비트겟 해킹으로 3억 8,750만 달러 손실 — 2026년 암호화폐 업계 최대 사건: 개인키는 유출되지 않았다, 서클·테더는 왜 0.09%만 회수했나

게재일: 2026년 9월 26일

2026년 9월 24일 UTC 기준 오후 6시 31분(베트남 시간 기준 9월 25일 새벽 1시 31분경), 암호화폐 거래소 비트겟의 지갑 백엔드 시스템이 침해당했다. 한 시간도 채 지나지 않아 온체인 모니터링 도구는 약 1억 8,300만 달러 규모의 자산이 거래소 핫월렛에서 빠져나갔다는 것을 포착했다. 그리고 이 숫자는 거기서 멈추지 않았다.

비트겟 CEO 그레이시 첸은 같은 날 피해액을 3억 5,160만 달러로 공식 확인했다. 9월 25일, 여러 블록체인 분석 업체가 관련 지갑을 추가로 확인하면서 총 피해액은 3억 8,750만 달러로 상향 조정됐다 — 2026년 들어 기록된 중앙화 거래소 해킹 중 최대 규모다.

그러나 손실 금액 자체가 이 사건에서 가장 주목해야 할 부분은 아니다. 베트남 투자자들이 눈여겨봐야 할 것은 다른 두 가지 세부 사항이다. 공격자는 개인키를 전혀 훔치지 않았다는 점, 그리고 세계 최대 스테이블코인 발행사인 서클과 테더가 자산 동결에 나섰음에도 회수한 금액은 전체 피해액의 정확히 0.09%에 불과했다는 점이다.

사건 타임라인

개인키가 아니라 백엔드 인증 시스템이 뚫렸다

2025년 2월 14억 달러 손실을 낸 바이비트 사건을 포함해, 과거 대형 암호화폐 거래소 해킹 대부분은 거래 서명 권한을 훔치거나 위조하는 방식을 중심으로 이뤄졌다 — 다시 말해 개인키를 탈취하거나, 정당한 서명자를 속여 악성 거래에 서명하게 만드는 방식이었다.

그레이시 첸이 설명한 이번 비트겟 사건의 메커니즘은 전혀 다르다. "그들은 사용자의 출금 요청을 위조하지 않았고, 우리의 개인키를 확보하지도 않았습니다." 비트겟의 설명에 따르면 공격자는 지갑을 관리하는 백엔드 시스템에 침투해 거래 데이터를 조작함으로써 내부 인증 절차를 속였다 — 그 결과 부정한 지급이 시스템상으로는 정상적이고 합법적인 일반 송금처럼 기록되고 처리됐다.

바로 이 지점이 암호화폐 보안 업계가 가장 주목하는 부분이다. 바이비트 사건이 콜드월렛 서명 화면 위조로 인한 위험을 거래소들에 경고했다면, 비트겟 사건은 완전히 다른 층위의 위험을 경고한다. 바로 백엔드 시스템 자체의 운영 보안과 내부 통제이며, 이 영역에서는 "개인키가 유출되지 않았다"는 사실만으로는 더 이상 안전을 보장할 수 없다.

도난당한 자산은 어디로 갔나, ETH 6만 3,000개가 중요한 이유

여러 분석 업체가 종합한 온체인 데이터에 따르면, 도난당한 자산은 약 XRP 1억 300만 개(약 1억 5,700만 달러 상당), ETH 약 6만 3,000개(현재 가격 기준 약 2억 2,800만 달러 상당), 그리고 5개의 서로 다른 블록체인에 분산된 스테이블코인으로 구성돼 있다.

눈에 띄는 세부 사항 하나는, 의심스러운 지갑 하나가 단 6분 만에 시장가보다 높은 가격으로 USDT 1,967만 달러어치를 써서 ETH 7,111개를 매수했다는 점이다. 이는 의도적인 자금세탁의 전형적인 패턴이다 — 동결이 가능한 자산(중앙화된 발행사가 통제하는 스테이블코인)을 아무도 동결할 수 없는 탈중앙 자산(ETH)으로 신속하게 전환한 것이다.

0.09% — "동결 권한"의 실제 한계를 보여주는 숫자

이것이 바로 이번 사건의 핵심이다. 서클과 테더는 USDC와 USDT 뒤에 있는 중앙화된 원장을 통제하고 있기 때문에, 대규모로 디지털 자산을 "동결"할 수 있는 세계에서 유이한 기관이다. 비트겟 사건에서 두 회사는 매우 신속하게 움직였다. 해킹이 확인된 지 24시간도 채 지나지 않아 서클은 "Bitget Exploiter 8" 지갑을 블랙리스트에 올렸다.

하지만 동결에 성공한 금액 — USDT 218,023개와 USDC 99,990개, 합계 약 31만 8,000달러 — 은 당시 확인된 총 피해액 3억 5,160만 달러의 0.09%에 불과했다. 이유는 구조적으로 단순하다. 서클과 테더의 동결 권한은 자신들이 직접 발행한 원본 자산에만 적용된다. 공격자가 자산을 ETH나 XRP — 중앙화된 "블랙리스트" 메커니즘이 존재하지 않는 탈중앙 네트워크에서 작동하는 자산 — 로 전환한 순간, 회수 가능성은 사실상 제로에 가까워진다.

