비트겟 해킹 3,870억 규모

비트겟이 2026년 9월 24일 18시 31분(UTC)에 핫월렛에서 승인되지 않은 출금이 나가는 것을 감지했다. 처음 공개된 피해액은 3억 5,160만 달러였고 이후 약 3억 8,750만 달러로 상향됐다. 같은 날 출금이 중단됐다. 지금 이 글을 찾는 사람이 알고 싶은 건 하나일 것이다. 내 돈은 언제 뺄 수 있나. 공식 공지 기준 9월 28일부터 단계적으로 재개되고 10월 2일에 완전 복구 예정이다. 아래에 자산별 순서와, 그 전까지 무엇을 확인해야 하는지를 정리했다.

출금은 언제 풀리나

비트겟 공식 공지는 9월 28일 08:00(UTC)부터 단계적으로 재개하고 10월 2일 08:00(UTC)에 완전 복구될 것으로 예상한다고 밝혔다. 한국시간으로는 각각 9월 28일 오후 5시, 10월 2일 오후 5시다.

자산별 순서는 아래와 같다. 다만 이 세부 일정은 공식 지원 페이지가 아니라 공지를 보도한 매체에서 나온 것이라, 날짜가 다가오면 앱에서 한 번 더 확인하는 게 안전하다.

시점(한국시간)	풀리는 자산
9/28 오후 5시	비트코인 네트워크 BTC
9/29 오후 5시	이더리움·BNB체인·아비트럼·베이스·옵티미즘의 ETH
9/30 오후 5시	이더리움·BNB체인·솔라나·트론의 USDT
10/2 오후 5시	나머지 토큰, 법정화폐, P2P 거래

USDT를 들고 있다면 내 차례는 30일이다. 첫 날짜인 28일을 기준으로 계획을 세우면 이틀을 헛기다리게 된다.

그레이시 첸 대표는 일정에 대해 “보장할 수 없는 기간을 약속하지는 않겠다”고 했다. 일정을 못 믿을 이유로 읽기보다는 지연 가능성을 감안하라는 뜻으로 받아들이는 편이 맞다.

그리고 중요한 사실 하나. 출금만 막혔고 입금과 거래는 계속 열려 있었다. 포지션을 정리하지 못하는 상황은 아니었다는 뜻이다.

어떻게 뚫렸나

이번 건은 흔한 거래소 해킹과 방식이 다르다. 비트겟 설명에 따르면 공격자는 지갑 백엔드 시스템에 침투한 뒤 거래 데이터를 위조해 거래소 자체의 승인 절차를 통과시켰다. 시스템이 정상 출금이라고 판단해서 내보낸 것이다.

첸 대표는 이를 “은행 창구에 위조된 출금 전표를 밀어 넣은 디지털 판”이라고 표현했고, “개인키 유출은 배제됐다”고 밝혔다.

이 구분이 실무적으로 중요하다. 개인키가 털렸다면 모든 주소를 의심해야 하고 키를 전부 교체해야 한다. 반면 승인 로직이 속은 것이라면 소프트웨어 수정으로 막을 수 있다. 비트겟은 해당 취약점을 패치했다고 밝혔고, 구글 맨디언트와 블록체인 보안업체 슬로우미스트가 조사에 참여하고 있다. 서클과 테더는 공격자 지갑의 자산을 동결했다.

피해액이 움직였다는 점도 그대로 적어둔다. 처음 3억 5,160만 달러였다가 여러 네트워크에 걸친 추적이 진행되면서 약 3억 8,750만 달러로 올라갔다. 사고 직후 숫자가 바뀌는 건 정상이고 또 바뀔 수 있다.

내 잔고는 실제로 보전되나

비트겟은 그렇다고 말한다. 유저보호기금으로 5,500 BTC를 보유하고 있고 사고 시점 기준 약 4억 6,400만 달러 규모다. 피해액보다 크다. 첸 대표는 “유저 자금은 안전하며 계좌 잔고는 정확하고 자산은 보호된다”고 밝혔다.

