비트겟 해킹 출금중단 사태 분석: 해외거래소 보호기금의 한계와 투자자 유의사항

「이용자 계정의 잔액은 정상적으로 표시된다.」 9월 25일 해외 거래소 비트겟의 해킹 소식을 다룬 기사에서 이 문장을 보고 한참 멈췄습니다. 같은 기사에는 3억 5,160만 달러, 원화로 약 4,782억 원이 빠져나갔고 출금이 전면 중단됐다고 적혀 있었습니다. 돈이 빠져나갔는데 잔액은 정상이라는 말은, 누가 그 빈자리를 대신 채워 주느냐에 따라 뜻이 완전히 달라집니다.

저는 2024년 12월 시바이누로 코인을 시작해 마이너스 70퍼센트까지 가 본 사람입니다. 코인을 사는 사람 대부분은 무엇을 살지는 오래 고민해도, 산 코인이 어디에 어떻게 맡겨져 있는지는 잘 묻지 않습니다. 그래서 오늘은 비트겟에서 실제로 무슨 일이 있었는지, 회사가 내세운 「보호기금」은 무엇으로 채워져 있는지, 그리고 국내 거래소였다면 무엇이 달랐을지 정리해 드립니다.

1. 비트겟 해킹, 무슨 일이 있었나요

사고는 한국 시각 9월 25일 새벽 3시 31분에 일어났습니다. 비트겟의 핫월렛과 웜월렛, 곧 인터넷에 연결돼 있는 지갑에서 허락받지 않은 이체가 빠져나갔습니다. 웜월렛은 핫월렛과 콜드월렛의 중간쯤으로, 바로 쓰지는 않지만 필요하면 금방 꺼낼 수 있게 둔 지갑을 흔히 이렇게 부릅니다. 회사가 사고를 알린 것은 약 12시간 뒤였습니다.

• 빠져나간 코인: 이더리움, 리플(XRP), 테더, USDC, 바이낸스코인, 아발란체 등
• 원인: 해커가 거래소 지갑을 관리하는 핵심 백엔드 시스템에 들어가 송금 정보를 꾸미고, 내부 승인 절차가 저절로 돌아가게 만들었다고 설명했습니다
• 무사한 곳: 인터넷과 끊어 둔 콜드월렛은 피해가 없었다고 합니다
• 피해 규모 수정: 처음 발표에서 빠진 지캐시와 트론 이체가 더해져 3억 8,750만 달러로 늘었습니다

입금과 거래는 계속 되는데 출금만 막혔습니다. 계정 화면의 잔고는 그대로 보이지만, 그 숫자를 밖으로 꺼낼 수는 없는 상태가 된 것입니다. 거래소 화면에 찍힌 코인은 내 지갑 속 코인이라기보다 거래소가 돌려주겠다고 한 약속에 가깝다는 것을, 이럴 때 실감하게 됩니다.

출금은 9월 28일부터 순서대로 열립니다

비트겟은 출금을 한꺼번에 열지 않고 코인별로 나눠 연다고 밝혔습니다. 발표된 시각(UTC 오전 8시)을 한국 시각으로 바꾸면 이렇습니다.

• 9월 28일 오후 5시: 비트코인
• 9월 29일 오후 5시: 이더리움
• 9월 30일 오후 5시: 테더
• 10월 2일 오후 5시: 나머지 코인, 법정화폐, P2P 거래

이용자가 따로 할 일은 없고, 출금이 되면 화면에 바로 나타난다고 했습니다.

2. 「전액 보상」을 약속한 보호기금은 무엇으로 채워져 있나

비트겟은 손실 전액을 「이용자 보호기금」으로 메우겠다고 했습니다. 2022년에 해킹 손실에 대비해 만든 기금이고, 발표 당시 가치는 4억 6,400만 달러가 넘었습니다. 피해액 3억 8,750만 달러면 기금의 약 83.5퍼센트를 쓰는 셈입니다. 이번에 쓴 만큼 기금을 다시 채우겠다는 계획이 있는지는 제가 읽은 기사에서 찾지 못했습니다.

그런데 이 기금은 전부 비트코인 5,500개로 되어 있습니다. 달러로 얼마인지는 그날 비트코인 값이 정합니다. 기금 안내 페이지에는 「각 청구를 평가할 권리」와 「조사 결과에 따라 판단할 권리」가 비트겟에 있다는 문구도 들어 있습니다. 법이 정한 보험이 아니라 회사가 스스로 한 약속이라는 뜻입니다.

짚고 넘어갈 점

제가 직접 계산해 봤습니다. 3억 8,750만 달러를 비트코인 5,500개로 나누면 개당 약 7만 455달러입니다. 9월 25일 기준 가격이 8만 4,462달러였으니, 비트코인이 17퍼센트쯤만 내려가도 기금이 피해액보다 작아집니다. 큰 해킹 소식이 나오면 시장도 같이 어수선해지기 쉬운데, 그때 기금의 값도 함께 흔들린다는 점이 마음에 걸립니다.

투자자 입장에서 본 보호기금의 솔직한 맹점
솔직히 비트코인 5,500개로 기금을 조성했다는 것부터가 눈 가리고 아웅입니다. 대형 해킹이 터지면 코인 시장 전체가 쿵쾅거리면서 시장이 크게 출렁이기 쉬운데, 기금 가치가 깎여나가는 마당에 무슨 수로 피해액을 100% 보증한다는 건지 이해하기 힘듭니다. 게다가 약관 구석에 '거래소가 직접 평가하고 판단할 권리가 있다'고 적어둔 건, 진짜 큰 악재가 터졌을 때 '이건 보상 대상 아니다'라며 보상 여부를 결국 거래소가 정한다는 뜻으로 읽힙니다 . 회사의 호의에 내 돈을 맡기는 꼴이라 씁쓸하네요.

