비트겟 3억8,750만 달러 해킹…북한 연계 가상자산 절도액 10억 달러 넘어

10억 달러 넘긴 피해액과 뚫린 승인 시스템

체이널리시스에 따르면 2026년 9월 24일 비트겟에서 3억8,750만 달러가 탈취되면서 북한 해커들과 연관된 가상자산 피해액이 올해 10억 달러를 넘어섰다. 상반기 북한 측 소행으로 지목된 6억4,300만 달러와 합치면 피해액은 최소 10억3,050만 달러에 이른다.

이번 공격은 비밀번호나 노출된 지갑 키를 훔치는 것보다 복잡한 방식으로 이뤄졌다. 예비 조사에 따르면 침입자는 외부 보안 제품을 통해 접근한 뒤 지갑 처리 서버를 장악하고 승인 정보를 위조했다. 이후 비트겟의 자체 인프라가 정상 거래처럼 보이는 자금 이체를 승인했다.

체이널리시스는 10월 1일 조사에서 탈취된 XRP가 비트코인으로 전환되는 경로를 추적했고, 북한 측 행위자들과 연관된 자금세탁 패턴을 발견했다고 밝혔다. 조사팀은 인공지능을 활용해 추적 작업 하나를 10분 이내에 자동화했다. 수작업으로는 20시간 이상 걸리는 일이었다. 다만 추적 속도가 빨라졌다고 해서 전체 탈취 과정이 밝혀지거나 자금이 회수된 것은 아니다.

이번 사건은 공격자 외에도 연루된 금융 네트워크를 드러냈다. 후속 거래를 조사한 결과 스왑 서비스가 수수료를 벌어들였고, 의심스러운 자금에 대한 대응은 업체별로 달랐으며, 전문 자금세탁 중개업자와 연결됐을 가능성도 확인됐다. 이런 정황은 공개 블록체인에서 탈취된 가상자산을 식별하는 일이 회수의 시작일 뿐인 이유를 보여준다.

여러 조사 결과는 아직 잠정적이다. 체이널리시스는 북한 측 행위자들이 이번 침해를 저질렀다고 판단했고, 엘립틱은 북한 연계 가능성이 매우 높다고 평가했다. 그러나 공개된 보도만으로는 구체적으로 라자루스 그룹의 소행이라고 확정할 수 없으며, 접근 경로로 지목된 보안 제품을 만든 업체들의 이름도 공개되지 않았다.

피해액이 3,590만 달러 늘어난 경위

비트겟은 처음에 피해액을 3억5,160만 달러로 추산했다. 9월 25일에는 Zcash와 Tron을 통한 이체를 포함해 피해 자산을 추가로 확인한 뒤 추산액을 3억8,750만 달러로 상향했다. 거래소는 3,590만 달러 증액이 추가 회계 처리에 따른 것이며, 두 번째 공격이 발생한 것은 아니라고 밝혔다.

조사 기관에 따라 집계액은 조금씩 다르다. 비트쿼리는 9개 체인에서 23건의 이체를 통해 3억8,680만 달러를 추적했다. 한 기술 보고서는 비트겟의 전체 집계액이 11개 체인에 걸쳐 약 3억8,800만 달러라고 밝혔다. 체이널리시스는 초기 자금 분포가 네트워크별로 이더리움 49.7%, XRP 40.8%, Zcash 7.6%, Tron 1.8%였다고 설명했다. 반올림한 비율을 합하면 99.9%다.

각 수치는 추적 범위가 다르므로 동일한 자산 목록으로 간주해서는 안 된다. 기술 보고서는 XRP 피해액을 1억5,780만 달러로 집계하고, 비트쿼리가 핫 지갑과 콜드 지갑 사이에서 운용되는 지갑으로 분류한 곳에서 약 2억1,400만 달러가 나왔다고 추산했다. 핫 지갑과 웜 지갑은 거래와 출금을 지원하는 운영용 가상자산 보관 풀로, 완전히 오프라인에 보관하는 준비금과는 다르다.

