Bitget은 2026년 최대 규모의 암호화폐 해킹에서 $387.5 million을 잃었으며, 프라이빗 키는 전혀 도난당하지 않았습니다. 공격자는 거래소의 propios authorization layer를 스푸핑했습니다 — Bybit의 2025년과 동일한 실패 형태이며 — 그리고loot의 0.1% 미만이 동결 가능합니다. 여기서 이것이 트레이더에게 의미하는 바는 다음과 같습니다.
암호화폐 거래소 보안이 또다시 실패했다 — 그리고 그것은 키 때문이 아니었다
2026년 9월 24일, $3.875억이 1시간도 채 되지 않는 시간 동안 암호화폐 거래소 Bitget에서 유출되었습니다. 개인 키가 도난당하지 않았습니다. 비밀번호가 해킹되지 않았습니다. 직원이 뇌물을 받지 않았습니다. 공격자들은 거래소의 백엔드에 침입하여 위조된 거래 데이터를 입력했고, 플랫폼의 승인 시스템이 그 돈을 밖으로 내보내는 것을 지켜봤습니다 — 시스템이 해당 이체를 진정으로 합법적인 것으로 믿었기 때문입니다. 이는 2026년 현재 가장 큰 암호화폐 절도 사건이며, 암호화폐 거래소 보안이 실제로 어떻게 실패하는지에 대한 중요한 전환점을 의미합니다.
핵심 요약
- Bitget의 $387.5 million breach on 2026년 9월 24일에 발생했으며, 지금까지 올해 최대 규모의 암호화폐 해킹이었고, 공격자는 단 하나의 개인 키도 건드리지 않았습니다.
- 거래소의 인증 계층을 스푸핑하는 공격 벡터는 2025년 2월의 15억 달러 규모 바이빗 해킹과 유사합니다.
북한 국가 연계 그룹들은 2025년에 약 20억 달러를 훔친 데 이어 2026년 암호화폐 절도액을 10억 달러 이상으로 늘렸습니다.
- 스테이블코인 발행자는 전리품 중 약 $ 318,000만 동결했습니다. 나머지는 대부분 XRP와 ETH에 있으며, 발행자는 동결할 수 없습니다.
- 10년 동안 주요 키 보관을 강화했지만, 공격이 스택 위에서 이동했기 때문에 이를 막지는 못했습니다.
왜 암호화폐 거래소의 보안은 계속 실패하는가?
10년 동안 암호화폐 보안은 하나의 슬로건에 의존해 왔습니다: '내 키가 아니면 내 코인도 없다'. 업계는 키 보관을 강화하는 데 수십억 달러를 지출했습니다 — 콜드 스토리지, 하드웨어 보안 모듈(HSM), 다자간 계산(MPC), 에어갭된 금고, 11-of-15 멀티시그 방식 등. 그리고 잠시 동안 그것은 작동했습니다. 실제 키에 대한 공격은 점점 더 어려워지고 드물어졌습니다.
따라서 공격자들은 표적을 변경했다.
Bitget의 침해 사건은 업계 전체의 위협 모델이 이제 구식임을 보여주는 가장 명확한 증거다. 이 공격은 자물쇠가 아닌 도어맨, 즉 키가 작동하기 전에 거래가 진짜인지 여부를 결정하는 인증 계층, 소프트웨어 및 인력에 대한 것이었다. 이 계층을 부패시키면 키는 그 앞에 놓인 모든 것을 기꺼이 서명할 것이다.
Bitget 해킹은 실제로 어떻게 이루어졌습니까?
Bitget의 최고경영자는 이를 명확히 설명했습니다. 공격자가 회사 지갑 인프라 내부의 핵심 백엔드 시스템을 침해하고, 이를 사용하여 거래 데이터를 위조한 뒤, 거래소 자체의 승인 프로세스를 트리거하여 자금을 인출했습니다. 서명 키는 결코 손상되지 않았습니다. 공격자가 조작한 것은 시스템이 신뢰하던 데이터였습니다.
