디센트 지갑 XRP 1240만개 탈취: “개인 지갑이 더 안전하다”는 전제가 흔들렸다

By ahn

2026년 09월 29일 7 Min Read

※ 본 글은 정보 제공 목적이며 특정 가상자산의 매수·매도를 권유하지 않습니다. ※ 작성 기준일: 2026년 9월 29일 (시세·지표는 해당 시점 기준)

국내 하드웨어·앱 지갑 브랜드 디센트(D’CENT)에서 XRP가 대량으로 빠져나간 사고는 2026년 9월 29일 현재 원인이 확정되지 않았고, 탈취 규모도 보도마다 1,000만 개에서 1,240만 개 이상까지 엇갈립니다. 이 글은 어느 숫자도 단정하지 않고 매체별 집계를 병기합니다. 뼈대는 셋입니다. 운영사 아이오트러스트가 9월 16일 앱 월렛의 비정상적인 자산 이동을 확인했다는 점, 피해가 초기 20여 명에서 수천 개 지갑으로 커졌다는 점, 이 피해가 국내 가상자산이용자보호법의 보호 장치와 겹치지 않는 영역에서 났다는 점입니다.

1. 지금 무슨 일이 벌어지고 있나 — 타임라인과 엇갈리는 숫자

9월 16~18일 — 아이오트러스트는 “앱 월렛에서 비정상적인 자산 이동을 확인했다”고 공지했습니다(토큰포스트). 초기 파악은 약 20명·1억 5,000만원 상당이었으나 18일 신고가 약 110건으로 늘었고, 리플 외에 비트코인·테더·트론도 포함됐습니다(ZDNet Korea).
9월 22일 — 운영사가 한국인터넷진흥원(KISA)에 분석 자료를 전달하고 사이버위기경보 발령을 요청했습니다. CBC뉴스는 9월 25일 기준 “정확한 피해 범위와 사고 경위는 아직 명확히 밝혀지지 않았다”고 전했습니다(CBC뉴스).
9월 24일 — 분석 플랫폼 XRPL.to 집계로 6,678개 계정에서 1,174만 6,198개 인출 추정(M이코노미뉴스). 같은 날 파이낸셜뉴스는 “1,000만 개가 넘는” 추정과 슬로미스트의 전체 피해 추정치 약 657만 달러를 전했습니다(파이낸셜뉴스).
9월 29일 — 토큰포스트는 1,240만 개 이상, 약 1,800만 달러(약 244억원), 피해 지갑 7,000개 초과로 전했습니다. 9월 15~20일 최소 여섯 차례에 1,170만 개, 21일 이후 64만 3,700개가 추가 탈취됐다는 집계입니다(토큰포스트 뉴스브리핑).

숫자가 갈리는 이유는 셋입니다. 탈취가 여러 차례 이어져 집계 시점마다 수량이 다르고, XRP만 세는 집계와 다른 자산을 합친 추정이 섞여 있으며, 달러 환산 시점도 다릅니다. 확정된 피해액은 없습니다.

2. 원인은 확정되지 않았다

공개된 것은 가설의 목록입니다. 아이오트러스트는 “과거 버전 앱 월렛의 복구 문구 생성 과정에서 난수 생성 문제가 있었을 가능성을 조사하는 한편, 피싱이나 복구 문구 유출 가능성도 검토하고 있다”는 입장으로, 앱 취약점과 시드 유출을 둘 다 열어뒀습니다(토큰포스트 9월 29일 보도). 오현옥 한양대 교수는 “과거 앱에서 니모닉 코드를 만들거나 거래에 서명할 때 사용한 난수가 충분하지 않았을 가능성이 있다”고 분석했고, 회사는 “현재 스캠을 1차적 원인으로 보고 있지는 않다”고 밝혔습니다(ZDNet Korea).

단서 하나는 분명합니다. 회사는 “하드웨어 월렛 자체에서 시작된 피해는 확인되지 않았지만, 하드웨어 월렛의 복구 문구를 과거 앱 월렛에 입력한 경우에는 별도 조치가 필요”하다고 안내했습니다. 원인 규명이 끝나지 않았어도 위험의 전파 경로는 드러났다는 뜻입니다.

3. 하드웨어 지갑·앱 지갑·시드구문은 각각 어디서 깨지는가

“거래소보다 개인 지갑이 안전하다”는 말은 절반만 맞습니다. 정확히는 거래소 신용 위험을 키 관리 위험으로 교체하는 것이고, 그 위험은 이용자에게 옮겨옵니다.

