코인 해킹 피해 55% 급증, 거래소 보안 어디가 뚫렸나

코인 해킹 피해, 3분기에 55% 늘어 12억 달러 육박

블록체인 보안업체 해큰(Hacken)이 10월 16일 공개한 분기 보고서에서 올해 3분기 코인 해킹 피해액은 약 11억 8,080만 달러(한화 약 1조 5,800억 원) 로 집계됐습니다. 2분기(약 7억 6,400만 달러)와 비교하면 55% 늘어난 규모이고, 사고는 총 107건이었습니다.

분기 기준으로는 2025년 1분기 바이비트(Bybit) 사태, 당시 약 14억 달러가 털린 이후 가장 큰 피해입니다. 시장이 조용해 보이는 때에도 보안 리스크는 계속 커지고 있다는 뜻입니다.

피해의 77%는 보안 점검이 닿지 않던 곳에서 발생

보고서에서 눈에 띄는 점은 피해 원인의 분포입니다. 전체 피해액의 약 77%(약 9억 680만 달러) 가 외부 공급업체나 개발 도구가 뚫린 경우, 또는 기존 보안 감사 대상에서 빠져 있던 시스템에서 나왔습니다. 스마트컨트랙트 코드만 꼼꼼히 감사해서는 충분하지 않다는 의미입니다.

비트겟 사고: 외부 보안 제품 취약점에서 시작

대표 사례는 지난달 24일 일어난 비트겟(Bitget) 해킹으로, 피해액은 약 4억 달러 규모였습니다. 해큰 분석에 따르면 공격 과정은 이렇습니다.

1. 공격자가 거래소가 쓰던 외부 보안 제품의 취약점을 이용해 내부 시스템 접근 권한을 얻었습니다.

2. 출금 위험관리 정보를 위조해 거래소 내부 승인 절차를 통과했습니다.

3. 정상 출금처럼 보이는 방식으로 자산을 외부로 빼돌렸습니다.

거래소가 직접 만든 시스템이 아니라 믿고 가져다 쓴 외부 솔루션이 출발점이었다는 점이 핵심입니다.

거래소 해킹이 일반 금융사보다 위험한 이유

코인 거래소는 구조상 해킹이 곧바로 자산 유출로 이어지기 쉽습니다.

• 핫월렛 운영: 고객 자산 일부를 인터넷에 연결된 지갑에 두어야 출금 요청에 빠르게 대응할 수 있습니다.

• 복잡한 연계 구조: 블록체인 네트워크, 지갑 관리 시스템, 외부 API 등 여러 시스템이 맞물려 있어 약한 고리가 생기기 쉽습니다.

• 개인키·출금 권한의 중요성: 이 권한이 넘어가면 공격자가 자산을 외부 지갑으로 바로 옮길 수 있습니다.

• 되돌릴 수 없는 거래: 블록체인 거래는 한 번 확정되면 원칙적으로 취소가 안 됩니다.

털린 자산, 얼마나 돌아왔나

해큰에 따르면 3분기 피해액 중 처리 결과는 다음과 같습니다.

구분 비중 자산 반환·거래 되돌리기 등으로 복구 약 33% 거래소 등 사업자가 자체 자금으로 보전 약 35% 회수·보상 모두 안 된 금액 (약 3억 8,400만 달러) 약 32%

피해액의 3분의 1 가까이는 누구도 책임지지 못한 채 사라졌습니다. 해킹 이후 대응에 기대기보다 사고를 막는 쪽이 훨씬 중요하다는 걸 보여주는 수치입니다.

업계에 나오는 대응 방향

해큰은 이번 분기의 큰 사고들이 공급망 공격, 개인키 탈취, 거래 서명 및 출금 인프라의 관리 실패에서 비롯됐다고 진단했습니다. 따라서 보안 점검 범위를 스마트컨트랙트 중심에서 다음 영역까지 넓혀야 한다는 주장입니다.

• 외부 공급업체와 개발 도구

• 지갑 관리 체계

• 거래 승인·출금 권한 구조

보고서는 규제 당국도 보안 통제가 특정 시점의 점검에서 끝나지 않고 실제 운영 중에 계속 작동하는지를 따지기 시작했다고 언급했습니다. 국내 거래소 역시 외부 연계 시스템과 지갑 관리 체계를 다시 점검해야 한다는 목소리가 나옵니다.

코인 투자자가 지금 해볼 수 있는 자산 보호 체크리스트

거래소 보안은 개인이 통제할 수 없는 영역이지만, 내 자산을 지키기 위해 할 수 있는 일은 있습니다.

1. 거래소를 분산해서 보관하세요. 한 곳에 몰아두면 사고 시 타격이 커집니다.

2. 장기 보유 자산은 개인 지갑(콜드월렛)으로 옮기는 것을 검토하세요. 단, 개인키·복구문구 관리 책임은 본인에게 있습니다.

3. 2단계 인증(2FA)을 켜고, 가능하면 OTP 앱이나 보안키를 쓰세요. 문자 인증은 상대적으로 취약합니다.

4. 출금 주소 화이트리스트와 출금 지연 기능을 설정하세요.

5. 거래소의 보안 공시를 확인하세요. 지급준비금 증명, 사고 이력과 대응 방식, 보안 투자 여부 등을 살펴볼 만합니다.

6. 피싱과 가짜 앱을 조심하세요. 거래소 해킹 이슈가 터지면 이를 이용한 사칭이 늘어납니다.

자주 묻는 질문(FAQ)

Q. 올해 3분기 코인 해킹 피해액은 얼마인가요?
A. 해큰 보고서 기준 약 11억 8,080만 달러(약 1조 5,800억 원)이며, 전 분기보다 55% 늘었습니다.

Q. 가장 큰 사고는 무엇이었나요?
A. 9월 24일 발생한 비트겟 해킹으로, 약 4억 달러 규모입니다. 외부 보안 제품 취약점을 통해 내부 접근 권한을 얻은 뒤 출금 승인 정보를 위조한 방식으로 분석됐습니다.

Q. 해킹당한 코인은 되찾을 수 있나요?
A. 3분기에는 복구된 금액이 약 33%에 그쳤습니다. 사업자 자체 보전분을 합쳐도 약 3분의 1은 회수·보상되지 못했습니다.

Q. 거래소에 맡겨둔 자산은 안전한가요?
A. 거래소마다 보안 수준과 사고 대응 방식이 다릅니다. 하나의 안전장치에 의존하지 말고 자산을 분산하고 보안 설정을 직접 챙기는 것이 좋습니다.

마무리

이번 보고서가 보여주는 핵심은 해킹의 무게중심이 코드 취약점에서 운영·외부 연계 영역으로 옮겨가고 있다는 점입니다. 투자자는 수익률뿐 아니라 내 자산이 어디에, 어떤 방식으로 보관되는지도 함께 점검해야 합니다.

※ 본 글은 정보 제공을 목적으로 하며 투자 권유가 아닙니다. 가상자산 투자는 원금 손실 위험이 있으며, 모든 투자 판단과 책임은 본인에게 있습니다.