비트겟은 대형 암호화폐 거래소로, 2026년 9월 24일 핫월렛에서 약 3억 5,160만 달러(USD)가 유출된 해킹 사건을 확인했다. 중앙화 거래소에 자산을 보관하는 이용자라면 이 사건에 주목해야 한다. 핫월렛 침해가 얼마나 빠르게 발생할 수 있는지, 그리고 거래소가 압박 속에서 어떻게 대응하는지를 보여주기 때문이다.
실제로 무슨 일이 있었나
비트겟 CEO 그레이시 첸(Gracy Chen)은 거래소의 보안 시스템이 2026년 9월 24일 18:31 UTC에 일부 핫월렛에서 비정상적인 자금 유출을 감지했다고 밝혔다. 우 블록체인(Wu Blockchain)에 따르면, 내부 예비 집계 결과 영향을 받은 자금은 약 3억 5,160만 달러(USD) 규모로 추정된다. 콜드월렛은 안전하게 유지되었으며 이용자 계정 잔액에는 변동이 없었다. 비트겟은 4억 6,400만 달러(USD) 이상 규모의 이용자 보호 기금으로 손실을 충당할 수 있다고 밝혔다. 인출은 중단됐지만 입금과 거래는 계속 열려 있었다. 온체인 분석가들은 이와는 별도로 더 적은 규모의 수치를 추적했다. 아캄 인텔리전스(Arkham Intelligence)는 약 1억 7,800만~1억 8,300만 달러로 추정했고, 버블맵스(Bubblemaps)는 크로스체인 전송 규모를 약 1억 9,000만 달러로 집계했다. 두 곳 모두 이후 '비트겟 익스플로잇 1(Bitget Exploiter 1)'로 태그된 신규 생성 주소를 근거로 들었다. 비트겟은 2026년 9월 25일 21:30 UTC 이전에 전체 사고 보고서를 발표하겠다고 약속했다.
사건의 배경
이번 해킹은 2025년 2월 바이빗(Bybit)의 이더리움 콜드월렛에서 약 40만 ETH, 당시 시세로 약 14억~15억 달러(USD) 규모가 유출된 사건, 사상 최대 규모의 거래소 도난 사건을 떠올리게 한다. 이후 조사에서는 이 침해가 조작된 세이프(Safe) 멀티시그 인터페이스와 관련이 있으며 라자루스(Lazarus) 연계 조직의 소행으로 지목됐다. 비트겟은 당시 바이빗을 도운 첫 거래소 중 하나로, 4만 ETH, 약 1억 500만~1억 600만 달러(USD) 상당을 무이자·무담보로 대출해줬다. 바이빗은 약 3일 안에 이를 상환했다. 중앙화 거래소 해킹은 흔히 2018년 코인체크(Coincheck), 2020년 쿠코인(KuCoin), 2021년 비트마트(Bitmart) 사례처럼 탈취된 핫월렛 키에서 비롯되거나, 바이빗 사례처럼 멀티시그 및 서명 인터페이스 우회에서 비롯된다.
이것이 왜 중요한가
비트겟 이용자에게는 보호 기금과 손상되지 않은 콜드월렛이 있다는 점에서 잔액은 그대로 유지될 가능성이 높지만, 인출 중단으로 당장 자금 접근은 제한된다. 거래소 전반의 트레이더들에게 이번 사건은 일상 운영을 위해 온라인 상태로 유지되는 핫월렛이 콜드 스토리지보다 더 큰 위험을 안고 있다는 사실을 다시 일깨운다. 개발자와 월렛 업체들은 서명 인터페이스와 핫월렛 키 관리를 점검해야 하는 새로운 압박에 직면했다. 과거 사건들은 탈취된 키와 조작된 인터페이스 모두를 근본 원인으로 지목해왔기 때문이다. 2025년 비트겟과 바이빗이 그랬던 것처럼 빠르게 대응하고 투명하게 소통하는 거래소는, 침묵하는 거래소보다 더 많은 이용자 신뢰를 지킬 수 있다.
더 큰 질문
거래소들이 보험 기금과 거래소 간 대출로 손실을 계속 흡수한다면, 이는 업계 전반에 진정한 회복력을 구축하는 것일까, 아니면 단 하나의 유출된 키나 조작된 인터페이스가 몇 분 안에 수억 달러를 빼낼 수 있는, 여전히 중앙화된 핫월렛에 의존하는 암호화폐 커스터디의 현실에 대한 심판을 미루는 것에 불과할까? 그리고 이런 일이 다시 벌어질 때, 결국 누가 그 대가를 치르게 될까?
앞으로 지켜볼 점
비트겟은 매시간 업데이트와, 근본 원인 분석을 포함한 전체 사고 보고서를 2026년 9월 25일 21:30 UTC 이전에 발표하겠다고 약속했다. 이 보고서는 이번 침해가 유출된 개인 키 때문인지, 아니면 인터페이스 익스플로잇 때문인지를 밝혀줄 것이다. 3억 5,160만 달러(USD)라는 내부 집계와 약 1억 8,000만~1억 9,000만 달러(USD) 규모의 온체인 집계 사이의 조정 결과도 주목해야 한다. 법 집행기관은 이미 수사에 착수했다.
