대상: Bitget에서 암호화폐 자산을 보유하거나 거래하는 사람, 그리고 네트워크 가장자리에서 보안 어플라이언스를 운영하는 사람. 이 글은 Bitget 자신의 공지를 근거로 작성되었으며, 공격 수법은 다루지 않습니다.
진행 중: 기관이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
2026년 10월 30일 기준아직 알려지지 않음
- 최종 도난 금액
- 영향을 받은 제품과 공급업체
- 공급업체의 수정이 있는지 여부
- 전체 근본 원인 보고서
- 동결되거나 회수된 자금
- 보호 기금의 규모
Bitget은 9월 25일 더 많은 거래가 추적되면 수치가 바뀔 수 있으며 취약점은 식별되어 조치가 완료되었다고 밝혔습니다. 10월 30일 기준으로 Bitget의 전체 사후 보고서는 확인되지 않았습니다.
Bitget 계정 보유자가 오늘 해야 할 일
Bitget을 어디서 열고 있는지 확인하세요
공식 앱이나 직접 만든 북마크를 사용하세요. 대규모 도난 이후에는 거래소를 흉내 낸 가짜 페이지와 메시지가 흔합니다. Bitget의 공지는 업데이트가 공지 페이지와 공식 채널에 게시된다고 밝히며, 'Is Bitget safe?' 페이지는 공식 업데이트가 인증된 채널을 통해서만 발표된다고 밝히므로, 전달받은 링크가 아니라 그곳에서 시작하세요.
복구나 보상 메시지는 가짜로 취급하세요
Bitget의 'Is Bitget safe?' 페이지는 자산 복구를 구실로 하는 경우를 포함해 Bitget이 사용자에게 자금 이체나 비밀번호, 개인 키, 시드 문구, 인증 코드 공유를 절대 요구하지 않는다고 밝힙니다. 코인을 "복구"해 주겠다거나, 지갑을 "검증"하겠다거나, "보상"을 지급하겠다는 메시지나 낯선 사람은 알려진 사기 수법입니다(피싱이란? 참고).
Bitget의 복구 포상금 프로그램은 자금 동결이나 회수의 계기가 된 자격 있는 당사자에게 성공적으로 동결 또는 회수된 자금의 5%를 지급합니다. 이는 도난 자금을 추적하는 사람을 위한 것이며 계정 보유자를 위한 것이 아니고, 자격 여부는 Bitget이 결정합니다.
2단계 인증을 켜고 고유한 비밀번호를 설정하세요
2단계 인증은 로그인에 비밀번호 외에 두 번째 코드가 필요하다는 뜻입니다. 인증 앱이 SMS보다 낫습니다(다단계 인증 가이드 참고). 비밀번호 관리자를 쓰면 고유한 비밀번호를 현실적으로 사용할 수 있습니다.
자신의 잔액과 내역을 확인하고, 얼마를 둘지 결정하세요
Bitget은 잔액이 영향을 받지 않았다고 밝혔습니다. 앱에서 자신의 잔액을 확인할 수 있습니다. 어느 거래소에든 얼마를 둘지 정하세요. 거래할 계획이 없는 자산은 직접 관리하는 지갑에 보관할 수 있습니다. 이는 어느 거래소에나 해당하는 일반적인 선택이며, 이번 사건 때문에 자금을 옮기라는 권고가 아닙니다.
수수료를 내지 않으면 출금이 막힌다는 메시지는 무시하세요
출금은 사건 중에 중단되었다가 단계적으로 재개되었습니다. 지금 출금에 추가 "수수료", "잠금 해제", "인증" 결제가 필요하다는 메시지는 거래소에서 온 것이 아닙니다.
무슨 일이 있었나요 (Bitget과 포렌식 작업에 대한 언론 보도 기준)
아래 사실은 9월 24일과 25일 Bitget의 공지와 공개 'Is Bitget safe?' 페이지(10월 30일 확인)를 바탕으로 합니다. 포렌식 결과를 다룬 언론 보도에서 가져온 세부 사항에는 그 사실을 표시했습니다.
