1. Bitget CEO 그레이시 첸에 따르면 9월 24일 공격자는 서드파티 보안 제품의 제로데이를 통해 내부 시스템에 침투했고, 정상 사용자 출금이 아니라 백엔드에서 위조된 출금 명령을 지갑 시스템에 주입해 약 3억8800만달러를 빼냈다.
2. 공격은 소액 테스트 이체로 시작됐다. 0.48 ETH, 93 TRX처럼 리스크 임계치 아래로 먼저 찔러본 뒤, 6:58 UTC부터 본격적으로 17건의 대규모 이체를 실행했고 첫 번째 웨이브에서 약 3억6100만달러가 유출됐다.
3. 흥미로운 대목은 Bitget이 공격 중간에 지갑 기능을 일부 다시 켰다는 점이다. 개인키 유출 가능성을 배제하지 못한 상황에서 핫월렛·웜월렛 자산을 콜드월렛으로 쓸어 담기 위해서였고, 그 결과 해커에게 한 번 더 기회를 줘 두 번째 웨이브에서 약 3000만달러가 추가 유출됐다.
4. 여기서 핵심은 “출금 중단”이 해킹을 막지 못했다는 점이다. 시스템은 7:05 UTC에 사용자 출금을 자동 차단했지만, 해커는 일반 유저 플로우가 아니라 백엔드 서버 레벨에서 움직였기 때문에 계속 자금을 뽑아낼 수 있었다.
5. 자금 회수전은 더 냉정하다. Tether, Circle, NEAR Intents가 협조해 지금까지 동결한 금액은 약 63.2만달러뿐이며, 첸 본인도 회수율에 큰 기대를 하지 않는다. Bybit 사례에서도 1년 뒤 동결률이 3.5% 수준이었다는 점을 상기했다.
6. 이번 인터뷰의 진짜 드라마는 DeFi의 태도 차이다. NEAR Intents는 자체 Shield/KYT 레이어를 통해 도난 자금 흐름을 감지하고 일부를 동결했지만, THORChain은 첸의 차단 요청을 받아들이지 않았다. 첸은 “permissionless가 neutral을 의미하진 않는다”는 프레임을 던졌다.
7. 투자자 입장에선 이 사건이 “탈중앙 vs 검열저항” 논쟁이 아니라, 향후 어떤 프로토콜이 규제 친화적 유동성을 흡수하고 어떤 프로토콜이 범죄 세탁 경로라는 디스카운트를 받을지 가르는 계기가 될 수 있다. 브리지, 인텐트, 크로스체인 스왑 인프라의 밸류에이션 프레임이 달라질 수 있다.
8. 부수적이지만 중요한 시그널도 있다. 해킹 직후 첸은 유명 투자팀을 사칭한 사회공학 공격을 추가로 받았다고 밝혔고, 이는 대형 해킹 이후 2차 공격이 거의 플레이북처럼 붙는다는 점을 보여준다. 또 출금 재개 후 ETH는 첫 1시간 동안 9,674 ETH 유입 vs 9,023 ETH 유출로 순유입을 기록했다는 점도, 최소한 패닉런이 전면화되진 않았다는 메시지다.
트레이더/투자자 관점
• 내러티브: 중앙화 거래소 해킹 뉴스 같지만, 실제론 스테이블코인 발행사, 인텐트 기반 프로토콜, 크로스체인 스왑 레이어의 “통제 가능성”이 재평가되는 사건이다.
• 가격/포지셔닝: 규제 친화적이고 KYT 레이어를 내장한 유동성 인프라는 프리미엄을 받을 수 있고, 반대로 도난 자금 세탁 경로로 반복 지목되는 프로토콜은 규제 디스카운트와 거래소/기관 자금 이탈 리스크를 안게 된다.
• 체크포인트: Bitget 사고보고서 공개 내용, 서드파티 벤더 정체와 취약점 성격, 추가 동결 규모 확대 여부, THORChain의 후속 입장 변화, Circle/Tether가 향후도 같은 속도로 개입하는지, 그리고 Bitget의 실제 순유출입 추이가 핵심이다.