원문 작성자: WhiteRunner

지난 몇 년간 거래소가 대형 보안 사고를 겪는 것은 드문 일이 아니었으며, 공격 진입점도 핫월렛, 서명 시스템에서 점차 내부 권한과 제3자 서비스로 확대되고 있습니다. 시스템이 점점 복잡해지면서 거래소가 방어해야 할 경계도 점점 커지고 있습니다.

9월 25일, Bitget은 보안 사고를 겪었고 최종적으로 약 3억 8,800만 달러의 자산이 영향을 받은 것으로 확인되었습니다. CEO Gracy Chen은 이후 라이브 방송에서 이것이 플랫폼 운영 8년 만에 처음 발생한此类 보안 사고라고 밝혔습니다. SlowMist가 발표한 조사 결과에 따르면, 가장 먼저 발견된 악성 활동은 제3자 보안 제품 노드의 제로데이 취약점과 관련되어 있었습니다. Mandiant와 SlowMist의 조사 모두 공격 경로를 제3자 보안 인프라 침해로 지목했으며, 최종적으로 Bitget의 월렛 환경에 진입한 것으로 나타났습니다.

사고 발생 후, Bitget은 사용자 보호 기금으로 손실을 부담하겠다고 발표했습니다. 사고 당시 2022년에 설립된 이 기금은 5,500 BTC를 보유하고 있었으며, 가치는 4억 6,400만 달러를 넘었습니다. Gracy는 보호 기금 사용 후 일주일 내로 3억 달러까지 보충하여 2022년 설립 시 정한 기준 규모로 회복하겠다고 약속했습니다. 9월 30일, 이 약속은 예정대로 이행되었습니다.

출금도此前 발표된 일정에 따라 재개되기 시작했습니다. 9월 28일 16:00 BTC가最先 출금이 재개되었고, 29일 ETH 출금이 재개된 후 관련 핫월렛은 순유출에서 빠르게 순유입으로 전환되었으며, 곧 잔액이 출금 재개 전 초기 수준을 약간 초과하기까지 했습니다. 사용자의 신뢰가 돌아오고 있습니다. 발행 시점 기준으로 모든 코인의 출금이 재개되었습니다.

약 4억 달러 도난에서 출금 재개, 자금 재유입까지 불과 며칠밖에 걸리지 않았습니다. 해커는 어떻게 프라이빗 키가 유출되지 않은 상태에서 자산을 빼돌릴 수 있었을까요? 4년간 준비해온 보호 기금은 어떻게 실제로 제 역할을 할 수 있었을까요? Bitget은 또 무엇을 했기에 사건이 전환점을 맞기 시작했을까요?

一、해커, 제로데이 취약점을 이용해 제3자 보안 제품 공격

이번 공격의 특별한 점은 Bitget의 프라이빗 키가 유출되지 않았고, 콜드월렛도 공격받지 않았으며, 스마트 컨트랙트 취약점도 아니라는 것입니다. 해커가 찾은 돌파구는 놀랍게도 플랫폼이 사용하는 제3자 보안 제품이었습니다.

Bitget이 현재 공개한 조사 결과에 따르면, 베이징 시간 9월 25일 02:31경 온체인에서最早 확인된 관련 소액 이체가 나타났으며, 이후 더 대규모의 자산 이동이 시작되었습니다.

Gracy는 The Block과의 인터뷰에서 02:58부터 04:09까지 공격자가 Ethereum, XRP, Zcash, BNB Chain, Base, Arbitrum, Optimism, Avalanche 등 여러 네트워크를 통해 17건의 대규모 거래를 실행했다고 밝혔다. 이후 추가 집계를 거쳐 Bitget은 최종적으로 이번 사건이 약 3억 8,800만 달러 상당의 자산에 영향을 미쳤다고 확인했다.

