비트겟 3억5,160만 달러 비인가 전송: ‘거래소에 맡긴 코인’은 누구 것인가

By ahn

2026년 09월 27일 8 Min Read

※ 본 글은 정보 제공 목적이며 특정 가상자산의 매수·매도를 권유하지 않습니다.
※ 작성 기준일: 2026년 9월 27일 (시세·지표는 해당 시점 기준)

2026년 9월 25일 새벽 비트겟(Bitget)의 핫월렛·웜월렛에서 3억5,160만 달러 규모의 비인가 전송이 발생해 출금이 전면 중단됐고, 이후 집계 범위가 넓어지면서 영향 규모는 약 3억8,750만 달러로 상향됐습니다. 거래소는 개인키(프라이빗키) 유출은 배제됐고 콜드월렛과 이용자 잔고는 안전하다고 밝혔으며, 9월 26일 비트코인(9월 28일)부터 시작하는 4단계 출금 재개 일정을 공개했습니다. 이 사고가 국내 이용자에게 남기는 실질적 질문은 “비트겟이 얼마를 잃었나”가 아니라 “내가 거래소에 맡긴 코인은 법적으로 어떤 상태이고, 그 보호가 해외 거래소에서는 어디까지 미치는가”입니다.

1. 지금까지 확인된 사실 — 시간 순 정리

숫자와 시각은 매체별로 표기 기준이 다릅니다. 아래 표는 각 항목의 출처를 함께 적었습니다.

시점(KST)	내용	출처
9월 25일 02:31:11	비트겟 보안 시스템이 일부 핫월렛·웜월렛의 이상 전송 감지	토큰포스트 9월 25일 보도
9월 25일 오전	출금 일시 중단, 입금·거래는 정상 운영 유지	한국경제 9월 25일 보도
9월 25일	CEO 그레이시 첸 “개인키 유출 가능성은 배제됐다”, 원인은 지갑 서비스 백엔드 침해	블록미디어·코인데스크 9월 25일 보도
9월 25일	“북한 특정 조직이 쓰는 VPN과 일치하는 IP 일부 확인”, 다만 귀속 조사는 초기 단계	블록미디어 9월 25일 보도
9월 25일	이용자 보호기금 규모를 4억6,400만 달러 이상으로 제시, 손실 전액 보장 범위라고 주장	한국경제·코인데스크 9월 25일 보도
9월 26일	영향 규모 약 3억8,750만 달러로 상향(ZEC·TRON 등 추가 집계 반영), 4단계 출금 재개 일정 공개	블루밍비트 9월 26일 보도
9월 27일	서클·테더가 동결한 금액은 약 31만8,000달러 수준	위키트리 9월 27일 보도

발생 시각은 국내 매체 사이에서 한 시간가량 엇갈립니다. 토큰포스트는 한국시간 9월 25일 오전 2시 31분 11초, 한국경제는 UTC 기준 오후 6시 31분으로 적었습니다. 사고 인지 시점과 최초 전송 시점 중 어느 쪽을 표기했는지가 매체마다 다를 수 있으므로, 이 글에서는 거래소 공지를 인용한 국내 보도의 표현을 그대로 병기했습니다.

공개된 출금 재개 일정은 자산별 4단계입니다(블루밍비트 9월 26일 보도, 각 단계 08:00 UTC = 17:00 KST 기준).

9월 28일 — 비트코인(BTC)
9월 29일 — 이더리움(ETH), 이더리움·BNB체인·아비트럼·베이스·옵티미즘 네트워크
9월 30일 — 테더(USDT), 이더리움·BNB체인·솔라나·트론 네트워크
10월 2일 — 기타 토큰, 법정화폐, P2P 거래

2. ‘비인가 전송’은 개인키 유출과 무엇이 다른가

거래소 사고 보도에서 “해킹”이라는 한 단어에 묶이는 사건들은 기술적으로 성격이 크게 다릅니다.