비트겟이 문제를 감지한 시점에 대해서도 보도마다 차이가 있다. 여러 보도는 9월 24일 18시 31분(UTC)을 감지 시점으로 제시한다. 상세 재구성 보고서는 이 시각을 첫 소액 이체 시점으로 보고, 거래 대사 경보는 19시 05분에 발생했다고 밝혔다. 이 차이가 중요한 이유는 후속 보고서가 경보 이후 약 2억3,800만 달러, 전체 피해액의 약 61%가 빠져나간 것으로 추산했기 때문이다.

침입부터 서비스 재개까지

맨디언트와 슬로우미스트의 예비 조사 결과에 따르면 최초 악성 활동 기록은 탈취 사건이 발생하기 3주 이상 앞선 8월 31일에 남았다. 공개된 시간표는 최초 접근, 자금 이동, 거래소의 대응 과정을 나눠 보여준다.

• 8월 31일: 기록상 최초 악성 활동이 발생했다. 알려지지 않은 보안 제품의 취약점이 악용된 것으로 추정된다.
• 9월 24일 17시 49분(UTC): 지갑 서버에서 맞춤형 출금 도구가 실행되기 시작했다.
• 9월 24일 18시 31분(UTC): 추적된 첫 이체에서 93 TRX가 이동한 뒤 0.84 ETH가 이체됐다.
• 9월 24일 19시 05분(UTC): 상세 재구성 보고서는 이 시각에 비트겟의 거래 대사 경보가 발생하고 고객 출금 요청이 제한됐다고 밝혔다.
• 9월 24일 21시 23분(UTC): 추적된 마지막 이체로 223.20 ETH가 이동했다. 서명을 포함한 지갑 출금 서비스는 21시 44분에 중단됐다.
• 9월 25일: 비트겟은 의심되는 근본 원인을 파악하고 수사 당국에 사건을 신고했으며 피해 추산액을 수정했다.
• 9월 28~30일: 비트코인, 이더리움, USDT 출금이 단계적으로 재개됐다. 예비 포렌식 보고서는 9월 30일 공개됐다.
• 10월 1일: 체이널리시스가 공격 주체 판단과 자금 추적 조사 결과를 발표했다. 나머지 서비스는 10월 2일까지 재개될 예정이었다.

상세 보고서에 따르면 19시 05분 경보가 발생한 뒤에도 서명 서비스는 2시간 39분 동안 계속 가동됐다. 따라서 일반 고객의 출금 요청을 차단했더라도 공격자가 출금 절차에 별도로 접근하는 경로까지 즉시 막지는 못했다.

공격자는 키를 훔치지 않고 서명 서비스를 악용했다

비트겟은 이번 침해로 콜드월렛 키가 유출되지 않았고, 고객 출금 요청을 조작한 것도 아니라고 밝혔다. 대신 공격자가 지갑 인프라 내부에서 허위 거래 승인 데이터를 제공한 것으로 추정된다. 개인 키는 가상자산 이체를 승인하는 비밀 인증 정보다. 이번 사건에서 우려되는 점은 정상적인 서명 서비스가 부정 거래를 승인하도록 지시받을 수 있었다는 것이다.

예비 기술 재구성 보고서는 이름이 공개되지 않은 보안 제품 두 개를 언급했다. 첫 번째 제품에서 발생한 활동으로 숨겨진 스크립트가 환경 변수에 저장된 데이터베이스 비밀번호를 읽을 수 있었던 것으로 추정된다. 이후 공격자는 내부 직원의 신원을 이용해 두 번째 제품의 관리 플랫폼을 조작한 뒤 운영 중인 지갑 서버에 접근해 악성 소프트웨어를 설치했다.