03:05, 즉 첫 대규모 이체가 발생한 약 7분 후 Bitget의 대사 시스템이 뚜렷한 자금 차이를 발견하고 전 플랫폼 출금 차단을 발동했으며, 03:14에는 플랫폼이 최고 수준의 비상 대응을 개시했다. 당시에는 아직 개인키 유출 가능성을 배제할 수 없었기 때문에, 지갑 팀은 이후 자산을 콜드월렛으로 이전하고 지갑 출금 및 서명 서비스를 중단했다.

이후 보안 팀은 사건의 근본 원인을 확인했다. 현재 공개된 공격 체인에 따르면, 해커는 한 제3자 보안 제품의 이전에 알려지지 않았던 제로데이 취약점을 악용했다.

이른바 제로데이 취약점이란 제조사와 사용자가 이전에 파악하지 못했고, 사전에 배포할 수 있는 패치도 없는 보안 결함을 말한다. 다시 말해 이는 이전에 알려지지 않은 공격 진입 경로였다. 그다음에 벌어진 일이야말로 이번 약 4억 달러 손실을 이해하는 핵심이다.

이 취약점을 이용해 공격자는 제3자 보안 제품의 결함을 통해 내부망 권한 자격 증명을 탈취하고, 지갑 시스템에 출금 명령을 위조하여 지갑이 리스크 검증을 우회한 비정상 이체를 실행하도록 속였다. 전체 과정에서 개인키는 유출되지 않았고 콜드월렛도 영향을 받지 않았다.

Gracy는 이후 공격자가 작업을 완료한 뒤 일부 관련 흔적을 삭제해 조사와 공격 과정 복원의 난이도를 높였다고도 밝혔다.

Bitget은 이후 영향을 받은 제3자 기능을 중단하고 내부 자격 증명을 재발급했으며, 고도로 민감한 권한을 회수하고 다시 분할했다. 동시에 출금에 독립적인 검증을 추가했다. Mandiant와 SlowMist는 현재도 독립적인 포렌식 조사와 자금 추적에 참여하고 있다.

이번 사건이 업계에 남긴 직접적인 경고는 거래소의 보안 경계가 더 이상 개인키와 콜드월렛만이 아니라는 점이다. 보안 소프트웨어, 지갑 인프라, 그리고 핵심 시스템에 접근할 수 있는 기타 제3자 서비스 자체도 공격 진입 경로가 될 수 있다.

二、보호 기금动用开始动用，출금은 시간표에 따라 재개

사건 발생 후, 다음으로 한 거래소를 진정으로 시험하는 것은 손실을 누가 부담할 것인지, 경영진이 사용자에게 어떻게 대응하고 안심시킬 것인지이다.

Bitget는 먼저 보호 기금을 사용했습니다.

이 기금은 2022년에 설립되었으며, 장기간 3억 달러를 기준 규모로 유지해 왔습니다. 사고 발생 당시 기금은 5,500 BTC를 보유하고 있었고, 가치는 4억 6,400만 달러를 넘어 최종 확인된 약 3억 8,800만 달러의 손실 금액을 충분히 감당할 수 있었습니다.

Bitget는 이후 보호 기금이 이번 사건으로 인한 자금 영향을 부담하며, 사용자 계정 잔액은 영향을 받지 않는다고 명확히 밝혔습니다.

9월 28일 BTC 출금이 재개되기 전, 온체인에서는 이미 보호 기금이 핫월렛으로 자산을 배분하기 시작한 것을 확인할 수 있었습니다. 온체인 분석가 Ai姨는 최초로 2,042.28 BTC가 관련 보호 기금 주소에서 Bitget 핫월렛으로 이체된 것을 모니터링했습니다(Bitget 보호 기금 온체인 모니터링).

이는 Bitget의 이번 처리에서 업계가 가장 참고할 만한 부분 중 하나입니다.

이 보호 기금은 사고 발생 후 임시로 발표된 보상 방안이 아니라, 4년 전에 이미 구축된 것입니다. 자금은 장기간 비축되어 있고, 월렛 주소는 공개적으로 조회 가능하며, 명확한 규모 기준도 있습니다. 실제 사고 발생 후 실제로 호출하여 사용하고, 사용 후에는 원래 기준에 따라 보충합니다.

