비트겟, 핫월렛 해킹으로 3억 8750만달러 유출, 개인키 아닌 백엔드 침투 경로로 확인

무슨 일인가

암호화폐 거래소 비트겟(Bitget)이 2026년 9월 24일 거래소 핫월렛에서 대규모 무단 이체가 발생했다고 공지했다.¹ 비트겟은 같은 날 UTC 기준 19시 5분 정산 시스템이 일부 핫월렛의 비정상 이체를 포착했으며, 피해 규모를 약 3억 5160만달러로 추산한다고 밝혔다.¹ 콜드월렛은 안전하고, 3단계 지갑 구조 가운데 핫월렛과 웜월렛 일부만 영향을 받았다는 설명이었다.¹

이튿날 비트겟은 초기 집계에서 빠졌던 지캐시(Zcash)와 트론(TRON) 자산을 더해 피해액을 약 3억 8750만달러로 정정했다.² 새로운 무단 이체가 추가된 것이 아니라 집계가 보완된 결과라고 비트겟은 설명했다.² 피해 자산은 XRP, ETH, USDT, ZEC, USDC, USDT0, XAUt, BNB, AVAX, TRX 등이었다.²

공격은 어떻게 이뤄졌나

비트겟 CEO 그레이시 첸(Gracy Chen)은 개인키 유출 가능성을 배제했다고 밝혔다.³ 공격자는 지갑 인프라의 핵심 백엔드 시스템을 장악한 뒤 거래 데이터를 위조해 비트겟의 승인 절차가 자금 이체를 통과시키도록 만들었다는 것이다.³

더 블록(The Block)과의 인터뷰에서 첸은 공격자가 본격 탈취 30분 전인 UTC 18시 31분에 이더리움 핫월렛에서 0.184 ETH, 트론 핫월렛에서 193 TRX를 빼내는 소액 시험 이체를 두 차례 했다고 말했다.⁴ 두 건 모두 위험 관리 기준선 아래라 경보가 울리지 않았고, 18시 58분부터 20시 9분 사이 8개 체인에서 17건의 이체로 약 3억 6100만달러가 빠져나갔다.⁴ 첸은 공격자가 가짜 출금 명령을 백엔드에 삽입한 뒤 흔적을 지운 것이 "가장 까다로운 부분"이었다고 말했다.⁴

보안 업체 슬로우미스트(SlowMist)와 맨디언트(Mandiant)의 조사에서 공격 경로가 구체화됐다.⁵ 비트겟은 10월 1일 X 게시글에서 공격자가 제3자 보안 제품의 제로데이 취약점을 악용해 높은 권한의 내부 자격증명을 확보했고, 이를 이용해 지갑 시스템에 위험 관리를 우회하는 비정상 이체 명령을 내렸다고 밝혔다.⁵ 슬로우미스트는 가장 이른 악성 활동이 8월 31일로 거슬러 올라가며, 공격자가 한 보안 제품의 노드에서 숨겨진 스크립트로 데이터베이스 비밀번호를 읽어낸 뒤 또 다른 제품의 관리 플랫폼에 내부 직원 신원으로 접근해 악성 파일을 심었다고 보고했다.⁵ 맨디언트는 공격자가 보안 어플라이언스에 웹셸을 설치하고 명령제어 연결을 구축한 뒤 비트겟의 운영 지갑 작업 서버로 이동해 악성 패키지를 배포했다고 분석했다.⁵

대응과 배후

비트겟은 손실이 4억 6400만달러가 넘는 이용자 보호 기금의 범위 안에 있어 이용자 잔고에는 변화가 없다고 밝혔다.¹ 첸은 손실을 기금으로 흡수한 뒤 8월 31일 감사 기준 14억달러가 넘는 회사 준비금으로 일주일 안에 기금을 최소 3억달러까지 다시 채우겠다고 말했다.⁴ 출금은 사고 직후 중단됐다가 9월 28일 비트코인부터 단계적으로 재개됐고, 첫 1시간에 3000 BTC 이상이 처리됐다.⁴

비트겟은 공격자 자금 동결에 기여한 사람에게 동결액의 5%, 회수에 기여한 사람에게 회수액의 5%를 지급하는 포상 프로그램을 내걸었다.² 그러나 서클(Circle), 테더(Tether), 니어 인텐츠(NEAR Intents)가 동결한 금액은 약 110만달러에 그친다.⁵

배후로는 북한이 지목된다. 첸은 일부 IP 주소가 특정 북한 조직의 VPN 사용 패턴과 일치하고 온체인 서명도 북한 연계 조직의 기법과 닮았다고 말했으나, 공격자의 신원이 확인된 것은 아니라고 강조했다.⁶ 비트겟은 이후 IP 행동 패턴과 온체인 분석이 북한 위협 행위자를 가리킨다고 밝혔고, 엘립틱(Elliptic)과 TRM 랩스(TRM Labs)는 과거 해킹 자금 세탁에 쓰인 지갑과의 겹침을 확인했다.⁵

왜 중요한가

이번 사건은 개인키나 콜드월렛이 아니라 거래소가 믿고 쓰는 보안 제품 자체가 침투 경로가 됐다는 점에서 주목된다.⁵ 첸은 2025년 바이비트(Bybit)가 약 14억달러를 잃은 사건을 언급하며 이번 공격이 당시 북한 조직의 수법과 매우 닮았다고 말했다.⁶ 체이널리시스(Chainalysis)는 북한이 2025년 한 해 암호화폐 탈취로 20억달러 넘게 벌어들인 것으로 추산한다.⁶

남은 물음

비트겟은 취약점이 악용된 제3자 보안 제품의 이름을 공개하지 않았고, 해당 벤더에 통보한 뒤 관련 기능을 비활성화했다고만 밝혔다.⁵ 전체 피해액 대비 동결 비율이 1%에 못 미치는 상황에서 추가 회수 가능성은 불투명하다.⁵

참고한 곳

1. Bitget, [SECURITY NOTICE] Bitget exchange hot wallets Incident — September 24, 2026 - https://www.bitget.com/support/articles/12560603896024 ↩ ↩² ↩³ ↩⁴

2. Bitget, Bitget Security Latest Incident Update: Fund Tracing and Recovery Bounty Program - https://www.bitget.com/support/articles/12560603896108 ↩ ↩² ↩³ ↩⁴

3. CoinDesk, Bitget's $352 million hack happened via spoofed transfers, not private keys, CEO Gracy Chen says - https://www.coindesk.com/markets/2026/09/25/bitget-s-usd351-million-hack-happened-via-spoofed-transfers-not-private-keys-ceo-gray-chen-says ↩ ↩²

4. The Block, Bitget attacker tested risk controls with small transfers before $388 million theft, CEO says - https://www.theblock.co/news/regulation/2026-09-28-bitget-attacker-tested-risk-controls-small-transfers-388-million-theft-ceo-says-417045 ↩ ↩² ↩³ ↩⁴ ↩⁵

5. The Hacker News, Bitget Confirms Third-Party Zero-Day Behind $387.5 Million Cryptocurrency Theft - https://thehackernews.com/2026/10/bitget-confirms-third-party-zero-day.html ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹

6. Decrypt, Bitget Hack Losses Climb to $387M: Here's What Happened, and Why North Korea Is a Suspect - https://decrypt.co/379350/bitget-hack-387m-what-happened-why-north-korea-suspect ↩ ↩² ↩³