Bitget은 개인키를 하나도 잃지 않고 3억 5,160만 달러를 잃었다. 두 번 읽어야 할 대목은 바로 그것이다

2026년 9월 24일 목요일 18:31 UTC, Bitget의 모니터링 시스템이 자사 핫 월렛에서 빠져나가는 비인가 전송을 포착했다. 집계가 끝났을 때 약 3억 5,160만 달러가 일곱 개 블록체인을 가로질러 이동한 뒤였다. Gracy Chen 대표는 그날 저녁 손실을 확인했고, 몇 시간 안에 업계가 가장 먼저 떠올리는 설명을 부인했다.

"개인키 침해는 배제되었다." — Gracy Chen, Bitget CEO

이번 사고에서 곱씹어야 할 대목이 바로 이 한 문장이다. 거래소는 모든 서명 키를 자기 통제 아래 그대로 둔 채로도 3억 달러가 넘는 돈을 잃을 수 있다. 그리고 업계가 지난 10년 동안 쌓아 올린 수탁 아키텍처의 대부분은 그것을 막는 데 아무 역할도 하지 못한다.

무엇이 움직였고 무엇은 그대로였나

Bitget은 침해가 "월렛 서비스를 지탱하는 핵심 백엔드 구성요소"에까지 닿았다고 밝혔다. 공격자는 위조된 고객 출금 요청을 제출한 것이 아니다. 서명 장치에 지시를 내리는 시스템에 접근해 트랜잭션 데이터를 위조했고, 정상적인 인프라가 자기들 대신 전송을 승인하도록 만들었다. Chen 자신은 이를 은행의 진짜 창구를 통과한 위조 출금 전표에 비유했다.

영향을 받은 네트워크는 일곱 개다. Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BNB Smart Chain, Base. 대상 자산에는 ETH, XRP, BNB, AVAX, USDT, USDC가 포함됐고, 단일 체인 기준 최대 손실은 XRP Ledger에서 나왔다. Bloomberg는 약 1억 8,300만 달러가 Ether로 스왑됐다고 보도했다.

키는 비밀이고, 지시 경로는 시스템이다

모든 주요 거래소가 운영하는 핫/웜/콜드 분리는 비밀의 분할이다. 자주 서명하는 키는 웜 인프라에, 드물게 서명하는 키는 오프라인에 둔다. 애초에 상정한 위협 — 누군가 키 자체를 훔쳐 가는 것 — 에 대해서는 잘 만들어진 설계다.

그러나 그것은 지시 경로의 분할이 아니다. 서명 장치에 무엇에 서명할지 알려주는 것은 반드시 서명 장치까지 도달해야 하고, 그 경로는 오케스트레이션 서비스와 트랜잭션 빌더, 내부 API를 지난다. 모두 평범한 버그를 가진 평범한 소프트웨어다. 그곳이 뚫리면 키는 설계된 그대로 정확히 동작한다. 보안 모델은 유지되고, 그 모델이 지키던 시스템이 돈을 내준다.

이는 2025년 2월 Bybit 사건과 같은 형태다. 약 15억 달러가 콜드 월렛에서 빠져나갔지만 키가 탈취되지는 않았다. 서명 인터페이스가 조작되어, 권한을 가진 담당자들이 자신들이 보고 있다고 믿은 것과는 다른 트랜잭션을 승인했다. 층위는 다르지만 교훈은 같다. 콜드 스토리지는 키를 지킬 뿐, 판단을 지키지는 못한다.

동결은 보이는 것만큼 강한 수단이 아니다

회수 가능성은 탈취된 자산이 무엇이냐에 달려 있다. 스테이블코인 발행사는 잔액을 동결할 수 있다. XRP Ledger에는 발행자 수준의 동결 기능이 있다. Ether에는 발행자가 없고, 누구도 동결할 수 없다. 따라서 스테이블코인을 ETH로 바꾸는 것은 흔적을 지우는 행위가 아니다. 유일하게 실효성 있는 회수 수단을 정면으로 무력화하는 행위이며, Bloomberg의 수치를 따르면 동결 가능한 가치의 대부분은 몇 시간 안에 사라졌다.

Chen은 공격자와 연관된 주소를 "몇몇" 블록체인 재단이 동결했다고 말했다. 이름도 주소도 금액도 제시되지 않았고, 이 주장은 온체인에서 확인되지 않았다. Bybit의 Ben Zhou 대표는 자사 LazarusBounty 플랫폼으로 자금을 추적하겠다고 밝혔다.

지급 능력은 쟁점이 아니다

Bitget의 사용자 보호 기금은 5,500 BTC, 4억 6,400만 달러가 넘는 규모로 손실액을 웃돈다. 거래소 토큰 BGB는 3.3% 내린 약 1.97달러에 거래됐다. 반응은 온건하지만, 출금이 묶인 상태에서는 돈을 빼내 의사를 표시할 방법 자체가 제한된다. 2018년 설립돼 등록 사용자 1억 2,000만 명을 내세우는 이 회사에 그 금액은 흡수 가능한 수준이다.

아직 하지 못한 일은 어떤 구성요소가 거짓을 말했는지 지목하는 것이다. 출금 재개에 대해 Chen이 내놓은 말은 회사가 "지킬 수 없는 기한을 약속하지 않겠다"는 것이었다. 정직한 답변인 동시에 우려스러운 답변이다. 전송을 승인하는 시스템으로의 침입 경로가 여전히 "조사 중"으로 서술되는 동안에는 출금 파이프라인을 재가동해서는 안 된다.

북한 배후설은 Bitget 자체의 판단이며, 독립적인 포렌식 결론이 아니라 회사가 증거를 읽은 결과에 근거한다.

"IP 행위 패턴과 온체인 분석에 근거할 때, 이번 사건의 공격 수법은 알려진 북한 해커 조직의 패턴과 매우 일치한다." — Gracy Chen

그 판단은 맞을 수도 있다. 그러나 다른 사업자들이 이 사건에서 가져가야 할 것은 그것으로 달라지지 않는다. 다른 모든 수탁사에게 중요한 질문은 누가 했느냐가 아니다. "침해된 내부 서비스가 잘못된 트랜잭션에 대해 유효한 서명을 만들어낼 수 있는가"라는 질문에 대한 자사의 답이 "아마 아닐 것이다"보다 나은 무엇인지다. Bitget은 근본 원인에 대한 전체 보고서를 내놓겠다고 약속했다. 읽을 가치가 있는 것은 배후 지목이 아니라 그 문서다.

Sources: Bitget security notice · CoinDesk · BleepingComputer · Bloomberg via Insurance Journal · CNBC · Forbes · The Crypto Times