보호 기금은 손실 부담 문제를 해결했습니다. 이번에는 약 4억 달러의 손실이 최종적으로 사용자에게 전가되지 않았습니다. Gracy는 Bitget이 일주일 내에 보호 기금을 최소 3억 달러로 다시 보충할 것이라고 밝혔으며, 온체인 모니터링 상황으로 볼 때 예정대로 이행되었습니다.

Bitget는 또한 9월 30일에 제47기 준비금 증명(PoR)을 발표했으며, 총 준비금 비율은 131%로 19개 자산을 커버합니다. 그중 BTC, ETH, USDT 및 USDC의 준비금 비율은 각각 142%, 110%, 107%, 154%입니다.

자금 외에도, Bitget의 이 며칠간 소통 방식 역시 주목할 만합니다.

Gracy는 커뮤니티 대상 라이브 방송에서 약 3시간 동안 연속으로 대응했고, 谢家印도 소셜 미디어와 커뮤니티를 통해 지속적으로 진행 상황을 업데이트했습니다. 3시간 라이브 방송 자체가 핵심은 아니며, 더 중요한 것은 사고가 가장 혼란스러웠던 며칠 동안 경영진이 항상 전면에서 문제에 대응했다는 점입니다.

또한 몇 차례의 핵심 발언에서 기본적으로 명확한 정보나 다음 단계 방안을 제시했습니다.

손실은 누가 부담하는지, 곧 보호 기금이 충당하는 것으로 명확해졌습니다. 영향 금액은 3억 5,160만 달러에서 3억 8,800만 달러로 조정된 후 숫자 변화의 원인을 설명했습니다. 공격 진입점이 확인되기 전에는 공격자의 신원과 공격 방식에 대해 성급히 결론을 내리지 않았습니다. 조사가 진전된 후에야 서드파티 보안 제품, 제로데이 취약점, 고권한 자격 증명, 위조 출금 지시 등의 세부 사항을 순차적으로 공개했습니다.

출금 재개도 마찬가지입니다.

이번 사건은 여러 코인과 여러 네트워크에 걸쳐 있어 점검 범위가 하나의 지갑에 국한되지 않았습니다. Bitget은 전면적인 출금 재개를 한 번에 하지 않고, 관련 지갑, 네트워크, 리스크 배제를 하나씩 확인한 후 단계적으로 개방했습니다.

9월 26일, 플랫폼은 구체적인 복구 일정을 발표했습니다. 9월 28일 BTC 재개, 9월 29일 ETH 및 관련 네트워크 재개, 9월 30일 USDT 및 관련 네트워크 재개, 기타 토큰, 법정화폐 및 C2C 서비스는 10월 2일 재개로 예정했습니다. 보도 시점 전까지 전부 예정대로 재개된 것으로 확인되었습니다.

여러 코인, 여러 네트워크, 서드파티 소프트웨어 및 내부 권한이 관련된 대형 보안 사고임을 고려할 때, 날짜와 시간까지 구체적인 복구 계획을 먼저 제시하고 이를 하나씩 이행한 점은 긍정적으로 평가할 만합니다.

보호 기금은 4년 전에 미리 준비해 두었다가 실제 문제가 발생한 후에 사용했습니다. 경영진은 지속적으로 커뮤니티와 소통했고, 확정된 정보는 제때 공개했으며, 불확실한 정보에 대해서는 성급히 결론을 내리지 않았습니다. 복구 계획은 명확한 일정을 제시하고, 그 일정에 따라 실행했습니다.

이러한 일련의 깔끔한 행동은 많은 사람들이 Bitget을 더 긍정적으로 바라보게 만들었습니다.

三、 이벤트 전환점이 나타났고, 자금이 다시 순유입되고 있습니다

9월 29일 ETH 출금이 재개된 후, 온체인에서 곧 주목할 만한 변화가 나타났습니다.