하드웨어 지갑 — 서명은 지켜도 생성은 못 지킬 수 있다

방어선은 개인키가 기기 밖으로 나가지 않는다는 점이지만, 이 방어는 서명 단계를 지킬 뿐 키 생성 단계를 지키지 않습니다. 난수 엔트로피가 부족하면 기기가 튼튼해도 그 키는 처음부터 추측 가능한 영역에 있습니다. 이번 난수 가설이 가리키는 계층이 여기입니다.

앱 지갑 — 범용 OS 위에 놓인 키

앱 지갑은 키와 시드가 범용 운영체제 위에 있어 공격면이 넓습니다. 난수 생성기 구현 품질, 백업·동기화 경로, 클립보드 탈취, 위장 앱, 무심코 승인한 서명 요청이 모두 해당합니다.

시드구문 — 모든 계층 위의 단일 실패점

시드구문은 하드웨어·앱 모두의 위에 있는 최상위 열쇠입니다. 한 번이라도 인터넷 연결 환경에 입력되거나 사진·메모에 저장되면 이후 하드웨어 지갑으로 옮겨도 위험이 남습니다. 파생 주소 전체가 같은 시드에 묶이기 때문입니다.

4. 데이터로 보는 현재 위치

구분	초기 보도	최신 보도	출처
탈취 XRP	1,000만 개 초과(9.24)	1,240만 개 이상(9.29)	파이낸셜뉴스 / 토큰포스트
중간 집계	—	1,174만 6,198개(9.24)	XRPL.to·M이코노미
피해 금액	약 657만 달러	약 1,800만 달러·244억원	슬로미스트 / 토큰포스트
피해 지갑	약 20명→110건(9.18)	6,678개→7,000개 초과	ZDNet / 토큰포스트
사고 원인	난수 생성 문제 제기	앱 취약점·피싱·시드 유출 조사 중	아이오트러스트, ZDNet

같은 9월 말 거래소에서도 대형 사고가 있었습니다. 비트겟은 9월 24일(현지시각) 핫월렛의 비정상 자금 이동을 감지해 출금을 중단했고, 최초 약 3억 5,160만 달러였던 피해액은 약 3억 8,750만 달러로 상향됐습니다(블록미디어 9월 25일, 9월 27일). 제3자 보안 제품의 취약점으로 내부 자격증명이 탈취돼 위험 통제를 우회한 출금 명령이 실행된 것으로 설명됐습니다. 비트겟은 4억 6,400만 달러 이상인 이용자 보호 기금으로 손실을 충당할 수 있다고 밝혔습니다(블록미디어 9월 25일 보도). 출금 재개는 예고대로 시작된 것이 확인됩니다. 9월 28일 08:00 UTC(한국시간 오후 5시)에 BTC 출금이 개시됐고, 이더리움 29일·테더 30일·나머지 10월 2일 일정이 공지됐습니다(The Block 9월 28일 보도).

항목	거래소 보관(수탁)	개인 지갑(자가수탁)
깨지는 지점	사업자 시스템·권한·제3자 솔루션	키 생성·시드 보관·서명 승인
복구 창구	거래소 공지·보호 기금·감독당국	사실상 없음(되돌릴 수 없음)
제도적 완충	예치금 신탁·콜드월렛 비율·보험	해당 없음

시장 배경입니다. 2026년 9월 29일 05시 02분 KST 토큰포스트 집계로 비트코인 8만 3,363.85달러(-1.59%), 이더리움 2,674.13달러(-0.63%)였고(토큰포스트), 08시 19분 블록미디어 집계로는 바이낸스 기준 8만 3,524달러, 업비트 1억 1,364만원, 이더리움 2,688.39달러, XRP 1.49달러입니다(블록미디어). SEC의 가상자산 FAQ 갱신 뒤 경계감이 번지며 롱 청산이 2억 9,077만 달러에 달했습니다(토큰포스트 브리핑).

5. 자가수탁을 규제 대상으로 끌어들이는 해외 흐름

같은 주에 자가수탁 지갑을 규제 범위로 끌어들이는 조치가 두 건 확인됐습니다.