핫월렛·웜월렛·콜드월렛의 분업

거래소는 이용자 자산을 한 지갑에 담아두지 않습니다. 출금 요청에 즉시 응답해야 하는 소액은 인터넷에 연결된 핫월렛, 중간 단계의 웜월렛, 그리고 대부분의 잔고는 인터넷과 물리적으로 분리된 콜드월렛에 나눠 보관하는 구조가 표준입니다. 이번 사고에서 비트겟이 “콜드월렛은 완전히 안전하며 침해는 핫월렛·웜월렛 계층의 일부에 국한됐다”고 강조한 이유가 여기에 있습니다(한국경제 9월 25일 보도).

백엔드 침해: 열쇠를 훔친 게 아니라 창구를 속였다

블록미디어 9월 25일 보도에 따르면 비트겟은 “해커가 지갑 서비스의 핵심 백엔드 시스템에 침투한 뒤 송금 정보를 위조하고 승인 서명 절차를 작동시키는 방식”으로 자금이 빠져나갔다고 설명했습니다. 코인데스크는 같은 날 CEO 발언을 “은행 자체 창구에 위조된 출금 전표를 통과시킨 것”에 비유했습니다.

즉 공격자는 서명 열쇠 자체를 탈취한 것이 아니라, 정상 요청으로 보이도록 위조한 지시를 시스템이 스스로 승인하게 만들었습니다. 거래소가 “개인키 유출은 배제됐고, 이는 더 심각한 위험 시나리오가 제거됐다는 의미”라고 말한 것은 이 맥락입니다(블록미디어 9월 25일 보도).

다만 이 구분을 안심의 근거로 확대해 읽는 것은 위험합니다. 개인키가 안전하다는 것이 빠져나간 자산이 돌아온다는 뜻은 아닙니다. 승인 절차를 속일 수 있는 백엔드 결함은 열쇠 관리가 아무리 견고해도 무력화될 수 있다는 점에서, 오히려 내부 통제 설계의 문제를 가리킵니다.

3. 북한 연루 의혹 — 근거와, 근거가 닿지 않는 곳

그레이시 첸 CEO는 “북한의 특정 조직이 사용하는 VPN과 일치하는 IP 주소 일부를 확인했다”며 “공격 양상이 과거 북한 조직이 벌인 공격과 매우 비슷해 보인다”고 밝혔습니다(블록미디어 9월 25일 보도). 해외 보도에서는 탈취 자금이 과거 북한 귀속 사건에서 쓰인 지갑들과 겹치고, 세탁 경로가 유사하다는 분석이 추가로 제시됐습니다(더해커뉴스 9월 25일 보도).

동시에 확인해야 할 것은 이 정황의 한계입니다.

첸 CEO 본인이 귀속 조사가 “아직 초기 단계”라고 공지했고, 공격 방식에 대해서는 “추측하지 않겠다”고 선을 그었습니다(토큰포스트 9월 25일 보도).
외부 보안업체인 맨디언트(Mandiant)와 슬로우미스트(SlowMist)의 조사가 진행 중이며, 크립토슬레이트 9월 25일 보도는 이들이 귀속을 독립적으로 확인한 단계는 아니라고 명시했습니다.
IP 일치와 온체인 패턴 유사성은 정황 증거입니다. 어느 정부기관도 공식 귀속을 발표하지 않은 상태에서 “북한 소행”으로 단정하는 것은 현재 공개된 근거를 넘어섭니다.

4. 숫자로 보는 현재 위치

구분	초기 발표	현재(9월 27일 기준)	비고
영향 규모	3억5,160만 달러	약 3억8,750만 달러	ZEC·TRON 등 추가 집계 반영, 신규 손실이 아니라는 게 거래소 설명(블루밍비트 9월 26일)
원화 환산	약 4,813억 원	약 4,771억 원	매체별 적용 환율·기준일 차이(토큰포스트 9월 25일 / 위키트리 9월 27일)
출금	전면 중단	9월 28일 BTC부터 4단계 재개 예정	각 단계 17:00 KST
동결 회수	—	약 31만8,000달러	전체의 1% 미만, ETH 6만3,000개 이상은 발행사 동결 권한 없음(위키트리 9월 27일)
이용자 보호기금	—	4억6,400만 달러 이상(5,500 BTC 기준)	초기 피해액이 기금 가치의 약 76%에 해당(크립토슬레이트 9월 25일)

2026년 사고 규모 맥락에서 보면 이번 건은 포춘 9월 25일 보도 기준 올해 최대 규모로, 9월 초 리퀴드 네트워크 3억1,900만 달러, 7월 말 콜드카드 약 1억1,600만 달러를 앞섭니다. 체이널리시스는 2025년 북한 연계 해커의 탈취 규모를 20억 달러로 집계했습니다(포춘 9월 25일 보도 인용).

