암호화폐 거래소 Bitget이 지난주 발생한 3억 8750만 달러 규모의 암호화폐 도난 사건이 외부(제3자) 보안 제품의 제로데이 취약점(아직 패치가 없는 미공개 보안 결함) 때문이었다고 공식 확인했습니다. 공격자는 이 취약점으로 내부 고권한 계정 정보를 탈취해 지갑 시스템에 가짜 출금 명령을 내렸고, 기존 위험 탐지 체계를 우회해 자금을 빼돌렸습니다. 조사 결과 공격은 8월 31일부터 시작됐으며, 보안 장비에 웹쉘(원격 제어용 악성 코드)을 심고 거기서 Bitget의 운영 지갑 서버까지 내부망을 타고 들어간 것으로 나타났습니다. Bitget과 Mandiant, SlowMist는 이번 공격이 북한 배후 해킹 조직의 소행으로 추정된다고 밝혔으며, 탈취 자금 중 일부(약 63만 달러 상당)는 이미 동결되었습니다.
Bitget이 2026년 9월 24일 핫월렛·웜월렛에서 3억 8750만 달러 상당의 암호화폐가 무단 인출되는 사고를 공식 확인했다. 공격자는 제3자 보안 제품의 제로데이 취약점을 악용했다.
이더리움, XRP Ledger, TRON, BNB Smart Chain 등 11개 블록체인, XRP·ETH·USDT 등 13종 이상 자산이 영향을 받았으며 Bitget은 출금을 일시 중단했다.
공격자가 제3자 보안 제품 노드의 제로데이 취약점으로 데이터베이스 비밀번호를 탈취하고, 내부 직원 계정을 도용해 또 다른 제품 관리 플랫폼에 명령어를 주입, 웹쉘을 심어 Bitget 운영 지갑 서버까지 내부망을 통해 이동했다.
Bitget은 해당 제3자 벤더에 통보하고 관련 기능을 비활성화했으며, SlowMist·Mandiant와 함께 조사를 진행 중이다. Circle, Tether, NEAR Intents가 약 63만 2700달러 상당 자산을 동결했다.
자체 시스템이 안전해도 연동된 제3자 보안 제품·장비의 취약점이 내부망 침투와 권한 탈취의 통로가 될 수 있으므로, 외부 솔루션에 대한 접근권한 분리와 이상 행위 모니터링이 필요하다.
본문
암호화폐 거래소 Bitget은 수요일, 지난주 3억 8750만 달러를 탈취한 공격자들이 제3자 보안 제품의 제로데이 취약점을 악용했다고 확인했다. 이는 SlowMist의 진행 중인 조사 결과를 인용한 것이다.
Bitget은 X(구 트위터)에 올린 게시물에서 "SlowMist의 조사 결과 제3자 보안 제품과 관련된 악성 행위, 즉 제로데이 취약점이 확인되었으며, 공격자가 무단 출금을 실행하는 데 사용한 맞춤형 도구를 회수했다"고 밝혔다.
2026년 9월 24일, 이 암호화폐 거래소는 일련의 무단 송금을 통해 핫월렛과 웜월렛에서 3억 8750만 달러가 도난당했다고 공개했으며, 이에 따라 모든 출금을 일시적으로 중단했다. Circle, Tether, NEAR Intents는 약 63만 2700달러 상당의 암호화폐 자산을 동결했다.
후속 분석에서 Bitget은 공격자들이 이 취약점을 악용해 고권한 내부 자격 증명을 확보했고, 이를 이용해 지갑 시스템에 가짜 출금 명령을 내려 "기존 위험 통제를 우회한 비정상적인 송금"을 실행했다고 밝혔다. Bitget은 이후 관련 제3자 벤더에 통보했으며, 수정이 완료될 때까지 해당 기능을 비활성화한 상태다.
이번 사고는 Ethereum, XRP Ledger, Zcash, TRON, Arbitrum, Optimism, Base, BNB Smart Chain, Avalanche, Algorand, Celestia를 포함한 11개 블록체인에 영향을 미쳤다. 현재까지 확인된 영향받은 자산에는 XRP, ETH, USDT, ZEC, ATOM, USDC, USD0, XAUt, BNB, AVAX, TRX, ALGO, TIA가 포함된다.
SlowMist가 발표한 새로운 경과 보고서에 따르면, 이번 해킹과 관련된 최초의 악성 활동은 2026년 8월 31일까지 거슬러 올라간다.
이 회사는 "제품 A의 노드 중 하나에서 실행 중이던 서비스가 제로데이 취약점의 영향을 받았다"고 밝혔다. "공격자는 해당 서비스 프로세스 하에서 숨겨진 스크립트를 실행했고, 데이터베이스 비밀번호가 담긴 환경 변수를 읽는 명령을 실행한 뒤 데이터베이스에 접속했다."
"유사한 숨겨진 스크립트 활동이 9월 23일과 9월 25일 다른 두 개의 노드에서도 관찰되었다. 이러한 결과는 자산이 유출되기 이전에 이미 해당 서비스 환경이 침해되어 있었음을 보여준다."
이어 2026년 9월 25일, 위협 행위자는 내부 직원의 신원을 이용해 또 다른 제품(제품 B)의 관리 플랫폼에 접근했으며, 악성 파일을 작성하기 위해 해당 제품의 작업 매개변수에 시스템 명령어를 주입하려는 시도를 세 차례 연속으로 감행한 것으로 알려졌다.
이 블록체인 보안 회사는 "공격자는 이후 플랫폼의 웹 실행 엔드포인트를 통해 코드를 제출했으며, 서버 설정 변경, 통신 중계 파일 작성, 그리고 악성 프로그램 파일을 일괄적으로 업로드하고 조립하려 시도했다"고 덧붙였다.
또 다른 핵심 발견 사항은 위협 행위자가 자산을 빼돌리는 데 사용한 맞춤형 도구와 관련이 있다. SlowMist는 이 프로그램이 자사가 회수한 삭제된 파일들 중에 포함되어 있었다고 밝혔다. 지갑 시스템의 출금 로직에 고도로 맞춰 제작된 이 도구는 2026년 9월 25일 오전 1시 49분에 실행되어 암호화폐 탈취를 시작했다.
구글 산하 Mandiant의 사고 조사에 따르면, 공격자들은 특정 제3자 보안 장비(즉 A와 B)에 무단 접근한 뒤, 이를 발판 삼아 Bitget의 지갑 환경으로 수평 이동(lateral movement)한 것으로 확인됐다.
Mandiant는 "위협 행위자는 보안 장비 B에 웹쉘을 배치하고 명령 및 제어(Command-and-Control, C2) 연결을 구축했다"고 밝혔다. "보안 장비 B에 대한 지속적인 접근 권한을 이용해 위협 행위자는 Bitget의 운영 지갑 작업 서버로 수평 이동했으며, 악성 패키지를 배포했다."
"위협 행위자는 네트워크 및 보안 장비를 침해한 뒤 이를 이용해 악성 패키지를 유포하고 지갑 작업 서버에 대한 제어권을 확보했다."
Bitget은 IP 행동 패턴과 온체인 분석 결과 이번 공격이 북한 위협 행위자들에 의해 수행된 것으로 보인다고 밝혔으며, Elliptic과 TRM Labs는 이전 해킹에서 얻은 불법 수익을 세탁하는 데 사용된 지갑들과의 중복성을 밝혀냈다.
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