브라질 중앙은행은 결의 588호로 인가 기관이 1만 달러 이상의 자기보관형 지갑 입출금 거래를 금융활동통제위원회(COAF)에 보고하도록 했습니다(10월 1일 시행). 자기보관 지갑이 “모니터링과 위험 평가 목적의 정보 가용성을 낮출 수 있다”는 점이 근거였고, 같은 날 시행되는 결의 589호는 무인가 사업자와의 거래를 금지합니다(Bitcoin.com News 9월 24일 보도).

러시아는 거래소와 디지털 수탁기관의 등록 절차를 마련해 10월 5일부터 신청을 접수합니다. 임원 자격 요건과 중앙은행 심사 절차가 포함되고, 디지털 예탁기관에는 최소 자기자본 요건이 적용됩니다(CBC뉴스 9월 28일 보도).

방향은 같습니다. “개인이 직접 보관하면 규제 밖”이라는 전제를 유지하지 않겠다는 것입니다. 다만 둘 다 피해를 보상하는 장치는 아닙니다.

6. 국내 제도는 개인 지갑 피해를 어디까지 보호하는가

가상자산이용자보호법의 보호 장치는 사업자를 상대로 설계돼 있습니다. 예치금은 고유재산과 분리해 은행에 예치·신탁하고, 이용자 가상자산은 경제적 가치의 80% 이상을 콜드월렛에 보관해야 합니다. 보험·준비금은 핫월렛 보관분 가치의 5% 이상을 보상 한도로 하며, 실명계좌 연동 사업자 최소 30억원, 그 외 5억원 이상입니다(ZDNet Korea 2023년 12월 11일 보도).

세 장치 모두 사업자가 이용자 자산을 맡아 보관하는 상황을 전제합니다. 시드구문을 이용자가 직접 들고 있는 비수탁형 지갑에는 맡긴 자산도, 신탁할 예치금도 없습니다. 최진홍 변호사는 법 시행 전부터 비수탁형 지갑사업자 등의 “규율 공백으로 인해 피해자 발생이 우려된다”며, 이들은 “개인 지갑 암호 등을 관리할 뿐 가상자산을 보관하지 않기 때문에 가상자산이용자보호법 적용대상에서 제외된다”고 설명했습니다(이투데이 2024년 1월 8일 보도).

원인이 앱 결함으로 확정되더라도 이는 보관·보험 의무 위반이 아니라 소프트웨어 하자에 따른 민사 책임 영역에 가깝습니다. 2026년 9월 29일 기준 아이오트러스트의 보상 기준과 국내 금융당국의 공식 조사 착수 여부는 확인되지 않았습니다.

7. 이용자 점검 항목과 앞으로의 시나리오

특정 제품의 사용 중단이나 특정 자산의 매매를 권하는 목록이 아닙니다. 자가수탁을 쓴다면 원인 규명과 별개로 지금 확인 가능한 항목입니다.

지갑 앱 버전 확인 — 운영사는 최신 버전 업데이트 전 앱 지갑 거래를 하지 말라고 권고했습니다.
하드웨어 지갑의 복구 문구를 과거 앱 월렛에 입력한 적이 있는지 되짚기 — 회사가 별도 조치를 명시한 경우입니다.
시드구문이 사진·메모·메신저에 남아 있는지 점검 — 남아 있다면 파생 주소 전체가 같은 위험을 공유합니다.
새 시드는 생성 환경부터 정리한 뒤 만들기 — 기존 시드를 다른 기기로 옮기는 것으로는 풀리지 않습니다.
온체인에서 자기 주소가 이동 내역에 포함됐는지 확인 — XRP는 XRPL 익스플로러에서 조회됩니다.
한 시드·한 기기·한 거래소에 전부 두지 않기. 신고 사업자 여부는 금융정보분석원(KoFIU) 공지로 확인합니다.

시나리오 A — 원인이 특정 앱 버전의 키 생성 결함으로 좁혀지는 경우. 영향 범위가 그 버전 시드에 한정되면 추가 유출은 줄고, 논의는 하자 책임과 보상 범위로 옮겨갑니다. 무효화 조건은 최신 버전 시드에서도 유출이 확인되거나 다른 브랜드에서 동일 패턴이 나타나는 경우입니다.

시나리오 B — 원인이 공통 라이브러리·구현으로 확대되는 경우. 지갑 생태계 전반의 키 생성 신뢰 문제로 성격이 바뀌고, 자가수탁 지갑 사업자를 규율 대상에 넣는 국내 논의도 빨라질 수 있습니다. 무효화 조건은 영향 범위가 특정 버전으로 확인되는 경우입니다. 어느 쪽이든 온체인으로 나간 자산이 자동으로 돌아오지는 않습니다.