온체인 분석가 Ai姨의 모니터링에 따르면, Bitget이 ETH 출금에 대응하기 위해 준비한 관련 핫월렛의 잔액이 출금 재개 후 30분 이내에 다시 3만 ETH 이상으로 돌아와 초기 값을 초과했습니다.

이후 Bitget이 공개한 데이터에 따르면, 출금 재개 후 첫 1시간 동안 ETH 유입은 약 9,674개, 유출은 약 9,023개로 순유입은 약 651 ETH였습니다. 9월 30일 데이터에 따르면, 24시간 플랫폼 자금 유입 금액은 2억 3,100만 달러에 달해 올해 8월 일평균 자금 유입 금액인 2억 4,500만 달러에 근접했으며, 시장에서 이전에 우려했던 단방향 자금 유출은 나타나지 않았고 오히려 시장의 신뢰 회복을 확인할 수 있었습니다.

동시에 사용자의 신뢰에 보답하기 위해 Bitget은 여러 인센티브 활동도 시작했습니다.

ETH PoolX는 50만 USDT 상금 풀을 제공하며, 사용자가 ETH를 예치하면 분배에 참여할 수 있습니다. 활동 초기 페이지에서 예상 APR은 한때 약 37.11%에 달했고, 이후 참여 자금이 증가하면서 동적으로 하락했습니다.

BTC PoolX는 이후 출시되어 10만 BGB 상금 풀을 제공하며, 사용자의 이전 15일간 BTC 보유량에 따라 추가 보너스를 지급합니다.

스테이블코인 측면에서 Bitget은 같은 기간 USDT와 USDGO 수시 입출금형 금융 상품 이벤트를 출시했으며, 수시 입출금을 지원하고 한시적 APR은 각각 10%와 12%에 달했다. '동행 플랜'은 이벤트 기간 중 조건을 충족하는 거래 수수료 수익의 30%를 사용자 상금 풀에 포함시키며, 그중 60%는 거래량에 따라, 40%는 자산량에 따라 분배한다. 10월 2일 Bitget 공식 데이터에 따르면 첫 번째 보상이 지급되었으며, 누적 763,543명의 사용자에게 1,907,455 USDT를 지급했다.

이러한 이벤트의 의도는 이해하기 어렵지 않다. 출금 재개는 사용자가 '떠날 수 있느냐'의 문제를 해결한 것이고, 이후 출시된 일련의 이벤트는 거래, 금융, 자금 예치를 다시 활성화하는 것이다.

곧 많은 사용자가 자금으로 투표하며 Bitget에 대한 신뢰와 이벤트에 대한 열의를 보여주었다.

며칠 전까지만 해도 시장이 가장 관심을 가진 것은 '돈을 언제 출금할 수 있느냐'였지만, 출금이 재개되면서 문제는 '어떤 이벤트에 참여해야 더 높은 APR을 얻을 수 있느냐'로 바뀌기 시작했다.

사건의 전환점이 나타난 신호.

거래소 입장에서 사용자 신뢰 회복의 가장 직접적인 증거는 자유롭게 입출금할 수 있을 때에도 자금을 남겨두려는 의지다.

4. 한 번의 보안 사고가 거래소 업계에 남긴 것

Bitget의 이번 사건发生后, 업계 '절반'의 지지를 거의 받았다.

그중 가장 언급할 만한 것은 Bybit이다.

2025년 2월, Bybit은 약 14억 달러 규모의 보안 사고를 겪었다. 공격 발생 약 5시간 후, Bitget은 Bybit에 40,000 ETH를 제공했으며 당시 가치는 1억 달러를 넘었다. 이 40,000 ETH에는 이자도, 담보도, 고정 상환 기한도 없었다. Bybit은 이후 3일 이내에 전액 상환했다.