다시 말해, 공격자 지갑에 남은 ETH 6만 3,000개는 현존하는 모든 중앙화 동결 메커니즘의 손이 닿지 않는 곳으로 완전히 "빠져나간" 가치의 대부분을 의미한다. 이는 사람들이 스테이블코인을 이야기할 때 흔히 언급하는 "중앙화된 통제 권한"이 사실은 매우 얇은 방어선에 불과하며, 자산이 형태를 바꾸기 전에 충분히 신속하게 대응할 때만 효과가 있다는 것을 상기시켜준다.

비트겟의 대응, 그리고 과거 대형 해킹 사건과의 비교

비트겟은 3억 8,750만 달러의 손실 전액을 거래소의 사용자 보호 기금(User Protection Fund)으로 보전하겠다고 밝혔다. 이 기금 규모는 현재 4억 6,400만 달러를 넘는다. CEO 그레이시 첸의 발표에 따르면 사용자 계좌 잔액은 영향을 받지 않았으며, 플랫폼 거래는 계속 이뤄지고 있고, 출금 기능만 사건 발견 직후 중단됐다.

규모 면에서 비트겟 사건은 2025년 2월 발생한 바이비트 해킹(14억 달러 손실, 이후 FBI가 북한 소행으로 확인)보다는 여전히 훨씬 작다. 다만 보안 분석가들은 비트겟 사건에서도 주목할 만한 몇 가지 유사점을 지적했다. 북한과 연관된 것으로 기록된 VPN 패턴과 일치하는 IP 주소, 그리고 라자루스 그룹이 이전에 사용했던 기법과 유사한 특징을 보이는 온체인 거래 서명이 그것이다. 그레이시 첸 본인도 과거 같은 그룹으로부터 개인적으로 표적 공격을 받아 8만 달러를 잃은 적이 있다고 밝혔다. 현재까지 이는 어떤 당국으로부터도 공식 확인되지 않은 의혹 단계에 머물러 있다.

베트남 투자자에게 주는 시사점

베트남의 암호화폐 사용자에게 이번 사건은 실질적으로 고려할 만한 세 가지 지점을 남긴다.

첫째, 거래소가 "개인키를 유출하지 않았다"는 사실만으로는 더 이상 충분한 안전 기준이 될 수 없다. 백엔드 시스템 보안, 거래 인증 절차 같은 내부 운영 리스크는 이제 사용자가 스스로 검증하기 어려운 별도의 위험 층위가 됐으며, 거래소의 평판과 투명성 이력, 준비 기금 규모를 통해 간접적으로만 평가할 수 있을 뿐이다.

둘째, 이번에 비트겟이 보여준 것처럼 피해액 전액을 보전할 수 있을 만큼 충분히 큰 사용자 보호 기금을 갖춘 거래소인지 여부는 자산 보관처를 선택할 때 우선적으로 고려해야 할 요소다. 다만 이것이 미래의 모든 상황에 대한 절대적인 보장은 아니라는 점도 함께 기억해야 한다.

셋째, 스테이블코인에 "동결 메커니즘"이 있다고 해서 도난당한 모든 경우에 다른 자산보다 더 안전하다고 오해해서는 안 된다. 이 메커니즘은 거의 즉각적으로 대응이 이뤄질 때만 효과가 있으며, 비트겟 사건의 0.09%라는 수치가 보여주듯 현실에서 그런 경우는 드물다.

결론

3억 8,750만 달러가 단 몇 시간 만에 비트겟에서 증발했다. 개인키 한 줄도 유출되지 않은 채, 오직 백엔드 인증 시스템의 취약점 하나를 통해서였다. 서클과 테더는 24시간도 채 되지 않아 대응에 나섰지만 도난당한 가치의 0.09%만을 지켜냈을 뿐이다 — 나머지는 아무도 동결할 권한이 없는 자산으로 제때 형태를 바꿔 빠져나갔다.

따라서 비트겟 사건은 업계의 긴 해킹 사건 목록에 추가된 또 하나의 사례에 그치지 않는다. 이는 두 가지 한계를 동시에 보여주는 구체적인 증거다. 개인키만 보호하고 백엔드 인프라는 방치했을 때의 한계, 그리고 스테이블코인 발행사가 상황을 수습해줄 것이라 흔히 기대되는 "중앙화된 권한"의 한계다.

면책 조항: 이 글은 정보 제공과 분석을 목적으로 작성되었으며 투자 조언이 아닙니다. 인용된 수치는 비트겟의 공식 발표와 여러 분석 업체가 2026년 9월 24~25일 사이에 공개한 온체인 데이터를 근거로 합니다. 조사가 계속됨에 따라 피해 규모는 추가로 조정될 수 있으며, 디지털 자산 가격은 끊임없이 변동합니다. 중앙화 거래소에서의 디지털 자산 투자 및 보관에는 높은 원금 손실 위험이 따릅니다. 투자자는 결정을 내리기 전에 스스로 조사하고 자신의 위험 감수 능력을 고려해야 합니다.

참고 자료: CoinDesk; Decrypt; PYMNTS; The Block; Gokhshtein; CryptoTimes; CoinMarketCap; 비트겟 CEO 그레이시 첸 공식 발표(2026년 9월 24~25일).