 가능한 규칙과 이용자가 직접 관리하는 개인키를 통해 중개기관 의존도를 낮추려는 것입니다. 하지만 실제 경제에서는 대부분의 이용자가 거래소, 수탁기관, 스테이블코인 발행사, 지갑 소프트웨어, 클라우드 인프라, 사이버 보안업체, 법률 체계에 의존합니다.
신뢰는 사라진 것이 아니라 생태계의 여러 층으로 재배치됐습니다.
Bitget, Bybit, WazirX는 디지털 화폐의 보안이 암호기술만의 문제가 아니라 사회와 기술이 결합된 문제임을 보여줍니다. 강한 프로토콜도 운영 규율, 독립 검증, 자산 분리, 사고 대응, 유동성 준비금, 손실 분담 규칙이 필요합니다.
반대로 강한 중개기관이 있다고 해서 프로토콜 위험이나 이용자의 실수까지 사라지는 것도 아닙니다.
이용자가 거래소를 고를 때는 “이 거래소가 해킹된 적이 있는가”보다 “한 통제층이 무너지면 다음 층이 피해를 막을 수 있는가”를 물어야 합니다. 서명 권한, 출금 한도, 독립 검증, 고객 자산 분리, 재무상태표의 충격 흡수력, 최악의 경우 이용자가 갖는 법적 권리를 살펴야 합니다.
이 교훈은 가상자산에만 해당하지 않습니다. 토큰화 자산, 스테이블코인, 새로운 디지털 결제 시스템 등 더 많은 금융자산이 소프트웨어와 커스터디 인프라에 의존하고 있습니다.
신뢰성은 “블록체인을 믿을 것인가, 기관을 믿을 것인가”라는 양자택일에서 나오지 않습니다. 각 층이 서로를 검증하고, 하나가 실패하더라도 모든 비용을 최종 이용자에게 넘기지 않고 충격을 흡수할 수 있어야 합니다.
핵심 요약
- 거래소 해킹이 곧 블록체인 실패를 뜻하지는 않습니다. 커스터디, 서명 절차, 고권한 접근, 출금 통제, 외부 소프트웨어에서 손실이 발생해도 블록체인은 유효한 명령을 그대로 실행할 수 있습니다.
- 어디가 침해됐는지와 누가 비용을 부담했는지는 다른 질문입니다. Bitget과 Bybit은 회사가 부족분을 흡수했다고 밝혔고, WazirX는 자산 부족 이후 법적 구조조정에 들어갔습니다.
- 추적 가능성은 가역성이 아닙니다. 공개 원장은 도난 자산을 따라가는 데 도움이 되지만, 동결이나 회수에는 중앙 통제 지점, 사업자의 협조, 법적 권한이 필요합니다.
- 셀프 커스터디는 위험을 없애는 것이 아니라 옮깁니다. 거래소 거래상대방 위험을 낮추는 대신 키 관리, 피싱 방어, 복구 계획을 이용자가 책임집니다.
- 디지털 화폐의 미래에는 프로토콜 보안과 제도적 회복력이 모두 필요합니다. 안전한 키는 건전한 거버넌스, 고객 자산 분리, 리스크 통제, 유동성, 명확한 고객 권리와 함께 작동해야 합니다.
