제3자 보안 제품 제로데이로 내부 자격증명 유출
2026년 9월 24일부터 25일 사이, 암호화폐 거래소 빗겟(Bitget)에서 3억 8,750만 달러(약 5,300억 원) 상당의 디지털 자산이 외부 공격자에게 탈취당했다. 보안업체 Rescana의 분석에 따르면 공격의 진입 경로는 빗겟이 도입한 제3자 보안 제품의 제로데이(zero-day) 취약점이었다. 사건 규모, 공격 방식, 피해 자산의 다중 체인 분산이라는 세 요소가 맞물리면서, 이번 침해는 거래소 보안 역량과 공급망(서플라이체인) 관리 체계 전반에 대한 근본적 재검토를 촉구하는 사건으로 기록되었다.
공격자들은 빗겟이 운용 중이던 외부 보안 어플라이언스 두 종('Product A', 'Product B')에서 사전에 공개되지 않은 취약점을 발견하고 이를 집중 공략했다. 구체적으로, Product A의 서비스 프로세스에서 숨겨진 스크립트를 몰래 구동하는 방식으로 환경 변수에 저장된 데이터베이스 자격증명을 빼냈고, 탈취한 자격증명으로 내부 데이터베이스에 접속한 뒤 권한을 단계적으로 높여 나갔다.
Rescana 보고서에 따르면 9월 23일과 25일에는 추가 노드에서도 유사한 스크립트 동작이 포착되었는데, 이는 공격자가 단일 지점이 아닌 다수의 환경 거점에서 지속적 접근권을 확보했음을 보여준다. 9월 24일, 공격자들은 두 보안 어플라이언스에 대한 무단 특권 접근을 완성한 뒤 웹 셸(web shell)을 심고 C2(Command and Control) 채널을 열었다.
이로써 탈취 명령을 외부에서 원격 제어할 수 있는 구조가 갖춰졌다. 맞춤 제작된 출금 도구는 9월 25일 오전 1시 49분에 가동되어 약 3시간 동안 자동으로 작동했다. 이 도구는 이더리움(Ethereum), XRP Ledger, 지캐시(Zcash), 트론(Tron), 아비트럼(Arbitrum), 옵티미즘(Optimism), 베이스(Base), BNB 스마트 체인, 아발란체(Avalanche), 알고랜드(Algorand), 셀레스티아(Celestia) 등 총 11개 블록체인에 걸쳐 자산을 빼냈다.
11개 체인에 동시 걸친 공격은 공격자가 온체인(on-chain) 자금 흐름과 빗겟의 내부 출금 처리 절차를 사전에 면밀히 파악하고 있었음을 방증한다.
광고
빗겟은 무단 이체를 감지한 직후 전체 출금을 즉시 중단하고 사고 대응에 돌입했다.
11개 블록체인에 걸친 자동화 출금이 드러낸 운영 리스크
사건 조사에는 블록체인 보안업체 슬로미스트(SlowMist)와 구글 산하 사이버보안 전문기관 만디안트(Mandiant)가 독립적으로 참여했다. 법 집행 기관과 결제 인프라 차원의 대응도 병행되었다.
Rescana 보고서에 따르면 써클(Circle), 테더(Tether), NEAR 인텐트(Intents) 세 곳이 이번 사건과 연계된 약 110만 달러 상당의 자산을 동결했다. 다만 현재까지 공개된 침해 지표(IOCs)는 제한적이며 공격자 신원과 최종 자금 흐름의 전부가 공식 확인된 상태는 아니다. IP 행동 패턴, 온체인 분석, 과거 공격과의 지갑 주소 중복 등을 근거로 북한 연계 위협 행위자의 소행일 가능성이 높다는 평가가 나왔으나, 이 역시 조사 단계의 분석 결론이며 공식 귀속(attribution) 확인은 이뤄지지 않았다.
본지 분석에 따르면 이번 사건의 파장은 세 층위에서 구조화된다. 중앙집중형 거래소가 핵심 기능을 외부 솔루션에 위탁하는 운영 구조 자체가 흔들렸다는 점이 첫 번째다.
효율을 위해 아웃소싱한 보안 제품 하나의 취약점이 플랫폼 전체 자산과 직결될 수 있다는 사실이 이번 사건을 통해 다시 한번 입증되었다. 두 번째는 감독 체계의 공백이다.
국내외 규제 당국은 거래소의 제3자 의존도, 자산 보관 기준, 사고 대응 의무를 포함한 규제 프레임워크를 재설계해야 한다는 압박을 받게 되었다. 세 번째는 시장 유동성에 가해지는 단기 충격이다. 개인·기관 투자자의 실물 손실과 신뢰 하락이 단기적으로 거래량과 유동성에 부정적 영향을 미칠 가능성이 크다.
이러한 분석은 Rescana가 제시한 기술 사실과 법 집행 조치들을 토대로 본지가 종합한 것이다. 반론도 존재한다.
빗겟이 이상 거래를 감지한 즉시 출금을 차단하고 외부 전문기관을 투입했다는 점, 써클·테더가 일부 자산을 신속히 동결했다는 점은 피해 확산을 억제한 실질적 효과를 보였다.