2026년 8월 31일
BleepingComputer가 보도한 조사관의 로그 분석에 따르면 이번 사건과 연결된 가장 이른 악성 활동.2026년 9월 24일(UTC)
Bitget의 'Is Bitget safe?' 페이지에 따르면 UTC 18:31에 공격자가 일부 핫월렛과 웜월렛에서 첫 무단 이체를 시작했습니다. Bitget의 공지에 따르면 UTC 19:05에 정산 시스템이 무단 이체를 감지했습니다. 보안 점검이 끝날 때까지 예방 조치로 출금을 일시 중단했으며, 입금과 거래는 계속되었습니다. 추정 피해액은 약 3억 5,160만 달러.9월 25일
Bitget이 약 3억 8,750만 달러가 공격자가 통제하는 주소로 전송된 것을 확인했고, 처음 추정에 Zcash와 TRON 자산이 더해졌습니다. 취약점은 식별되어 조치가 완료되었다고 밝히고 복구 포상금 프로그램을 시작했습니다.9월 28~30일
비트코인 출금이 재개되었고, Bitget은 ETH 출금을 9월 29일, USDT를 9월 30일, 기타 토큰, 법정화폐, P2P를 10월 2일부터로 예정했습니다(BleepingComputer). 9월 30일 Bitget은 보호 기금이 다시 3억 달러를 넘었다고 밝혔습니다(Yellow 보도).10월 2일
Bitget의 페이지에 따르면 모든 암호화폐, 법정화폐, P2P 서비스의 출금이 완전히 복구되었습니다.
- 도난당한 것
- 핫월렛과 웜월렛 계층 일부에서 약 3억 8,750만 달러 상당의 자산. Bitget은 Ethereum 및 기타 EVM 네트워크, XRP Ledger, Zcash, TRON에 걸쳐 XRP, ETH, USDT, ZEC, USDC, USDT0, XAUt, BNB, AVAX, TRX를 열거함
- 도난당하지 않은 것
- 콜드월렛은 접근되지 않음. Bitget은 고객 계정 잔액이 영향을 받지 않았다고 밝힘
- 보장
- 손실은 Bitget의 사용자 보호 기금 범위 내에 있으며, Bitget은 이 기금이 9월 24일 4억 6,400만 달러 이상이었다고 밝혔음. 현재 페이지는 3억 1,400만 달러 이상으로 기재함
- 공개된 원인
- 제로데이 취약점을 포함한 서드파티 보안 제품 관련 악성 활동. Bitget은 취약점이 식별되어 조치되었고 더 이상의 무단 이체는 불가능하다고 밝힘
- 조사
- Bitget에 따르면 사고 대응 업체와 블록체인 보안 업체의 포렌식 지원. 일부 자산은 업계 파트너와 함께 동결됨
- 연락처
- Bitget의 공지 페이지와 공식 채널. 공식 업데이트는 인증된 채널을 통해서만 발표된다고 밝힘
서드파티 보안 제품: 제로데이(Bitget)
↓→
언론 보도: 보안 어플라이언스에 접근
지갑 작업을 처리하는 환경
↓→
언론 보도: 어플라이언스에서 그 환경으로 이동
출금 승인 단계
↓→
CEO(보도): 위조된 데이터가 이를 작동시킴
핫월렛과 웜월렛
↓→
약 3억 8,750만 달러가 전송됨, 콜드월렛은 접근되지 않음(Bitget)
확인된 것과 확인되지 않은 것
2026년 10월 30일 기준. Bitget이 추가 정보를 발표하면 상태 열을 업데이트합니다.
| 항목 | Bitget의 발표 내용 | 상태 |
|---|---|---|
| 공격자가 통제하는 주소로 전송된 금액 | 약 3억 8,750만 달러(처음 추정 3억 5,160만 달러), 추적이 계속되면서 바뀔 수 있음 | 확인됨(Bitget), 바뀔 수 있음 |
| 고객 계정 잔액 | 영향 없음 | 영향 없음(Bitget) |
| 콜드월렛 | 접근되지 않음 | 영향 없음(Bitget) |
| 손실 보장 | 사용자 보호 기금 범위 내 | 발언됨(Bitget), 독립적으로 감사되지 않음 |
| 보호 기금 규모 | 9월 24일 4억 6,400만 달러 이상, 현재 페이지는 3억 1,400만 달러 이상이며 기금이 사건 전 수준 이상으로 보충되었다고 기재 | 발언됨(Bitget), 두 수치가 맞지 않으며 독립적으로 검증되지 않음 |
| 진입점 | 서드파티 보안 제품의 제로데이 취약점 | 확인됨(Bitget), 제품과 공급업체는 미공개 |
| 공급업체의 수정 | 밝히지 않음 | 공개되지 않음 |
| 출금 | 9월 24일 중단, 단계적 재개, 10월 2일 완전 복구 | 확인됨(Bitget의 페이지) |
| 고객 개인정보 | 공지에서 영향을 받은 것으로 기재되지 않음 | 기재되지 않음 |
| 전체 근본 원인 보고서 | 10월 30일 기준 공개되지 않음 | 조사 중 |
| 동결되거나 회수된 자금 | 일부 자산이 파트너와 함께 동결됨, 총액은 공개되지 않음 | 조사 중 |
읽는 법: '보장된다'는 회사의 발언이며, 기금 수치는 서로 맞지 않습니다
보장에 대한 발언과 보호 기금 수치는 Bitget 자신에게서 나온 것이며 독립적으로 검증되지 않았습니다. Bitget은 기금이 사건 전 수준 이상으로 보충되었다고 밝히면서도, 9월 24일의 4억 6,400만 달러 이상에 비해 지금은 3억 1,400만 달러 이상이라고 기재합니다. 두 수치를 발언된 그대로 인용하며 맞춰 보지 않습니다. 타임라인의 두 시각은 서로 다른 사건입니다. 첫 무단 이체(UTC 18:31)와 그 감지(UTC 19:05)입니다. 수치가 중요하다면 Bitget의 현재 페이지를 확인하세요.