8. 자주 묻는 질문

Q. 탈취된 XRP는 정확히 몇 개입니까?

A. 확정되지 않았습니다. 9월 24일 파이낸셜뉴스는 1,000만 개 초과, 같은 날 M이코노미뉴스는 XRPL.to 기준 1,174만 6,198개, 9월 29일 토큰포스트는 1,240만 개 이상으로 전했습니다. 집계 시점과 방식이 달라 병기가 정확합니다.

Q. 하드웨어 지갑만 쓰면 안전합니까?

A. 서명 단계 위험은 줄지만 키 생성 단계의 난수 품질과 시드구문 관리는 별개 계층입니다. 회사도 복구 문구를 과거 앱 월렛에 입력했다면 별도 조치가 필요하다고 안내했습니다.

Q. 개인 지갑에서 자산을 잃으면 가상자산이용자보호법으로 보상받을 수 있습니까?

A. 예치금 신탁, 콜드월렛 80% 보관, 보험·준비금은 모두 가상자산사업자에게 부과되는 의무이고, 시드구문을 직접 보관하는 비수탁형 지갑은 적용 대상에서 제외됩니다. 손해 회복은 민사 책임 영역의 문제이며 개별 판단에는 법률 전문가의 조언이 필요합니다.

Q. 비트겟 출금은 실제로 재개됐습니까?

A. 재개가 확인됩니다. 9월 28일 08:00 UTC에 BTC 출금이 예정대로 시작됐고 이더리움 29일, 테더 30일, 나머지는 10월 2일로 공지됐습니다. 비트겟은 국내 신고 사업자가 아니므로 이 글은 해당 거래소 이용을 권하지 않습니다.

결론: 숫자보다 “내 시드가 어디를 거쳤는지”를 먼저 확인할 국면

확정된 것은 피해 규모도 원인도 아닙니다. 분명한 것은 자가수탁이 거래소 위험을 없애는 선택이 아니라 위험의 종류를 바꾸는 선택이고, 바뀐 위험에는 국내 제도상 완충 장치가 사실상 없다는 점입니다. 지켜볼 지점은 셋입니다. 영향 범위가 특정 앱 버전으로 좁혀지는지, 운영사가 보상 기준을 공개하는지, 자가수탁 규율 흐름이 국내 논의로 이어지는지입니다.

최종 업데이트: 2026.09.29

참고 자료

본 콘텐츠는 2026년 9월 29일 기준으로 공개된 정보를 정리한 일반적인 정보 제공 자료이며, 특정 가상자산의 매수·매도를 권유하거나 투자자문·투자일임을 제공하는 것이 아닙니다. 가상자산은 예금자보호법에 따른 보호 대상이 아니고 원금 손실은 물론 원금 전액 손실이 발생할 수 있으며, 가격 변동성이 매우 크고 해킹·개인키 분실·전산장애·상장폐지·프로젝트 중단 등의 위험이 상시 존재합니다. 특히 자가수탁 지갑에서 발생한 자산 유출은 온체인 거래를 되돌릴 수 없어 회수가 사실상 불가능할 수 있습니다. 본문의 수치와 원인 관련 내용은 조사가 진행 중인 사안으로 정확성·완전성을 보장하지 않으며 사전 통지 없이 변경될 수 있습니다. 투자 및 자산 보관 방식에 대한 최종 판단과 그에 따른 모든 결과의 책임은 본인에게 있으며, 작성자와 운영자는 본 콘텐츠를 근거로 한 어떠한 결정과 결과에 대해서도 법적 책임을 지지 않습니다. 본 글은 미신고 가상자산사업자의 이용을 권유하지 않으며, 국내 신고 사업자 목록은 금융정보분석원(KoFIU) 공지에서 직접 확인하시기 바랍니다.

#디센트지갑 #디센트해킹 #XRP탈취 #리플해킹 #아이오트러스트 #하드웨어지갑 #자가수탁 #시드구문 #가상자산이용자보호법 #비트겟출금재개

Tags:

디센트 지갑 XRP 1240만개 탈취: “개인 지갑이 더 안전하다”는 전제가 흔들렸다

1. 지금 무슨 일이 벌어지고 있나 — 타임라인과 엇갈리는 숫자

2. 원인은 확정되지 않았다