이것은 키 도난이 아닙니다. 신뢰의 침해입니다. 그리고 이는 2025년 2월 Bybit 해킹과 동일한 형태를 띠고 있습니다. 당시 15억 달러가 사라진 이유는 키가 도난당해서가 아니라, 공격자가 인간 서명자들이 화면에서 보는 내용을 위조하여, 일상적인 것으로 믿었던 콜드 월렛 이체를 승인하도록 속였기 때문입니다.
암호화폐 역사상 가장 큰 해킹 두 건은 동일한 구조를 공유합니다: 공격자는 암호학을 이기지 않습니다. 그 위에 있는 의사결정 과정을 이깁니다. Bitget은 Mandiant와 SlowMist를 초치해 조사하게 했고, 포렌식 팀은 TRM Labs와 Elliptic 같은 온체인 인텔리전스 기업들과 함께 자금 추적을 진행 중입니다. 결론이 빠르게 형성되고 있습니다: 암호화폐 거래소가 10년 동안 경계를 강화해 온 곳이 더 이상 이 유형의 공격자가 노리는 곳이 아니라는 것입니다.
이 변화로 인해 누가 이득을 보고, 누가 손해를 보는가?
수혜자는 쉽게 파악할 수 있다. 포렌식 및 온체인 인텔리전스 기업들 — 맨다인트, 슬로우미스트, TRM 랩스, 엘리프틱 — 은 자금 추적을 위해 보수를 받으며 사업이 호황을 누리고 있다. 내부 거래 워크플로우를 모니터링하는 vendors(공급자)들이 키 보관뿐만 아니라 모니터링하는 새로운 인증 계층 보안 틈새시장은 해당 카테고리를 정의할 사례 연구가 될 것이다. 거래소 리스크가 암호학적 문제가 아닌 운영상의 문제라고 수년간 주장해온 보험 인수자들은 갑자기 선견지명을 가진 것으로 보인다.
손해를 본 사례들은 덜 뚜렷하다. 광범위한 백엔드 인프라를 갖춘 거래소들이 이제 선택적인 표적이 되고 있다. 내부 서비스 하나하나가 잠재적인 진입로가 될 수 있으며, 복잡성은 공격자에게 유리한 요소다. 여전히 자금이 콜드 스토리지에 보관되어 안전하다고 믿는 개인 투자자들은 10년 된 가정에 의존하고 있다. 콜드 스토리지는 키를 보호하지만, 승인 프로세스는 보호하지 않는다.
그다음에 동결 반사가 있다. 서클과 테더, 주소를 블랙리스트에 올릴 수 있는 스테이블코인 발행사는 약 $318,000의 탈취액을 동결했다. 이는 전체의 0.1% 미만이다. 탈취액은 약 102.93백만 개의 XRP 토큰과 약 31,890개의 ETH 토큰이 주도했으며, 중앙 발행자가 없어 동결할 수 없는 네이티브 자산이었다. 업계가 선호하는 비상 브레이크는 공격자가 훔치기를 선호하는 정확한 자산에 대해 구조적으로 무용하다. 이것은 버그가 아니다. 이것이 설계이다.
이런 일이 이전에 발생했나요? 그리고 지금은 무엇이 다른가요?
Bitget은 예외가 아니다. 이는 10년 동안 이어져 온 고조 단계의 최신 단계에 불과하다:
- 2014년, Mt. Gox: 핫월렛 개인키 도난, 약 850,000 BTC.
- 2016년, Bitfinex: 멀티시그 키 도난, 약 120,000 BTC.
- 2022년, Ronin: 검증자 키 유출과 소셜 엔지니어링, 약 6억 달러.
- 2025년, Bybit: 사기성 인터페이스를 통한 서명자 기만, 약 15억 달러.
- 2026, 비트겟: 인증 계층 스푸핑, 약 $387.5 million.