여기서 두 가지를 같이 봐야 한다. 기금이 실재하고 공개돼 있으며 피해액보다 크다는 건 같은 규모의 사고를 겪은 다른 거래소들보다 분명히 나은 위치다. 동시에 이것은 거래소가 자기 지급능력에 대해 스스로 한 발표이고, 사고 이후 재무 상태에 대한 외부 감사 결과는 아직 공개되지 않았다.

결국 확인은 말이 아니라 행동으로 된다. 각 단계가 열렸을 때 출금이 평소 속도로 나가는지가 진짜 시험대다.

누가 했나 — 확정된 건 아니다

여러 매체가 북한 연계 라자루스 그룹의 소행으로 의심된다고 보도했다. 침투 방식과 이후 자금 이동 패턴을 근거로 든다.

다만 이는 확정이 아니다. 비트겟이나 조사에 참여한 기관이 발표한 결론이 아니라 보안 연구자와 언론이 제시한 가설이다. 가상자산 탈취 사건의 배후 지목은 자주 바뀌고 초기 추정이 틀린 사례도 있다. 참고로만 두고 판단을 바꾸지 않는 게 낫다. 누가 가져갔든 내가 출금할 수 있는지와는 상관이 없다.

지금 해야 할 일

정답은 사람마다 다르지만 순서는 있다.

• 앱에서 잔고를 직접 확인한다. 비트겟은 잔고가 정확하다고 밝혔다. 내 계좌가 예상과 맞는지부터 본다. 안 맞으면 일반 공지를 믿지 말고 고객지원에 티켓을 넣는다.
• 뉴스 때문에 서둘러 포지션을 정리하지 않는다. 거래는 계속 열려 있었다. 사고 직후에는 호가가 벌어지고 체결이 나빠지는 구간이 생긴다. 불안해서 던지는 건 안전 조치가 아니라 스트레스 상태의 매매 결정이다.
• 내 자산이 몇 번째 단계인지 확인한다. BTC와 USDT는 이틀 차이다.
• 재개 첫날 대기열을 예상한다. 출금이 풀리면 모두가 동시에 몰린다. 첫날 지연은 2차 사고의 증거가 아니다.
• 원래 거래소 잔고를 줄일 생각이었다면 지금이 그 계기다. 비트겟이 보전을 안 해줘서가 아니라, 보관을 남에게 맡긴다는 게 무슨 뜻인지 상기시키는 사건이라서다.

거래소에 돈을 두는 것에 대해

이번 사고에서 불편한 지점은 거래소가 공격당했다는 사실이 아니다. 어떻게 당했는가다. 개인키는 지켜졌고 콜드월렛도 지켜졌다. 그런데도 수억 달러가 나갔다. “이 출금이 정상인가”를 판단하는 시스템이 속았기 때문이다.

이런 실패 방식은 특정 거래소만의 문제가 아니고, 거래소 보안 페이지를 아무리 읽어도 예측할 수 없었다. 그래서 결론은 재미없는 쪽으로 간다. 거래에 필요한 만큼만 거래소에 두고, 나머지는 승인 시스템이 속아서 옮길 수 없는 곳에 둔다.

그리고 거래소는 사고 전 홍보가 아니라 사고 후 며칠간의 행동으로 판단하는 게 맞다. 이번 건에서 지켜볼 것은 세 가지다. 각 단계가 예정대로 열리는지, 피해액 숫자가 안정되는지, 외부 검증이 포함된 사후 보고서가 나오는지.

한국 이용자가 추가로 알아야 할 것

국내 거래소에서 같은 일이 벌어졌다면 적용됐을 장치들이 이번 건에는 적용되지 않는다. 비트겟은 해외 거래소이고 국내 가상자산사업자로 신고된 곳이 아니다. 그래서 국내 이용자 보호 제도의 대상이 아니다.