거래소 자체 지갑에서의 도난이 나에게 의미하는 것
일반적으로 거래소 자체 지갑에서의 도난은 고객 데이터 유출과 다릅니다. 계정 보유자의 잔액은 거래소 내부의 기록이므로, 고객이 손실을 입는지는 거래소가 손실을 보장하는지에 달려 있습니다. Bitget은 보장한다고 밝혔습니다. 고객 개인정보는 영향을 받은 것으로 기재되지 않았으므로, 흔히 이어지는 위험은 비밀번호 도난이 아니라 이번 소식을 이용한 사기 메시지입니다.
대규모 도난 이후에는 가짜 "보상" 사이트, 고객 지원 사칭, 자금이 동결되었다는 주장 같은 사기 메시지가 흔히 뒤따릅니다. 이번 사건에서 이런 일이 있었다고 말하는 것이 아닙니다. 위의 절차는 그런 사기에 대한 것입니다.
보안 담당 팀을 위한 내용: 공개된 사실이 말해 주는 것
Bitget은 진입점이 서드파티 보안 제품의 제로데이였다고 밝혔습니다. 포렌식 결과를 다룬 언론 보도는 보안 어플라이언스에 대한 접근, 이어서 지갑 작업을 처리하는 환경으로의 이동을 설명합니다. 제품과 공급업체는 공개되지 않았고 전체 원인도 공개되지 않았으므로, 공개된 사실이 뒷받침하는 것만 이끌어 냅니다.
네트워크를 지키는 제품 자체가 침입 경로가 될 수 있습니다. 보안 어플라이언스를 인터넷에 노출된 서버처럼 취급하세요. 목록을 유지하고, 인터넷에서 접근 가능한 관리 인터페이스가 어떤 것인지 확인하고, 공급업체가 수정을 내면 신속히 적용하며, 어플라이언스 자체에서 예상치 못한 파일이나 외부 연결을 감시하세요. 관련 안내: VPN 및 에지 장치 방어와 2026년 10월에 악용된 에지 장치 취약점.
자금 이동을 승인하는 시스템에는 자체 검증이 필요합니다. Bitget의 CEO는 보도에 따르면 위조된 데이터가 승인 단계를 작동시켰다고 말했습니다. 바로 옆 시스템이 거짓 데이터를 넣을 수 없는 통제, 예를 들어 대규모 출금에 대한 독립적인 확인은 하나의 침해된 시스템이 할 수 있는 일을 제한합니다. Bitget 자체의 통제는 평가하지 않습니다.
출처 (공개 기록)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 공개되지 않은 수법이나 책임자에 대해서는 추측하지 않습니다.
- Bitget, 9월 24일 핫월렛 사건에 대한 보안 공지(2026년 9월 24일) — bitget.com
- Bitget, "Security Latest Incident Update: Fund Tracing and Recovery Bounty Program"(2026년 9월 25일) — bitget.com
- Bitget, "Is Bitget safe?" 사건 요약 페이지(2026년 10월 30일 확인) — bitget.com
- BleepingComputer, "Bitget hacked via zero-day in third-party security products"(2026년 9월 30일) — bleepingcomputer.com
- BleepingComputer, "Bitget resumes Bitcoin withdrawals after $387.5 million crypto heist"(2026년 9월 28일) — bleepingcomputer.com
- Yellow, "Bitget Restores Protection Fund Above $300M As Withdrawals Resume"(2026년 10월 1일) — yellow.com
업데이트 기록
2026-10-30: 9월 24일과 25일 Bitget의 공지, 사건 요약 페이지(10월 30일 확인), 포렌식 결과를 다룬 언론 보도를 바탕으로 한 첫 버전. Bitget이 근본 원인 보고서, 최종 수치 또는 영향을 받은 공급업체의 수정을 발표하면 이 글을 업데이트합니다.
다음으로 읽을 글
- 진입점이 된 에지 장치: 2026년 10월 악용된 에지 장치 취약점 / VPN 및 에지 장치 방어
- 계정: 다단계 인증 가이드 / 비밀번호 관리자 가이드
- 사기: 피싱이란?
- 2026년 기타 사건: 2026년 데이터 유출 및 사이버 공격