슬로우미스트는 비트겟의 출금 시스템에 맞춤 제작된 삭제 도구를 복구한 것으로 전해졌다. 이 도구는 위험 통제 필드를 위조하고 출금 절차를 호출했다. 최초 데이터베이스 접근과 두 번째 제품에서 사용된 신원 사이의 정확한 연관성은 아직 확인되지 않았다.

비트겟은 침입 경로를 제로데이 취약점, 즉 이전에 알려지지 않은 소프트웨어 결함이라고 설명했다. 10월 2일자 기술 보고서가 나온 시점까지도 관련 업체 이름은 공개되지 않았고, 공개 취약점 식별자나 보안 권고도 없었다. 비트겟은 취약점을 수정했다고 밝혔지만, 다른 고객이 영향을 받은 제품을 식별할 수 있을 만큼 구체적인 정보는 공개 기록에 없었다.

거래소와 별도로 운영되는 비트겟 월렛 제품은 영향을 받지 않았다. 이 서비스는 다른 인프라를 사용하며, 이용자가 자신의 자산을 직접 관리한다. 이 구분은 확인된 침해 범위를 한정하지만 거래소 운영 지갑에서 발생한 피해를 줄이지는 않는다.

북한 연계 판단의 근거

비트겟 최고경영자 그레이시 첸은 북한 연계 가능성을 설명하면서 인터넷 주소 사용 양상과 블록체인 거래 서명을 근거로 들었다. 첸은 공격 기법이 다음과 같다고 설명했다.

북한 연계 해커 그룹이 사용하는 기법과 일치한다

첸은 이후 북한 연계 판단이 예비 지표에 근거한 것이라고 밝혔다. 체이널리시스도 독자 조사에서 북한 측 행위자들의 소행으로 지목했다. 엘립틱은 바이비트를 포함한 과거 절도 사건과 연관된 자금세탁 주소와의 연결을 근거로 들었다. 기술 보고서에 따르면 TRM 랩스도 북한 연계 가능성이 높다고 평가했다.

이런 평가는 공개된 형사 사건의 유죄 판결과 같은 의미가 아니다. 맨디언트의 예비 조사에서는 공격자가 특정되지 않았고, 조사 결과만으로는 라자루스 하위 조직 가운데 특정 세력이 비트겟 침입을 감행했다고 공개적으로 입증되지 않았다.

연간 피해액 통계도 주의해서 봐야 한다. 4월 1일 드리프트 프로토콜에서 발생한 2억8,500만 달러 피해와 4월 18일 켈프DAO에서 발생한 2억9,200만 달러 피해를 합하면 5억7,700만 달러로, 상반기 북한 측 행위자들의 소행으로 지목된 6억4,300만 달러의 약 90%에 해당한다. 연구진은 켈프DAO 해킹을 블록체인 연결 인프라를 공격한 전력이 있는 트레이더트레이터와 연관 지었다. 엘립틱은 별도로 2026년에 북한 연계가 의심되는 사건이 51건을 넘었다고 집계했는데, 이는 확정된 피해액보다 넓은 범주다.

AI가 자금 추적의 특정 작업을 단축했다

체이널리시스는 비트겟 및 수사 당국과 협력해 탈취 자산을 추적했다고 밝혔다. 자금은 약 3시간 안에 23건의 이체를 거쳤고, 이후 유동성 프로토콜, 메시징 서비스, 즉시 스왑, 자금세탁 서비스를 통과했다.

핵심 작업 중 하나는 프로토콜에 입금된 탈취 XRP와 다른 곳에서 지급된 비트코인을 서로 맞추는 일이었다. 이런 서비스는 이용자가 서로 다른 블록체인에 있는 자산을 교환하도록 돕는다. 조사관은 입출금에 서로 다른 자산과 주소, 거래 기록이 사용되더라도 유입 거래와 유출 거래의 연결고리를 찾아야 한다.