5. 시장은 조용했습니다 — 그것이 안심의 근거는 아닙니다

토큰포스트마켓·코인마켓캡 집계 기준으로 2026년 9월 26일 04시 59분 KST 비트코인은 84,008.04달러(전일 대비 -0.43%), 이더리움은 2,692.33달러(+0.01%)였습니다. 9월 27일 04시 59분 KST에는 비트코인 83,998.41달러(-0.01%), 이더리움 2,683.66달러(-0.32%)로, 사고 이후 이틀간 가격 변동은 제한적이었습니다.

시장 반응이 작았던 배경으로는 ① 콜드월렛 잔고가 영향받지 않았다는 발표, ② 보호기금이 손실을 흡수한다는 주장, ③ 특정 거래소 사고가 자산 자체의 네트워크 문제가 아니라는 인식이 거론됩니다.

그러나 가격이 움직이지 않았다는 사실은 개별 이용자의 위험이 해소됐다는 뜻이 아닙니다. 거래소 리스크는 시장 평균이 아니라 그 거래소에 잔고를 둔 사람에게만 집중적으로 발생하는 위험입니다. 출금이 막힌 며칠 동안 이용자는 가격 변동에 대응할 수단 자체를 잃습니다. 지수가 평온한 것과 내 자산을 옮길 수 있는 것은 완전히 다른 문제입니다.

6. 국내 제도는 어디까지 보호하나

2024년 7월 19일 시행된 가상자산 이용자 보호 등에 관한 법률(2024년 3월 12일 공포, 법률 제20372호)은 국내 신고 사업자에게 다음 의무를 부과합니다.

이용자 예치금의 보호 (제6조)

가상자산사업자는 이용자의 예치금(원화)을 고유재산과 분리해 은행 등 공신력 있는 기관에 예치 또는 신탁해야 하고, 그 예치금이 이용자의 재산임을 밝혀야 합니다. 해당 예치금에 대한 상계·압류는 금지됩니다. 사업자가 파산해도 원화 예치금은 사업자의 채권자에게 넘어가지 않는 구조를 만든 조항입니다.

이용자 가상자산의 보관 (제7조)

사업자는 이용자 명부를 작성·비치하고, 이용자가 위탁한 가상자산과 동일한 종류·수량을 실질적으로 보유해야 합니다. 또한 대통령령으로 정하는 일정 비율 이상을 외부 인터넷과 분리된 콜드월렛에 보관해야 합니다. 시행령·감독규정상 이 비율은 이용자 가상자산 경제적 가치의 80% 이상으로, 종전 특정금융정보법 체계의 70%에서 상향됐습니다(ZDNet코리아·디지털데일리 2023년 12월 11일 입법예고 보도, 뉴스핌 2024년 7월 12일 시행 시점 보도).

보험 가입 등 (제8조)

해킹·전산장애 등 사고에 대비해 보험·공제에 가입하거나 준비금을 적립해야 합니다. 보상한도는 핫월렛 보관 가상자산 경제적 가치의 5% 이상이며, 최소 기준은 원화마켓 거래소 30억 원 이상, 코인마켓 거래소·지갑·보관업자 5억 원 이상입니다(위 보도 기준).

핫월렛 5%라는 기준은 이번 비트겟 사례에 대입해보면 시사점이 분명합니다. 이 의무는 사고가 나면 전액을 메워준다는 약속이 아니라, 최소한의 흡수 여력을 규제로 강제한 하한선입니다.

