Unicorn Private Research
EN

거래소 해킹과 암호화폐 도난: Mt. Gox부터 Bitget까지 최대 사건들과 그 교훈

2014년 Mt. Gox부터 2025년 Bybit의 15억 달러, 2026년 9월 Bitget의 3억8,750만 달러까지, 대형 도난 사건은 같은 패턴을 보인다. 날짜, 금액, 출처, 그리고 보관에 관한 교훈을 정리한다.

몇 년마다 한 건의 도난 사건이 암호화폐 업계의 기록을 갈아치운다. 금액은 시장과 함께 커졌지만 취약점은 생각만큼 바뀌지 않았다. 거래소가 일상적인 출금에 쓰는 온라인 지갑, 거래를 승인할 수 있는 사람과 외부 업체, 그리고 블록체인 사이에서 토큰을 옮기는 브리지다.

Mt. Gox, 2014년. Fortune이 2018년 1월 26일 되짚은 바에 따르면, 당시 세계 최대 비트코인 거래소였던 도쿄의 Mt. Gox는 2014년 2월 고객과 회사 소유의 비트코인 약 85만 개, 당시 약 4억5천만 달러어치가 사라졌다고 발표한 뒤 거래를 중단하고 파산 보호를 신청했다. 이 중 약 20만 개는 나중에 오래된 지갑에서 발견됐다. 고객들은 파산 절차를 통해 수년간 변제를 기다렸다.

코인체크, 2018년. Dark Reading에 따르면 2018년 1월 26일 일본 거래소 코인체크는 지갑에서 NEM 토큰 5억2,300만 개, 580억 엔, 약 5억3천만 달러어치가 빠져나갔다고 밝혔다. 토큰은 오프라인 저장소가 아닌 온라인 지갑에 보관돼 있었다. Gulf News에 따르면 코인체크는 이틀 뒤 피해 고객 약 26만 명에게 자체 자금으로 약 463억 엔을 돌려주겠다고 발표했다.

Ronin, 2022년. 2022년 3월 공격자들은 게임 Axie Infinity를 지원하는 Ronin 브리지에서 약 6억2천만 달러어치의 이더와 USDC를 탈취했다. 출금을 승인할 수 있을 만큼의 검증인 키를 장악한 뒤였다. BleepingComputer에 따르면 2022년 4월 14일 미국 연방수사국(FBI)은 이 사건을 북한의 Lazarus와 APT38 소행으로 지목했다.

DMM Bitcoin, 2024년. 2024년 5월 말 일본 거래소 DMM Bitcoin은 비트코인 4,502.9개, 당시 약 3억800만 달러어치를 잃었다. The Record에 따르면 2024년 12월 23일 FBI, 미 국방부 사이버범죄센터, 일본 경찰청은 북한 그룹 TraderTraitor의 소행이라고 발표했다. 지갑 소프트웨어 공급업체 직원이 가짜 채용 담당자의 접촉을 받은 뒤 정상적인 거래 요청이 조작됐다는 것이다. DMM Bitcoin은 이후 폐업하고 계좌를 SBI VC Trade로 넘겼다.

Bybit, 2025년. 2025년 2월 21일경 두바이에 본사를 둔 거래소 Bybit은 주로 이더로 구성된 약 15억 달러어치의 가상자산을 잃었다. 기록상 최대 규모의 도난이다. FBI는 2025년 2월 26일 공공 안내문에서 북한이 TraderTraitor라는 이름으로 이 사건에 책임이 있으며, 범인들이 여러 블록체인의 수천 개 주소를 통해 자산을 비트코인 등으로 바꾸고 있다고 밝혔다.

Bitget, 2026년. 2026년 9월 24일 Bitget은 핫월렛과 웜월렛에서 무단 이체를 감지하고 출금을 중단했다. 처음에는 피해액을 3억5,160만 달러로 추산했다가 온체인 추적 후 3억8,750만 달러로 올렸다. BleepingComputer가 2026년 9월 28일 보도한 바에 따르면 회사는 공격자들이 지갑 인프라의 백엔드 시스템에 침입해 거래 데이터를 위조함으로써 자체 승인 절차를 작동시켰다고 설명했다. 이용자 잔액은 영향을 받지 않았고 손실은 Protection Fund로 메우며, 공격은 북한 해커의 소행이라고 밝혔다.

전체 수치. Chainalysis의 2025년 12월 18일 보고서에 따르면 2025년 1월부터 12월 초까지 도난액은 34억 달러를 넘었고, 이 중 최소 20억2천만 달러, 약 60%가 북한 소행으로 분류됐다. 상위 3건의 해킹이 서비스 업체 손실의 69%를 차지했다. CryptoSlate가 2026년 10월 2일 보도한 바에 따르면 CertiK는 2026년 9월까지 658건, 총손실 약 26억8천만 달러를 집계했고, 이 중 약 4억2,040만 달러가 동결되거나 반환됐다. 9월은 약 7억6,650만 달러로 올해 최악의 달이었다. Elliptic은 2026년 도난액 중 10억 달러 이상을 북한 소행으로 추정되는 작전과 연결했다.

사건들이 주는 교훈. 첫째, 손실은 집중돼 있다. 소수의 대형 침해가 금액의 대부분을 차지한다. 둘째, 공격 대상이 코드에서 사람과 절차로 옮겨 갔다. 가짜 채용 담당자, 침해된 외부 업체, 위조된 승인 화면이 그 예다. 셋째, 거래소가 자산을 어떻게 보관하느냐는 규모만큼 중요하다. Bitget에서는 오프라인 콜드 스토리지의 자금이 무사했지만, 코인체크의 토큰은 온라인 지갑에 있었다. 넷째, 피해 회복은 코인체크와 Bitget처럼 플랫폼 자체 자본에 달려 있거나, Mt. Gox처럼 긴 파산 절차에 맡겨진다. 유럽의 MiCA 같은 규칙은 이제 고객 자산 분리와 보관 정책을 요구하지만 운영 위험을 없애지는 못한다.

왜 중요한가: 암호화폐 보유자에게 질문은 어떤 토큰을 가질지에 그치지 않는다. 누가 키를 보관하는지, 거래소에 얼마를 얼마 동안 두는지, 플랫폼이 뚫리면 어떻게 되는지도 따져야 한다.

Unicorn Private의 회원 전용 IPO 전 클럽딜 클럽인 Unicorn Club은 ERC-20 기반의 BTC, ETH, USDT, USDC를 받는다. 결제는 블록체인에서 확인되며, 회원은 개인 지갑이나 거래소 계정에서 보낼 수 있다. 가이드 '암호화폐로 IPO 전 기업에 투자하는 방법'에서 절차를 설명한다. 이 기사는 일반 정보이며 개인 맞춤형 조언이 아니다. 투자에는 원금 손실 위험이 따른다.

출처

다른 뉴스

이 페이지의 다른 언어 버전

Unicorn Watch 커뮤니티 IPO 예측

뉴스레터

유니콘과 프리 IPO 기업에 관한 리서치를 이메일로 받아보세요. 스팸 없음, 언제든 구독 해지 가능.

Substack에서 구독