구체적으로 이런 차이가 생긴다.

• 분쟁이 생겨도 국내 기관에 민원을 넣을 창구가 사실상 없다. 금융감독원이나 한국소비자원은 신고된 국내 사업자를 전제로 움직인다.
• 보전의 근거가 법이 아니라 회사 정책이다. 이번에 언급된 유저보호기금은 비트겟이 자체적으로 운영하는 것이고 법이 강제하는 예치금 보호가 아니다. 규모가 피해액보다 크다는 건 다행이지만, 성격이 다르다는 점은 알고 있어야 한다.
• 원화 입출금이 직접 연결되지 않는다. 국내 은행 실명계좌 연동이 없는 구조라 자금 이동 경로가 한 단계 더 붙고, 그만큼 문제가 생겼을 때 추적과 대응이 번거로워진다.

이건 해외 거래소를 쓰지 말라는 얘기가 아니다. 수수료나 상품 구성 때문에 해외를 쓰는 이유는 분명히 있다. 다만 같은 사고가 나도 기댈 수 있는 것이 다르다는 점을 계산에 넣고 금액을 정하라는 뜻이다. 국내 거래소에 둘 때와 해외 거래소에 둘 때 “잃어도 감당 가능한 금액”의 기준이 같을 수는 없다.

세금 측면에서도 짚어둘 게 있다. 이번 사고로 개인 잔고가 줄어든 것은 아니라고 발표됐으므로 손실 처리 이슈는 현재로서는 발생하지 않는다. 다만 해외 거래소 보유 자산은 신고 의무와 관련해 국내 거래소와 다르게 다뤄질 수 있으니, 규모가 큰 경우에는 세무 상담을 받는 편이 낫다. 이 글은 세무 자문이 아니다.

자주 묻는 질문

지금 거래는 되나요?

된다. 출금 중단 기간에도 입금과 거래는 계속 열려 있었다. 막힌 건 출금뿐이다.

피해액 3억 8,750만 달러가 최종인가요?

아닐 가능성이 크다. 처음 3억 5,160만 달러에서 추적이 진행되며 올라간 숫자다. 사고 첫 주의 수치는 보통 움직인다.

수수료 페이백이나 리베이트에는 영향이 있나요?

이 부분을 다룬 공식 발표는 없다. 거래가 계속됐으니 거래 기반 적립도 이어졌을 것으로 보이지만, 추정하지 말고 본인 계정에서 직접 확인하는 게 맞다.

다른 거래소로 옮겨야 하나요?

애초에 비트겟을 쓰던 이유가 무엇이었는지, 그리고 출금 단계가 일정대로 열리는지에 달렸다. 중단 기간에는 옮기는 것 자체가 불가능했고, 재개 첫날에 움직이면 대기열에 합류하게 된다. 일정이 이미 정해놓은 것 이상의 급박함은 없다.

출처

• 비트겟 지원센터 — 출금 서비스 업데이트(2026-09-24) · 단계적 재개 기간과 감지 시각의 출처
• CoinDesk — 위조 전송으로 발생한 비트겟 해킹, 개인키 유출 아니라는 CEO 발언 · 대표 발언과 공격 방식의 출처
• BleepingComputer — 비트겟에서 3억 5,160만 달러 탈취
• Hackread — 라자루스 그룹 연루 의심 보도 · 확정되지 않은 추정

2026년 9월 26일 기준 공개된 자료로 작성했다. 진행 중인 사안이라 피해 규모·일정·배후 추정은 이후 바뀔 수 있으니, 실제 조치 전에는 비트겟 공식 공지에서 현재 상태를 확인하기 바란다. 이 글은 정보 제공용이며 투자 권유가 아니다. 암호화폐 거래는 원금 손실 위험이 있고 레버리지 거래는 원금 전액 손실이 가능하다.

✍️ David Lim · 에디터