1년여 후, 양측의 위치가 바뀌었다. Bitget에 사건이 발생한 후 Bybit CEO Ben Zhou는 곧 공개적으로 도움을 제공하겠다고 밝혔고, 특별히 "우리가 해커 공격을 당했을 때 Bitget이 우리를 도왔다"고 언급했다. 이후 Bybit는 관련 도난 자금을 LazarusBounty 시스템에 포함시켜 추적했다.

나선 것은 Bybit만이 아니었다. CZ는 사건 발생 후 공개적으로 성원했고, Binance 보안팀은 이후 Bitget과 협력해 위협 정보 공유, 도난 자금 추적, 자산 회수 지원 등을 진행했다. MEXC CEO Vugar Usi도 먼저 Bitget에 연락해 지지를 표명했다. 거래소 외에도 Mandiant, SlowMist가 조사와 포렌식에 참여했고, Circle, Tether가 관련 자산 동결에 참여했다.

이 뉴스들을 보면서 정말 가슴이 뜨거워졌습니다.

암호화폐 업계에는 경쟁이 끊이지 않습니다. 거래소끼리 사용자, 유동성, 시장 점유율을 두고 다투지만, 실제로 수억 달러 규모의 보안 위기가 닥치면 동종 업계로서 서로 돕고 의지합니다.

그리고 Bitget이 하나의 플랫폼으로서 업계에서 진정한 신뢰와 존경을 얻었는지는 위기 상황에서 가장 직관적으로 드러납니다.

하지만 이 일을 단순히 "어려울 때 진정한 우정을 알 수 있다"는 것으로만 치부하기에는 그 의미가 훨씬 큽니다.

암호화폐 업계에는 통합된 기관이 뒷받침해주지 않지만, 보호 기금, 동종 업계 협력, 보안 기관, 온체인 추적이 자체적인 리스크 처리 네트워크를 형성하고 있습니다. 동시에 핫월렛, 서명 시스템부터 서드파티 소프트웨어와 내부 권한에 이르기까지 거래소가 방어해야 할 경계는 점점 넓어지고 있습니다. 공격은 갈수록 복잡해지고, 업계는 함께 대응해야 합니다.

보호 기금 조성, 사후 공개 투명성 유지와 약속 이행, 그리고 업계 협력은 이제 위기 대응의 우수한 패러다임이 되었으며, Bitget은 이를 진지하게 한 번 시연한 셈입니다.

지난 2년간 암호화폐 업계는 줄곧 Mass Adoption을 이야기해 왔습니다. ETF, 스테이블코인, RWA, 토큰화 증권이 더 많은 전통 금융 자금을 끌어들이고, 미국의 규제 프레임워크도 점차 구축되고 있습니다. 여기까지 온 지금, 업계가 증명해야 하는 것은 혁신과 성장만이 아니라 리스크를 처리하는 능력입니다.

Bitget은 이번에 4억 달러로 한 플랫폼이 위기 앞에서 보여주는 책임감을 검증했습니다. 위기는 플랫폼을 끝내지 않지만, 책임감은 플랫폼을 새롭게 정의할 수 있습니다.

주류 금융으로 나아가고 있는 암호화폐 업계에게 이것 역시 반드시 치러야 할 시험입니다. 어떤 금융 시스템도 "절대 사고가 나지 않는다"는 가정 위에 세워질 수 없습니다. 실제로 사고가 났을 때 보상할 수 있는지, 명확히 설명할 수 있는지, 회복할 수 있는지가 바로 책임과 최소한의底线를 시험합니다.

금융 세계가 궁극적으로 암호화폐 업계를 어떻게 바라볼지는, 아마도 그것이 최악의 하루를 어떻게 올바르게 대처하느냐에 달려 있을 것입니다.

BlockBeats 공식 커뮤니티에 참여하세요:

Telegram 구독 그룹：https://t.me/theblockbeats

Telegram 토론 그룹：https://t.me/BlockBeats_App

Twitter 공식 계정：https://twitter.com/BlockBeatsAsia