모든 단계는 공격자를 암호학에서 더 멀리, 그리고 그 주변을 감싸고 있는 인간과 소프트웨어의 결정으로 더 가까이 이동시킵니다. 수학은 결코 약점이 아니었습니다. 문제의 핵심은 워크플로우였습니다.
지금 달라진 점은 공격자입니다. 북한 국가 해킹 조직인 라자루스, 트레이더트레이터, 워터플럼 등으로 추적되는 이 조직은 이를 산업화했습니다. 체인alysis에 따르면 북한과 연결된 도난 금액은 2025년만 해도 20억 달러를 넘어섰으며, Bitget의 약탈 규모는 아직 남은 달들을 고려할 때 2026년을 10억 달러 이상으로 밀어올리고 있습니다. 이는 기회주의적인 스크립트 공격자가 아닙니다. 이는 충분한 자원을 갖춘 운영 조직으로, 수익 프로그램을 운영하며 표적 기업에 위조된 IT 계약자를 수개월 동안 침투시킬 인내심을 가지고 있으며, 거래소를 펀드가 시장을 대하는 방식처럼 체계적이고 이윤을 목적으로 접근합니다.
이것이 1~3년 후 어떻게 될 것인가?
불편한 진실은 나아지기 전에 더 나빠진다는 것입니다. 세 가지 힘이 수렴하고 있습니다.
첫째는 AI입니다. 거래소가 수십억 달러의 사기를 차단하는 데 신뢰를 두는 동일한 유형의 모델이 역으로 사용되어 설득력 있는 거래 데이터를 생성하고, 권한 부여 결함을 자동으로 발견하며, 한때 깊은 인간 전문성을 요구하던 공격을 확장할 수 있습니다. 자율 에이전트는 이미 테스트 시스템에서 소프트웨어 취약점을 찾고 연결하여 높은 수준의 접근 권한을 획득하는 능력을 입증했습니다. 권한 부여 계층은 곧 잠들지 않고 오타도 찍지 않는 적대세력에 직면하게 됩니다.
둘째는 자율성입니다. 지갑이 봇과 AI 어시스턴트가 사용자를 대신해 거래에 서명하는 에이전트형으로 진화함에 따라, 인간 개입의 여지는 사라집니다. 기계가 이체를 승인할 때, 속임수 데이터는 이를 적대적으로 검토할 인간이 더 이상 남지 않습니다. 질문은 '누가 키를 보유하고 있는가'에서 '누구, 혹은 무엇이 기계를 승인하는가'로 바뀝니다.
세 번째는 자산 자체입니다. 더 많은 가치가 네이티브 자산으로 이동하고 동결 가능한 스테이블코인에서 멀어질수록, 동결, 블랙리스트 및 클로 백을 포함한 복구 플레이북의 효과가 약해집니다. 네이티브 자산에 대한 Bitget 스타일 공격의 현실적인 복구율은 사실상 제로입니다.
1~3년 내에 새로운 보안 카테고리가 주도할 것으로 예상됩니다: 권한 계층 자체에 대한 지속적이고 행동 기반의 모니터링입니다. 키가 안전한지 여부가 아니라, 시스템이 알고 있는 모든 것을 고려할 때 거래가 합리적인지 여부입니다.
이것이 트레이더들에게 무엇을 의미합니까?
이것은 가격 예측이 아닙니다. 이는 리스크 맵이며, 고려해볼 만한 몇 가지 전략적 함의가 있습니다.
거래소의 상대방 리스크는 더 이상 파산 우려에 그치지 않습니다. 이는 반복적이고 정교한 국가 행위자의 위협입니다. 거래소에 묻는 질문은 '콜드 스토리지가 있는지'가 아니라, 서명 전에 출금을 어떻게 검증하는지여야 합니다.
사용자 보호 펀드는 백스톱이지 방어가 아니다. Bitget의 $464 million 펀드는 손실을 보장하며, 그 보장은 실제이다. 하지만 보장은 예방이 아니다. 침해 후 지불하는 펀드는 침해를 막는 시스템과 동일하지 않다.