체이널리시스는 약 하루 반 동안 이 경로를 따라 수천만 달러를 추적해 공격자가 관리하는 비트코인 주소에 도달했다. 회사는 내부 AI로 구축한 자동화 도구를 활용해 거래 대사 작업에 걸리는 시간을 20시간 이상에서 10분 미만으로 줄였다고 밝혔다. 조사관이 작업을 지휘하고 결과를 검토했다. 이 추산에 따르면 작업 시간은 종전의 120분의 1보다 짧았다.

다른 자금 이동은 추적하기가 더 어려웠다. 공격자는 Zcash의 차폐 풀에 자금을 넣기 시작했다. 이곳에서는 개인정보 보호 기능이 거래 세부 정보를 감춰 송금인과 수취인, 금액을 연결하는 데 도움이 되는 정보를 확인하기 어렵다. 체이널리시스는 목적지 주소를 계속 모니터링하고 거래소 및 수사 당국과 정보를 공유하겠다고 밝혔다.

자금 추적만으로 압류가 가능한 것은 아니다. 비트코인과 이더에는 잔액을 동결할 수 있는 중앙 발행 기관이 없다. 자산을 회수하려면 일반적으로 협조하는 플랫폼, 동결 권한을 가진 발행사 또는 자산을 통제하는 수사 당국이 필요하다.

스왑 서비스의 대응은 엇갈렸다

NEAR Intents는 SHIELD 시스템이 이번 사건과 연관된 이체 시도 5,000만 달러 이상을 차단하고 실행 중 약 50만3,000달러를 동결했다고 밝혔다. 알렉스 셰브첸코 총괄은 의심 거래 흐름이 차단되기 전에 약 16만6,000달러가 통과했다고 말했다.

THORChain은 스왑 처리를 계속했고, 비트겟의 선별적 개입 요청을 거부했다. 프로토콜은 자체 운영 보호를 위한 긴급 네트워크 중단과 개별 주소나 거래 차단은 별개의 문제라고 설명했다. 또 5월 발생한 자체 해킹으로 1,070만 달러의 피해를 입었을 때 공격자들도 이후 스왑 서비스 이용이 차단되지 않았다고 밝혔다.

9월 29일 블록섹이 공개한 스냅샷은 THORChain에서 발생한 비트겟 관련 자금 흐름을 7,804건의 거래, 약 2억6,900만 달러로 추산했다. 이는 처리된 거래액이지, 서로 다른 탈취 자금의 총액을 의미하는 것은 아니다. 같은 자금이 서비스를 거치는 동안 여러 번 집계될 수 있다.

동결 추산액도 서로 다르다. 한 보고서는 서클과 테더가 합쳐 약 31만8,000달러 상당의 스테이블코인을 동결했다고 밝혔다. 10월 1일자 기술 보고서의 더 넓은 추산에서는 두 발행사와 NEAR Intents가 동결한 금액이 약 110만 달러였다. 각 수치는 집계 시점과 범위가 다르므로 별개의 회수액처럼 합산해서는 안 된다.

자금세탁 거래가 수수료와 거래량 급증을 낳았다

독립 연구자 안드레이 세르게엔코프는 10월 2일 10시 22분(UTC)까지 검토한 거래에서 서비스와 프로토콜 수수료가 76만1,725달러 발생했다고 계산했다. 세부 내역은 THORChain 유동성 공급자 57만3,226달러, 메타마스크 14만9,417달러, 체인플립 2만6,751달러, CoW EthFlow 1만2,332달러였다.

그는 추가로 THORChain 제휴 수수료 25만9,718달러가 스왑 관련 지갑과 별도의 금융 연결고리가 확인된 7개 주소에 지급된 사실을 확인했다. 그가 추가 연결고리를 확인하지 못한 수취인에게는 20만6,196달러가 지급됐다. 이 제휴 수수료 항목은 별도의 분석 수치이며 회수된 금액이 아니다.

