암호화폐 거래소 Bitget이 지난주 3억 8,750만 달러(약 5,000억 원) 규모의 암호화폐를 도난당한 사건의 원인을 공개했습니다. 공격자들은 Bitget이 사용하던 외부(서드파티) 보안 장비 두 대의 제로데이(zero-day, 아직 패치가 나오지 않은 미공개 취약점) 취약점을 악용해 시스템에 침투했습니다. 이후 웹쉘(원격 조종용 악성 스크립트)과 악성코드를 심어 지갑을 관리하는 서버까지 장악했고, 자체 제작한 출금 도구로 여러 블록체인에서 자금을 빼돌렸습니다. Bitget CEO는 IP 패턴과 온체인 분석을 근거로 북한 해킹 조직을 배후로 지목했습니다.
Bitget이 서드파티 보안 장비의 제로데이 취약점을 통해 침투당해 3억 8,750만 달러 규모의 암호화폐를 도난당했다.
ETH, XRP, BNB, AVAX, USDT, USDC 등 다양한 자산이 Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC, Base 등 여러 체인에 걸쳐 탈취되었고, 거래소는 전체 출금을 중단해야 했다.
8월 31일부터 시작된 것으로 추정되는 공격에서, 공격자가 보안 장비 두 대(제품 A, B)의 제로데이 취약점을 악용해 권한을 탈취하고 웹쉘·C2(명령제어) 연결을 구축한 뒤 지갑 운영 서버로 횡적 이동했다.
Bitget은 출금을 즉시 중단하고 SlowMist, Mandiant와 함께 포렌식 조사를 진행했으며, 탈취 자금 회수·동결에 협조하면 보상금(탈취액의 5%)을 지급하는 Recovery Bounty Program을 시작했다.
기업이 도입한 서드파티 보안 제품도 공급망 공격의 경로가 될 수 있으므로, 자사 시스템뿐 아니라 연동된 보안 장비의 취약점 대응 및 이상행위 모니터링 체계를 함께 점검해야 한다.
본문
암호화폐 거래소 Bitget은 오늘, 지난주 3억 8,750만 달러를 훔친 공격자들이 서드파티 보안 제품의 제로데이(zero-day) 결함을 악용해 시스템에 침투했다고 밝혔다.
Bitget에 따르면, 블록체인 보안 기업 SlowMist와 Google Cloud의 사이버 방어 조직인 Mandiant가 각각 별도로 진행한 조사에서, 위협 행위자들이 보안 장비 두 대를 제로데이 익스플로잇으로 침해한 후 Bitget의 지갑 환경에 접근한 것으로 나타났다.
침해 이후 공격자들은 해킹된 보안 장비 중 하나에 웹쉘(web shell)을 심고, 암호화폐 거래소의 프로덕션 지갑 작업 서버에 악성코드를 설치했으며, 9월 25일 자정 이후 암호화폐 절도를 실행하는 데 사용한 맞춤형 출금 도구도 함께 배치했다.
"확보된 로그에서 확인된 가장 이른 악성 행위는 8월 31일로 거슬러 올라간다. '제품 A' 노드 중 하나에서 실행 중이던 서비스가 제로데이 취약점의 영향을 받았다. 공격자는 해당 서비스 프로세스 하위에서 숨겨진 스크립트를 실행했고, 데이터베이스 비밀번호가 담긴 환경 변수를 읽는 명령을 실행한 뒤 데이터베이스에 접속했다. 유사한 은닉 스크립트 활동이 9월 23일과 9월 25일에 다른 두 노드에서도 관찰되었다"고 SlowMist는 밝혔다.
Mandiant는 "포렌식 조사 결과, 2026년 9월 24일 위협 행위자가 Bitget의 서드파티 보안 장비 A와 B에 대한 권한이 없는 특권 접근 권한을 획득한 것으로 나타났다. 위협 행위자는 보안 장비 B에 웹쉘을 배치하고 명령제어(Command-and-Control, C2) 연결을 구축했다. 보안 장비 B에서 확보한 지속적 접근 권한을 이용해, 위협 행위자는 Bitget의 프로덕션 지갑 작업 서버로 횡적 이동한 뒤 악성 패키지를 배치했다"고 덧붙였다.
SlowMist는 최초의 암호화폐 이체가 9월 02:31에, 마지막 이체가 05:23에 발생했으며, 공격이 여러 블록체인에 걸쳐 약 3시간 동안 이어졌다고 덧붙였다.
Bitget은 핫월렛(hot wallet)과 웜월렛(warm wallet)에서 다수의 무단 이체를 탐지하고 공격자들이 3억 8,750만 달러를 훔친 사실을 확인한 뒤, 목요일 모든 출금을 중단했다.
Gracy Chen CEO는 이번 사건이 ETH, XRP, BNB, AVAX, USDT, USDC 등 다양한 자산에 영향을 미쳤으며, Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC, Base 등 여러 체인이 연관되었다고 밝혔다.
Chen은 또한 IP 행동 패턴과 온체인(on-chain) 분석을 근거로 이번 공격의 배후로 북한 해커를 지목했으며, 이들이 Bitget 지갑 인프라 내의 핵심 백엔드 시스템을 침해한 뒤 이를 이용해 거래 데이터를 위조하여, 거래소의 승인 절차를 속여 침해된 핫/웜 월렛에서 자금을 빼돌리도록 만들었다고 덧붙였다.
침해 이후 Bitget은 탈취된 자금을 회수하거나 동결하는 데 도움을 준 이들에게 5%의 보상금을 지급하는 Recovery Bounty Program을 시작했다.
BleepingComputer가 오늘 앞서 제로데이 결함과 공격에 악용된 서드파티 보안 제품에 대한 추가 정보를 요청하기 위해 연락했을 때, Bitget 대변인은 즉시 응답하지 않았다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