해외 거래소에서는 이 보호가 어디서 끊기는가

비트겟은 금융정보분석원(KoFIU)에 신고된 국내 가상자산사업자가 아닙니다. 국내 신고 사업자는 업비트·빗썸·코인원·코빗·고팍스 등이며, 위 제6조~제8조의 의무는 신고 사업자에게 적용됩니다. 해외 거래소에 둔 잔고에 대해서는 예치금 신탁, 콜드월렛 80% 보관, 보험·준비금 하한 중 어느 것도 국내법상 의무로 강제되지 않습니다. 사고가 나면 그 거래소가 자체적으로 마련한 기금과 정책에 의존하게 되고, 분쟁이 생겨도 국내 금융당국의 검사·감독 권한이 직접 미치지 않습니다.

규제 환경도 움직이고 있습니다. 2025년 3월 FIU는 구글에 요청해 미신고 상태로 내국인 대상 영업을 하던 국외 사업자 17곳의 앱 국내 접속차단을 시행했습니다(뉴시스 2025년 3월 28일 보도, 해당 17곳 목록에 비트겟은 포함되지 않았습니다). 2026년 9월 23일 아시아경제 보도에 따르면 방송미디어통신심의위원회와 FIU는 사기 피해가 확정되지 않아도 위법성과 예방 조치 필요성이 인정되면 차단 절차에 들어가는 방향으로 협의 중입니다. 해외 거래소 이용 자체가 곧 불법은 아니지만, 접근성이 정책 변화에 따라 달라질 수 있다는 점은 별도의 위험 요인입니다.

7. 이용자가 실제로 점검할 수 있는 것

사고를 예측할 수는 없지만, 사고가 났을 때 내 선택 폭을 넓혀두는 일은 가능합니다.

출금 지연은 가장 먼저 나타나는 신호입니다. 특정 자산·네트워크만 출금이 막히거나 “점검 중” 표시가 길어지는 패턴을 기록해 두는 편이 낫습니다.
한 거래소에 전량을 두지 않습니다. 분산 자체가 수익을 만들지는 않지만, 한 곳이 멈췄을 때 대응 수단을 남깁니다.
자체 지갑 보관은 트레이드오프입니다. 거래소 리스크는 줄지만 시드구문 분실·피싱·서명 실수라는 다른 위험을 본인이 전부 떠안습니다. 어느 쪽이 낫다고 일반화할 수 없고, 금액과 거래 빈도에 따라 판단이 갈립니다.
2FA와 출금 화이트리스트를 설정합니다. 이번 사고처럼 거래소 백엔드가 뚫린 경우에는 개인 설정이 방어 수단이 되지 않지만, 훨씬 흔한 개인 계정 탈취에는 유효합니다.
거래소가 공개한 보호기금·준비금 근거를 확인합니다. 금액만이 아니라 구성 자산과 검증 방식까지 공개하는지를 함께 봅니다.

8. 앞으로 지켜볼 조건부 시나리오

아래는 예측이 아니라 각 상황에서 확인해야 할 항목입니다.

상황	확인할 지점	유의점
예정대로 9월 28일부터 단계 재개	실제 출금 처리 속도, 일일 한도 제한 여부, 지연 자산군	재개 발표와 정상 처리는 별개입니다
일정이 밀리거나 일부 자산만 재개	지연 사유 공지의 구체성, 보호기금 사용 내역 공개 여부	사유 설명 없는 연기가 반복되면 성격이 달라집니다
피해 보전·기금 사용 방침 발표	보전 대상과 방식, 기금 소진 후 잔여 여력, 제3자 검증	잔고 표시가 유지되는 것과 실제 인출 가능성은 다릅니다
귀속 조사 결과 공식 발표	맨디언트·슬로우미스트 보고서, 정부기관 귀속 여부	현재까지는 정황 단계이며 확정으로 읽을 수 없습니다

9. 자주 묻는 질문

Q. 비트겟이 “이용자 자산은 안전하다”고 했는데, 그대로 믿어도 됩니까?

A. 그 문장은 두 가지를 구분해 읽어야 합니다. 거래소 발표는 콜드월렛 잔고가 영향받지 않았고 계정 잔고 표시가 정확하다는 의미이며, 손실은 4억6,400만 달러 이상 규모라는 이용자 보호기금으로 보장한다는 주장입니다(한국경제·코인데스크 9월 25일 보도). 다만 크립토슬레이트 9월 25일 보도는 초기 피해액이 이 기금 가치의 약 76%에 해당한다고 계산했습니다. 잔고 표시와 실제 인출 가능성은 출금이 정상화될 때 확인됩니다.