수수료 수취인으로 이름이 나왔다고 해서 공격자가 소유한 지갑이라는 뜻은 아니다. 세르게엔코프는 가장 큰 연관 수취인에게 지급된 17만7,499달러의 일부를 추적해 USDT로 바뀐 뒤 최종적으로 ‘OKX Hot Wallet 5’라는 라벨이 붙은 주소로 흘러간 사실을 확인했다. 이 경로만으로 거래소 고객의 신원이나 절도 가담 여부를 입증할 수는 없다.

THORChain은 9월 시스템 수익이 301만 달러, 스왑 거래량이 24억 달러였다고 밝혔다. 9월 25일부터 29일까지는 약 13억7,000만 달러를 처리해 월간 거래량의 57%를 차지했고, 약 190만 달러를 벌어 월간 수익의 63%를 기록했다. 이 기간 합계에는 탈취 자금으로 확인되지 않은 거래도 포함돼 있다.

프로토콜은 거래 급증 시기를 다음과 같이 설명했다.

9월 25일부터 29일까지 비트겟 해킹과 연관된 자금이 네트워크를 거치면서 일일 거래량은 약 1억9,000만 달러에서 4억6,000만 달러 사이를 기록했다.

활성 지갑 수는 8월 2만3,500개에서 9월 2만5,000개로 약 6.4% 늘었다. 이용자 수의 완만한 증가와 달리 스왑 거래량은 6억1,300만 달러에서 24억 달러로 급증했다. 이는 이용자 수가 비슷한 폭으로 늘었다기보다 대규모 거래가 집중됐음을 보여준다.

중개업자가 자금이 사라지기 전에 공격자에게 대금을 지급했을 가능성

2025년 2월 21일 발생한 바이비트 해킹 사건에 대한 조사는 공개적으로 확인되는 탈취 자금이 더는 원래 해커들의 통제 아래 있지 않을 수 있는 이유를 보여준다. 미 연방수사국(FBI)은 약 15억 달러 규모의 이 공격을 북한의 트레이더트레이터 조직 소행으로 지목했다. 연구자들은 전문 중개업자가 탈취 자산을 넘겨받아 수수료를 뺀 대금을 공격자에게 지급하고 이후 자금세탁 위험을 떠안았을 가능성을 제기한다.

보안업체 제로섀도는 2025년 2월부터 6월까지 바이비트에서 탈취된 자금 중 10억 달러 이상이 세탁된 것으로 추산했다. 그렇다고 전체 금액이 일반 화폐로 바뀌었거나 공격자들이 순수익으로 가져갔다는 뜻은 아니다. 체이널리시스는 바이비트와 와지르엑스에서 나온 수천만 달러가 신비(Xinbi)의 판매업자 네트워크를 거쳤다고도 밝혔다. 중개업자들은 추적 가능한 자산을 다른 범죄 활동에서 나온 스테이블코인으로 교환한 것으로 추정된다.

가명을 사용하는 조사자 잭XBT는 10월 5일 공개한 내용에서 고객으로 위장해 스테이블코인 34만9,700달러를 내고 주문마다 5%의 손실을 감수했다고 밝혔다. 그는 지미 그린이라는 운영자가 바이비트 관련 자금 1,200만 달러 이상을 보유한 지갑 집단을 드러내는 데 도움을 줬으며, 이후 테더가 44만2,000 USDT를 동결했다고 말했다.

잭XBT는 이 네트워크가 홍콩과 중국 본토에서 활동하며 라자루스를 위해 10억 달러 이상을 세탁했다고 주장했다. 네트워크 규모와 운영자의 신원은 공개된 기소 자료를 통해 독립적으로 확인되지 않았다. 그는 또 비트겟 자금을 취급한 중국 측 인사들이 공개 디스코드와 텔레그램 그룹에서 도움을 구했고, 한 운영자가 켈프DAO 자금도 처리했다고 주장했다.

