빗겟(Bitget) 거래소 3억8800만 달러 해킹, 2026년 최대 규모 크립토 탈취 사건

2026년 9월 24일 18시31분(UTC) 글로벌 가상자산 거래소 빗겟(Bitget)의 보안 시스템이 여러 핫·웜월렛에서 발생한 19건의 무단 이체를 포착했다. 이번 사고로 약 3억5160만 달러 상당의 자산이 빠져나갔으며, 이는 2026년 들어 발생한 단일 거래소 해킹 중 최대 규모였다. 빗겟은 콜드월렛은 안전하며 이용자 자산에는 문제가 없다고 강조하면서도 안전 조치 차원에서 출금 기능을 일시 중단했다. 회사는 즉각 온체인 분석업체 등과 함께 자금 추적에 나섰다고 밝혔다. 이번 사고는 2026년 초 리퀴드 네트워크 3억2000만 달러 해킹에 이어 크립토 업계에 또 한 번 충격을 안겼다.

그레이시 첸 빗겟 최고경영자는 2026년 9월 25일 이번 해킹이 개인키 탈취가 아니라 '스푸핑된 이체(spoofed transfer)' 방식으로 이뤄졌다고 밝히며, 공격에 사용된 IP 주소 등 정황상 북한 배후 가능성을 제기했다. 블록체인 분석 결과 사고 발생 몇 시간 만에 약 6300 ETH(약 1900만 달러)가 탈중앙 믹싱서비스 토네이도캐시로 흘러 들어간 것으로 파악됐다. 이는 탈취 자금이 신속하게 세탁 절차에 들어갔음을 보여주는 정황이었다. 빗겟은 만디언트(Mandiant), 슬로우미스트(SlowMist) 등 외부 보안업체와 함께 침해 경로에 대한 정밀 조사에 착수했다고 밝혔다. 업계에서는 이번 사고가 북한 연계 해킹조직의 전형적인 수법과 유사하다는 분석이 이어졌다.

빗겟은 2026년 9월 26일 오전 2시54분(UTC) 추가 피해 자산(제트캐시·트론 등)이 확인됐다며 총 피해 규모를 약 3억8750만 달러로 상향 조정했다고 발표했다. 같은 날 스테이블코인 발행사 테더와 서클은 공격자 지갑에 묶인 자산 일부를 동결했는데, 테더는 두 개의 공격자 지갑에서 23만9113 USDT를 동결했고 서클·테더를 합쳐 약 33만9000달러 상당의 USDC·USDT가 묶였다. 이는 스테이블코인 발행사들이 해킹 대응에 신속히 협조한 사례로 평가됐다. 다만 탈취 자금 대부분은 이미 이더리움·토네이도캐시 등을 거치며 추적이 어려운 상태로 흩어진 뒤였다. 블록체인 분석업체 엘립틱은 이번 사고로 2026년 한 해 북한 연계 조직의 가상자산 탈취 누적액이 10억 달러를 넘어섰다고 분석했다.

빗겟은 2026년 9월 27일을 전후해 탈취된 자금을 동결하거나 회수하는 데 협조하는 경우 각각 5%씩, 최대 10%의 포상금을 지급하겠다고 발표했다. 이는 화이트햇 해커나 거래소·믹서 운영자들의 협조를 유도해 피해 자금을 최대한 회수하기 위한 조치였다. 회사는 4억6400만 달러 규모의 '유저보호기금(User Protection Fund)'을 통해 이번 사고로 인한 손실 전액을 보전하겠다는 방침도 재확인했다. 그러나 정확한 출금 재개 일정은 아직 공지되지 않아 이용자들의 불안이 이어졌다. 엘립틱 등 분석기관은 탈취 자금이 여러 체인과 믹서를 거치며 계속 분산되고 있다고 경고했다.

빗겟은 2026년 9월 28일 최종 피해 규모를 3억8800만 달러로 확정하며 이번 사고가 2026년 최대 규모의 거래소 해킹임을 공식화했다. 회사는 공격이 개인키나 콜드월렛이 아닌 제3자 보안 제품의 취약점을 통해 이뤄졌다고 설명하고 관련 보안 프로세스 전반을 재검토하겠다고 밝혔다. 같은 날 오전 8시(UTC)부터 비트코인 출금을 시작으로 단계적 출금 재개에 들어갔으며, 그레이시 첸 CEO는 이날 UTC+8 기준 오후 5시까지 9585건, 총 4098.036 BTC의 출금을 처리했다고 밝혔다. 이더리움 등 나머지 자산과 법정화폐·P2P 거래는 이후 순차적으로 정상화될 예정이라고 회사는 설명했다. 이번 사고는 자금 전액이 유저보호기금으로 보전되면서 이용자 직접 피해는 발생하지 않았지만, 대형 중앙화거래소의 제3자 보안 시스템 의존 위험성을 재차 부각시켰다.