Q. 국내 거래소에서도 같은 사고가 날 수 있습니까?

A. 기술적으로 가능합니다. 가상자산이용자보호법이 콜드월렛 80% 이상 보관과 핫월렛 5% 이상 보상한도를 강제하는 것은 사고를 없애기 위한 것이 아니라, 사고가 났을 때 피해 규모와 흡수 여력을 제도적으로 제한하기 위한 장치입니다. 국내 거래소에서도 과거 해킹 사례가 있었습니다.

Q. 해외 거래소를 쓰면 국내법 보호를 전혀 못 받습니까?

A. 가상자산이용자보호법상 예치금 신탁·분리보관·보험 의무는 국내 신고 사업자에게 적용됩니다. 해외 미신고 사업자에 둔 잔고는 그 거래소의 자체 정책에 의존하며, 국내 당국의 감독 권한이 직접 미치지 않습니다.

Q. 개인키가 유출되지 않았다는 건 좋은 소식입니까?

A. 더 심각한 시나리오가 아니라는 의미는 맞습니다. 다만 이번 사고는 개인키가 안전해도 승인 절차를 속이는 방식으로 자금이 빠져나갈 수 있음을 보여줬습니다. 열쇠 관리만으로 거래소 리스크가 해소되지 않는다는 점이 오히려 핵심입니다.

결론: 재개 발표가 아니라 실제 출금 처리 속도를 보십시오

이번 사고에서 확인된 것은 피해 금액이 아니라 구조입니다. 거래소에 자산을 맡기는 순간 이용자는 가격 위험 외에 그 거래소의 내부 통제와 유동성에 대한 위험을 추가로 부담하게 되며, 그 위험의 크기는 어느 나라 법이 그 거래소에 적용되는지에 따라 달라집니다. 9월 28일 이후 출금이 공지대로 처리되는지, 보호기금 사용 내역이 어떻게 공개되는지, 외부 조사 결과가 언제 어떤 형태로 나오는지가 앞으로 확인할 지점입니다.

최종 업데이트: 2026.09.27

참고 자료

본 콘텐츠는 2026년 9월 27일 기준 공개된 정보를 정리한 일반적인 정보 제공 자료이며, 특정 가상자산이나 거래소의 매수·매도 또는 이용을 권유하지 않습니다. 가상자산은 예금자보호법에 따른 보호 대상이 아니고 원금 손실은 물론 전액 손실이 발생할 수 있으며, 거래소 해킹·출금 중단·전산장애·상장폐지·프로젝트 중단 등의 위험이 상시 존재합니다. 본문의 수치와 일정은 사고 조사 진행에 따라 사전 통지 없이 바뀔 수 있고 정확성·완전성을 보장하지 않습니다. 국내 신고 가상자산사업자 목록은 금융정보분석원(KoFIU) 공지에서 확인할 수 있으며, 본 글은 미신고 사업자의 이용을 권유하지 않습니다. 투자와 거래소 선택에 관한 최종 판단 및 그에 따른 모든 결과의 책임은 본인에게 있으며, 작성자와 운영자는 본 콘텐츠를 근거로 한 결정에 대해 법적 책임을 지지 않습니다.

#비트겟 #Bitget #거래소해킹 #비인가전송 #핫월렛 #콜드월렛 #가상자산이용자보호법 #예치금신탁 #미신고거래소 #코인정보

Tags:

가상자산이용자보호법 거래소 해킹 비인가 전송 비트겟 코인 보안 코인정보 콜드월렛

비트겟 3억5,160만 달러 비인가 전송: ‘거래소에 맡긴 코인’은 누구 것인가

1. 지금까지 확인된 사실 — 시간 순 정리