비트겟의 재정적 안전망과 회수의 한계

비트겟은 해킹 전 이용자 보호 기금이 4억6,400만 달러를 넘었으며 고객 피해를 보전하는 데 쓰겠다고 밝혔다. 피해액 3억8,750만 달러는 4억6,400만 달러 준비금의 약 83.5%에 해당한다. 이 비교는 잠재적 부담 규모를 나타낼 뿐, 보상금 지급 방식이나 재원을 구성한 자산을 입증하지는 않는다.

거래소는 9월 28일 보호 기금을 일주일 안에 최소 3억 달러로 복구하겠다고 약속했고, 9월 30일 복구를 완료했다고 발표했다. 또 성공적으로 동결 또는 회수된 자금의 최대 5%를 포상금으로 지급하고, 맨디언트와 슬로우미스트의 조사를 의뢰했으며, 지갑 추적 대시보드를 공개했다.

비트겟에 따르면 출금이 중단된 동안에도 거래와 입금은 계속 가능했다. 비트코인 출금은 9월 28일, 이더리움은 9월 29일, USDT는 9월 30일 재개됐다. 거래소는 서비스 중단 기간에 추가 피해가 없었다고 밝혔다. 비트겟의 BGB 토큰은 보도 당시 거래 상황에서 7% 가까이 하락해 1.93달러까지 떨어진 뒤 1.97달러로 회복했다.

9월 전체 피해 규모 역시 집계 범위에 따라 차이가 났다. 펙실드는 해킹 55건, 피해액 7억6,650만 달러를 집계했고, 서틱은 사건 97건, 피해액 7억6,840만 달러를 집계했다. 어느 집계를 기준으로 해도 비트겟 피해는 전체의 약 절반에 해당한다. 별도의 리퀴드 네트워크 피해액은 3억1,900만~3억2,000만 달러로 보도됐으며, 이 중 2억7,000만 달러 이상이 반환된 것으로 전해졌다. 또 다른 콜드카드 사건에서는 7월 약 1억1,600만 달러가 피해를 입은 것으로 보도됐다.

법 집행 노력은 거래소 해킹에만 국한되지 않는다. 미 재무부는 사이버 범죄 수익과 해외 IT 노동자 수입을 세탁한 혐의를 받는 개인 8명과 기관 2곳을 제재했다. 재무부는 퍼스트 크레디트 은행을 통해 최소 530만 달러를 관리한 은행원과 중국·러시아 중개자를 통한 자금 은닉을 혐의에 포함했다. 미 법무부의 별도 조치에는 IT 노동자 사기 혐의와 관련된 770만 달러, APT38 소행으로 지목된 절도 4건과 연관된 1,500만 달러 이상의 자산이 포함됐다.

이런 조치는 동결, 압류, 피해 배상이 서로 다른 단계임을 보여준다. 비트겟의 최종 회수액과 취약한 보안 제품 업체의 신원, 최종 기술 조사 결과는 여전히 밝혀지지 않았다. 최종 조사 완료나 탈취 자산 반환 시점도 발표되지 않았다.

핵심 내용

• 비트겟이 수정한 피해액 3억8,750만 달러를 더하면 2026년 북한 연계 가상자산 절도 피해액은 최소 10억3,050만 달러에 이른다.
• 예비 조사에 따르면 출금이 가능했던 원인은 개인 키 탈취가 아니라 승인 데이터 위조였다.
• 체이널리시스는 북한 측 행위자들의 소행으로 판단했지만, 라자루스의 구체적 연계는 공개적으로 확인되지 않았다.
• AI가 자금 추적 작업 하나를 10분 이내로 단축했지만, 추적이 자산 회수로 이어진 것은 아니다.
• 스왑 서비스의 대응은 엇갈렸고, 검토된 자금세탁 거래에서는 상당한 수수료가 발생했다.
• 비트겟은 보호 기금을 최소 3억 달러로 복구했다고 발표하고 출금을 단계적으로 재개했다.
• 최종 회수액과 영향을 받은 보안 제품 업체의 신원은 아직 밝혀지지 않았다.