비트겟(Bitget)은 9월 24일 공격자가 거래소 지갑에서 3억 8천 7백 5십만 달러를 도난당했다고 공식 확인했습니다. 출금은 여전히 중단된 상태이며, 회사는 보호 기금이 이 손실을 보장한다고 밝혔습니다.
만디언트(Mandiant)와 슬로우미스트(SlowMist)가 사건을 조사하고 있습니다. 최고경영자 그레이시 첸(Gracy Chen)은 북한의 개입을 의심하고 있지만, 최초 침입 경로는 아직 공개되지 않았습니다.
그렇다면 해킹 사건은 어떻게 발생했습니까? 비인크립토(BeInCrypto)는 공개된 정보에 따라 사건 타임라인을 정리했습니다.
9월 24일 18:31 UTC: 비트겟, 무단 이체 감지
비트겟은 자사 보안 시스템이 18:31 UTC에 이체를 감지했고, 몇 분 이내에 비상 대응 절차를 가동했다고 밝혔습니다.
이번 침해로 거래소 운영을 지원하는 핫 지갑과 웜 지갑 일부가 영향을 받았습니다. 회사에 따르면 오프라인 콜드월렛은 안전하게 보호됐습니다. 이 감지 시각은 공격자가 최초로 접근한 시점을 의미하지는 않습니다.
19:57–21:06 UTC: 이상 거래로 경보 발령
19:57에 분석가 DCF GOD는 새로운 지갑이 USDT0로 1,967만 달러를 사용하여 6분 만에 이더(ETH) 7,111개를 구매한 사실을 알렸습니다. 이 과정에서 시장가보다 최대 5% 비싸게 매수한 것으로 나타났습니다.
이 행위는 누군가 자금을 빠르게 이동하는 것을 우선시한 정황임을 보여줍니다. 아직 동기는 명확하지 않았습니다.
21:06까지는 버블맵스(Bubblemaps)가 비트겟 지갑에서 단일 수신 주소로 약 1억 8천만 달러가 이동되었고, 이어 여러 개의 지갑으로 분산된 사실을 보고했습니다.
21:30 UTC: 첸, 침해 사실 공식 확인
첸의 보안 공지에는 초기 손실액이 3억 5천 1백 6십만 달러로 제시됐고, 출금이 중단된 사실이 확인됐습니다.
이 공지는 비트겟이 감지 시간을 밝힌 지 약 3시간 뒤에 발표됐습니다. 이 시차는 대응 과정에 의문을 남기지만, 해당 기간 내내 자금이 계속 유출됐다는 증거는 되지 않습니다.
9월 25일 00:43 UTC: 의심받는 침입 경로 밝혀짐
첸은 공격자가 지갑 운영을 통제하는 핵심 백엔드 시스템을 침해했다고 밝혔습니다.
공격자는 허위 거래 데이터를 입력해 비트겟의 인가 절차를 유도했습니다. 쉽게 말해 비트겟의 내부 시스템이 자체적으로 위조 이체를 승인했습니다.
첸은 프라이빗키 유출 가능성은 배제됐다고 했습니다. 다만 백엔드 접근 방식과 통제 실패 원인 등은 추가 공개 설명이 필요합니다.
14:03 UTC: 손실액 3억 8천 7백 5십만 달러로 증가
비트겟은 자캐시(Z캐시)와 트론(TRON) 자산이 추가로 영향을 받은 것을 반영해 손실 추정액을 상향 조정했습니다. 증가분은 최초 해킹 피해 규모를 더 정확히 집계한 결과라고 설명했습니다.
회사 측은 취약점이 이미 수정됐다고 밝혔습니다. 출금 재개는 약속하지 않았지만, 9월 26일 04:00 UTC까지 출금 계획을 발표하겠다고 약속했습니다.
당국이 북한 연루를 의심하는 이유
첸은 북한 조직과 일치하는 IP 패턴 및 블록체인 활동을 근거로 들었습니다. 몇몇 특징이 FBI가 북한 소행으로 결론 내린 2025년 2월 바이빗(Bybit) 해킹 사건과 유사합니다.
- 조작된 인가 절차: 비트겟은 허위 명령이 인가 시스템에 도달했다고 설명합니다. 바이빗에서는 해커가 인터페이스를 조작해 서명자가 악성 거래를 승인하게 속였습니다. 방식은 다르지만, 둘 다 인가 과정을 악용했습니다.
- 빠른 자산 전환: 비트겟 관련 자금은 신속히 이더(ETH)로 대체됐습니다. FBI는 바이빗 해킹 자금도 빠르게 다른 암호화폐로 교환됐다고 밝혔습니다.
- 여러 지갑으로 자금 분산: 버블맵스는 다수의 수신 지갑을 포착했습니다. FBI에 따르면 바이빗 해킹 자금도 수천 개 주소로 분산됐습니다.
- THOR체인 사용: 미스트트랙(MistTrack)이 비트겟 해킹 자금이 이 프로토콜로 이전된 사실을 확인했고, 이는 바이빗 자금에도 적용됐습니다.
이러한 유사점은 추가 조사의 필요성을 뒷받침합니다. 그러나 이들 정황만으로 비트겟 해킹의 범인을 단정할 수 없습니다.
