비트겟 해킹 도난액, 왜 0.09%만 묶을 수 있었나

비트겟 해킹에서 서클·테더가 실제로 묶은 돈은 얼마인가

약 31만 8천 달러다. 도난액 3억 5,160만 달러에 견주면 0.09% 수준이다. 1만 원을 도둑맞고 9원을 찾은 셈이다.

서클이 먼저 해커 지갑 하나를 블랙리스트에 올렸고, 블록체인 보안업체 미스트랙(MistTrack)에 따르면 테더도 같은 지갑을 막았다. 그 지갑에 있던 것은 USDT 218,023개와 USDC 99,990개, 그리고 ETH 약 170.47개였다.

여기서 ETH 170.47개는 그대로 남는다. 발행사가 손댈 수 있는 것은 자기가 찍어 낸 스테이블코인뿐이기 때문이다.

왜 해커는 훔치자마자 ETH로 갈아타나

USDT와 USDC는 발행사가 컨트랙트 안에 특정 주소를 멈추는 스위치를 갖고 있다. ETH와 비트코인에는 그런 스위치가 없다. 누구도 주인 대신 지갑을 잠글 수 없다.

해커도 이걸 안다. 이번에도 AVAX·BNB·ETH·스테이블코인이 빠져나간 뒤 ETH로 바뀌었다. 다른 해커 주소에는 6만 3천 ETH 이상이 남아 있고, 이것은 어떤 발행사도 얼릴 수 없다.

결국 동결된 31만 8천 달러는 해커가 미처 바꾸지 못한 잔돈에 가깝다.

개인키는 멀쩡했는데 비트겟은 어떻게 털렸나

비트겟 CEO 그레이시 첸(Gracy Chen)은 공격자가 거래소 지갑 인프라의 백엔드 시스템을 장악해 거래 데이터를 위조했다고 밝혔다. 그다음 회사의 정상 승인 절차가 돌아가 돈이 스스로 나갔다. 개인키 유출은 아니라고 선을 그었다.

은행으로 치면 금고 열쇠는 그대로인데 창구에 위조 출금전표가 들어간 꼴이다. 털린 곳은 핫·웜 지갑이고 콜드 스토리지는 안전하다고 회사는 설명한다.

콜드월렛 비중을 자랑하는 거래소라도 돈을 내보내는 결재선이 뚫리면 소용이 없다. 거래소 보안을 볼 때 키 보관 방식만 볼 일이 아니다.

4월 Drift 해킹 때 서클은 왜 2억 3,200만 달러를 그냥 보냈나

4월 Drift Protocol 해킹 규모는 약 2억 8,500만 달러였다. 이때 약 2억 3,200만 달러어치 USDC가 서클 자체 크로스체인 전송 프로토콜(CCTP)을 타고 솔라나에서 이더리움으로 넘어갔다.

서클은 막지 않았다. 온체인 조사자 ZachXBT 등은 더 빨리 블랙리스트에 올릴 수 있었다고 비판했고, 서클은 법적으로 요구될 때 자산을 동결한다고 답했다.

서클은 자체 전송 프로토콜로 도난금이 이동하는 것을 막지 않았다. 법 절차를 기다리는 원칙은 이해되지만, 그 몇 시간 사이에 돈은 사라졌다.

동결 속도가 서클과 테더의 점유율 싸움이 된 이유

Drift 사건 뒤 테더와 파트너들이 1억 4,800만 달러를 지원했다. 그리고 Drift의 정산 스테이블코인이 USDC에서 USDT로 바뀌었다.

구제 자금을 댄 쪽이 정산 통화 자리를 가져갔다. 동결을 망설인 결과는 평판뿐 아니라 정산 통화의 교체로 이어졌다.

그래서 이번 서클의 빠른 동결은 금액보다 태도의 신호로 읽힌다. 서클이 이번 동결 근거를 밝혔는지는 드러나지 않았다. 다음 대형 해킹에서 서클이 다시 먼저 움직이는지가 정책 변화의 시험대다.

Bybit 14억 달러 해킹 때도 동결은 3% 안팎이었다

2025년 Bybit 해킹 도난액은 ETH로 약 14억 달러였다. 여러 업체가 협조해 묶은 돈은 총 약 4,289만 달러로, 도난액의 3% 안팎이다. 테더 몫은 181,000 USDT였다.

사건마다 동결 뉴스가 나오지만 회수의 주력은 되지 못했다. 도난 자산이 동결 기능 없는 코인으로 바뀌는 한 이 비율은 크게 달라지기 어렵다.

비트겟 이용자의 돈은 결국 누가 메우나

비트겟은 4억 6,400만 달러 이상 쌓인 사용자 보호기금으로 손실을 메운다고 밝혔다. 도난액보다 큰 금액이다. 다만 출금은 보안 점검이 끝날 때까지 멈췄고 재개 시점은 약속하지 않았다.

이용자를 지키는 것은 발행사의 동결 스위치가 아니라 거래소가 미리 쌓아 둔 돈이다. 해외 거래소에 자산을 둔다면 그 거래소 준비금의 크기와 출금 재개 기록이 실질적인 보호막이다.

스테이블코인의 동결 권한은 중앙화의 증거로 자주 비판받는다. 그런데 이번 사건이 보여 준 것은 그 권한이 너무 세다는 게 아니라, 해커가 이미 피해 가는 곳에서만 작동한다는 사실이다.