노출 위치를 파악하십시오. XRP와 ETH와 같은 네이티브 자산은 동결될 수 없기 때문에 선호되는 자산이며, 이는 거래소에서 도난당한 네이티브 자산을 복구하는 것이 거의 불가능함을 의미합니다. 보유하는 자산이 리스크를 결정하며, 이는 거래소와 무관합니다.
셀프 커스터디는 거래소의 승인 계층을 제거하지만, 이는 개인이 견고한 기관의 보안보다 자신의 운영 보안을 더 신뢰할 때만 가능합니다. 대부분의 사람들에게 이러한 트레이드오프는 실제로 변하지 않았습니다. 변화한 것은 정직성입니다. 어떤 커스터디 모델도 안전하지 않으며, 단지 취약점이 다를 뿐입니다.
크립토가 스스로에게 물어야 할 질문
10년 동안 업계는 자신들에게 위안을 주는 이야기를 믿어왔다. 키를 보호하면 안전하다는 이야기였다. Bitget 해킹 사건은 Bybit의 사례에 이어 그 주장에 대한 반박이다. 공격자들은 이제 키 자체에는 관심이 없다. 그들은 지출 권한이 진정한 자산임을 깨달았다.
만약 차세대 도난이 단 하나의 개인 키도 건드리지 않는다면, 업계 전체에게 열린 질문은 정확히 무엇을 방어하고 있는가, 그리고 그것을 막을 남은 주체는 누구인가입니다.
FAQ
Bitget은 도난당한 개인 키를 통해 해킹당했습니까?
아니요. Bitget의 사후 공개는 암호화 키 도난 가능성을 배제했습니다. 공격자는 지갑 거래를 처리하는 백엔드 시스템을 침해하고 위조된 거래 데이터를 주입했으며, 이로 인해 거래소 자체의 승인 프로세스가 이를 정상적인 거래로 간주하고 출금을 승인했습니다. 키는 전혀 건드리지 않았으며, 키가 신뢰하던 데이터가 조작된 것입니다.
이것은 바이비트 해킹과 동일한 사건인가요?
구조적으로는 그렇습니다. 2025년 2월 발생한 $1.5 billion 규모의 Bybit 해킹과 2026년 9월 발생한 $387.5 million 규모의 Bitget 해킹 모두 키를 우회하여 대신 승인 계층을 공격했습니다. Bybit은 서명자의 화면에서 스푸핑당했으며, Bitget은 자체 백엔드 내부에서 스푸핑당했습니다. 두 사례 모두 암호화 기술 자체는 안전했으나, 의사결정 프로세스는 그렇지 못했습니다.
Circle와 Tether는 왜 약 318,000달러만 동결했는가?
안정화 코인이 약탈된 자금의 극히 일부였기 때문이다. 도난된 자금의 대부분은 네이티브 자산인 XRP와 ETH에 있었는데, 이는 주소 블랙리스트 기능을 가진 중앙 발행자가 없다. 이는 업계의 동결 및 복구 프로토콜이 가진 구조적 한계를 드러낸다: 이 방법은 누군가가 통제하는 자산에서만 작동한다.
Bitget 해킹의 배후는 누구였는가?
귀속은 여전히 가설 단계입니다. Bitget은 북한 국가 지원 그룹을 지목했으며, 사용된 기법과 자금 세탁 패턴은 Bybit 및 Ronin 해킹과 관련된 라자루스 및 트레이더트레이터의 활동과 일치합니다. 만디언트와 슬로우미스트가 수사를 진행 중입니다.
고객 자금이 위험에 처해 있습니까?
Bitget은 User Protection Fund이 $464 million 이상을 보유하고 있어 전체 손실을 충당하기에 충분하다고 밝혔으며, 거래소는 단계적으로 출금을 재개하고 있습니다. 더 큰 교훈은 한 거래소의 지급 능력에 관한 것이 아니라 업계 전체의 위협 모델에 관한 것입니다: 어떤 커스터디 설정도 면역이 될 수 없으며, 단지 노출 정도가 다를 뿐입니다.