광고
그러나 본지 분석에 따르면 사후 차단만으로 시스템 전반의 신뢰를 회복하기는 어렵다. 제3자 보안 제품의 제로데이 취약점은 공급업체가 패치를 발행하고 거래소가 이를 검증·적용하는 과정이 병행되어야 비로소 해소된다.
공급업체 책임 규범, 거래소 내부 감사 역량, 규제 당국의 실효적 점검이 동시에 강화되지 않으면 유사 사건이 반복될 위험은 여전하다.
법 집행 대응과 거래소·투자자에게 남긴 과제
이번 사건은 정책·운영 양면에서 구체적 변화를 요구한다. 정책 차원에서는 거래소의 제3자 의존성 공시 의무화, 핵심 보안 컴포넌트에 대한 독립 검증과 정기 침투 테스트(펜테스트), 사고 발생 시 자산 동결·복구 절차의 표준화가 검토 대상으로 떠올랐다.
운영 차원에서는 다중 서명(Multi-signature) 지갑 구조와 콜드 스토리지 강화, 내부 권한 관리 재편, 외부 솔루션 도입 시 공급망 위험평가 절차 의무화가 우선순위로 부상했다. 본지 분석에 따르면 이런 변화는 거래소의 운영 비용을 끌어올리겠지만, 장기적으로는 고객 신뢰 회복과 시장 안정화에 기여할 가능성이 크다. 궁극적으로 이 사건이 개인 투자자의 행동과 산업 구조에 어떤 변화를 촉발하느냐가 관건이다.
거래소 선택 기준이 수수료·유동성 중심에서 기술적 보안과 투명성 중심으로 이동할 가능성이 있다. 사용자들은 출금 제한 정책, 보험 적용 범위, 자산 보관 방식 등을 사전에 확인하는 습관을 갖추게 될 것으로 예상된다.
규제 당국은 거래소의 외부 의존성에 대한 감독 범위를 확대하고, 국제 공조를 통한 자금 추적·동결 메커니즘을 더욱 정밀하게 다듬을 것이다. 빗겟 사건은 암호화폐 생태계의 보안 규범과 운영 책임을 재설정하는 분기점이 되었다.
FAQ
Q. 일반 투자자는 이번 사건에서 무엇을 점검해야 하나
A. 공식 확인된 핵심 사실은 2026년 9월 24~25일 빗겟에서 3억 8,750만 달러가 탈취되었고, 제3자 보안 제품의 제로데이 취약점이 침투 경로였다는 점이다. 이번 사건이 보여준 위험의 핵심은 거래소가 도입한 외부 솔루션 하나의 결함이 고객 자산 전체로 이어질 수 있다는 구조적 취약성이다. 투자자는 자신이 이용하는 거래소가 자산을 어떻게 보관하는지(핫월렛·콜드월렛 비율), 해킹 사고 발생 시 보험 또는 자체 준비금으로 보상이 가능한지를 사전에 확인해야 한다. 장기 보유 목적의 자산이라면 개인 하드웨어 지갑으로 직접 이전하는 방안을 적극적으로 고려할 필요가 있다. 거래소 보안 정책이 공개되어 있지 않거나 사고 대응 이력이 불투명한 곳이라면 이용을 재검토하는 것이 합리적이다.
Q. 규제 환경은 어떻게 바뀔 가능성이 있나
A. 각국 수사 결과와 정치적 논의에 따라 변화 속도는 달라지겠지만, 단기적으로는 거래소의 보안 공시 의무 강화, 제3자 의존성에 대한 위험평가 제출 요구, 사고 발생 시 즉시 신고 의무화가 핵심 의제로 논의될 가능성이 높다. 북한 연계 위협 행위자의 소행 가능성이 제기된 만큼 국제 자금 추적 공조 체계 강화도 함께 논의될 수 있다. 본지 분석에 따르면 규제가 강화되면 거래소의 컴플라이언스 비용이 상승하지만, 반복되는 대형 침해 사고를 억제하는 효과도 기대된다. 투자자 보호 관점에서는 규제 공백이 지속될수록 피해 회복 가능성이 낮아지므로, 국제 표준에 준하는 규제 도입이 조속히 이뤄져야 한다는 주장이 설득력을 갖는다.
Q. 탈취된 자산은 회수될 수 있나
A. 써클, 테더, NEAR 인텐트가 이번 사건과 연계된 약 110만 달러를 동결했으나, 이는 총 피해액 3억 8,750만 달러의 0.3%에도 미치지 못하는 수준이다. 공격자가 11개 블록체인에 자산을 분산시킨 방식은 추적과 동결을 의도적으로 어렵게 만드는 전략으로, 전액 회수 가능성은 현실적으로 낮다. 북한 연계 그룹이 개입된 과거 사례들을 보면 믹서(Mixer)와 크로스체인 브리지를 활용해 자금을 세탁하는 패턴이 반복되었고, 빗겟 사건에서도 유사한 방법이 사용되었을 것으로 분석된다. 다만 슬로미스트, 만디안트의 온체인 추적과 국제 법 집행 공조가 지속된다면 일부 자산의 동결·몰수 가능성은 열려 있다.
※ 이 기사는 Rescana의 2026년 9월 보도를 참조하여 작성하였다.
광고
▶ 법률 고민이 있다면 → 김연순법률노트 무료상담 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}