3. 국내 거래소였다면 무엇이 달랐을까요

국내에 신고한 거래소는 가상자산이용자보호법을 따라야 합니다. 2024년 7월부터 시행된 법이고, 해킹에 대비한 최소선을 정해 두었습니다.

• 콜드월렛 보관: 이용자 코인 가치의 80퍼센트 이상을 인터넷과 끊긴 지갑에 둬야 합니다
• 보험이나 준비금: 핫월렛에 둔 코인 가치의 5퍼센트 이상, 원화 입금 계좌가 연결된 거래소는 최소 30억 원 이상을 해킹·전산장애에 대비해 마련해야 합니다
• 원화 예치금: 은행이 따로 맡아 두고, 거래소가 망해도 이용자에게 먼저 돌려주게 되어 있습니다
• 입출금 차단 보고: 입출금을 막으면 그 사유를 이용자에게 알리고 금융위원회에 즉시 보고해야 합니다

다만 이 법이 사고가 나면 얼마를 어떻게 물어 줄지까지 정해 둔 것은 아닙니다. 이 부분은 거래소 사고 보상 기준 글에 따로 정리해 두었습니다. 국내라고 전액 보상이 보장되는 것은 아니지만, 적어도 「최소한 이만큼은 준비하라」는 선은 법으로 그어져 있습니다.

비트겟은 신고 명단 밖에 있는 거래소입니다

비트겟은 우리 금융정보분석원에 신고하지 않은 거래소입니다. 올해 1월 기사를 보면 구글플레이가 미신고 해외 거래소 앱을 막는 대상에 비트겟도 들어 있었고, 당시 국내 월평균 이용자가 11만 명이었습니다. 금융위원회는 미신고 사업자가 당국의 관리·감독을 받지 않아 해킹과 사기 위험에 노출될 수 있다고 안내하고 있습니다. 이용자를 처벌한다는 내용은 당국 자료에서 찾지 못했습니다. 처벌이 없다는 것은 반대로 말하면 보호도 없다는 뜻이기도 합니다.

국내 법안이 가진 현실적인 한계
국내 가상자산이용자보호법이 콜드월렛 80% 보관을 강제한다고 하지만, 정작 국내 투자자들이 왜 위험을 무릅쓰고 해외 거래소로 나가는지는 잘 들리지 않습니다. 국내 거래소는 선물거래나 숏포지션이 막혀있다 보니 결국 개인들은 해외로 내몰릴 수밖에 없는 구조죠. 당국은 '미신고 해외 거래소 쓰지 마라'고 경고만 던질 뿐, 정작 해외 거래소에서 사고가 났을 때 구제해 줄 현실적인 가이드라인이나 공조 시스템은 찾기 어렵습니다. 결국 법적 보호의 사각지대에서 터진 피해는 온전히 개인 투자자의 몫으로 남아버리는 게 지금의 현실입니다.

4. 해외 거래소에 코인을 두고 있다면 확인할 것

• 신고 명단: 쓰는 거래소가 금융정보분석원 신고 명단에 있는지 봅니다. 확인하는 방법은 가짜 거래소 앱 구별법 글에 적어 두었습니다
• 두는 양: 거래를 마친 코인까지 거래소 핫월렛에 계속 둘 필요는 없습니다. 지갑 종류별 차이는 핫월렛·콜드월렛 글에 있습니다. 다만 개인 지갑으로 옮기면 그때부터는 제가 직접 지켜야 하고, 하드웨어 지갑이 털린 일도 있었습니다
• 약관의 한 줄: 보호기금 안내에 「재량」이나 「권리를 가진다」는 말이 있는지 읽어 봅니다. 그 말이 있으면 보상 여부를 정하는 쪽은 결국 거래소입니다
• 공지 확인처: 출금 재개 소식은 거래소 공식 공지에서만 확인합니다. 메신저로 온 「출금 도와드린다」는 연락은 따르지 않습니다

「잔액은 정상」이라는 말, 그 뒤를 누가 받치는지 봅니다

이번 사고에서 비트겟이 빠르게 전액 보상을 약속한 것은 분명 다행입니다. 출금도 일정을 정해 다시 열겠다고 했습니다. 다만 그 약속을 지키게 만드는 것은 회사의 의지와 비트코인 값이지, 우리 법은 아닙니다. 국내 거래소의 안전장치가 넉넉하다는 뜻도 아닙니다. 법이 그어 둔 선이 있느냐 없느냐의 차이입니다.

제가 확인하지 못한 것도 적어 둡니다. 한국 이용자가 이번 사고로 얼마나 영향을 받았는지는 기사에서 찾지 못했습니다. 북한 해커 조직의 수법과 닮았다는 보도도 있었지만, 조사가 끝난 이야기는 아닙니다. 앞으로 사고 소식에서 「잔액은 정상」이라는 문장을 보면, 그 숫자를 누가 책임지는지부터 묻겠습니다.

---

참고자료

• 한국경제, 「비트겟, 3억5160만달러 상당 유출 사고 인정…출금 일시 중단」, 2026-09-25 · hankyung.com
• 블록미디어, 「비트겟 "해킹 원인은 지갑 백엔드 침해"…출금 재개 시점은 미정」, 2026-09-25 · blockmedia.co.kr
• 블루밍비트, 「비트겟 "이더리움·엑스알피 등 해킹 피해…출금 재개 시점 미정"」, 2026-09-25 · en.bloomingbit.io
• 플레이포럼, 「비트겟서 약 4800억 원 무단 유출...이용자 출금 전면 중단」, 2026-09-25 · playforum.net
• The Crypto Times, 「Bitget Withdrawals Resume September 28: Full Schedule After $387.5M Hack」, 2026-09-26 · cryptotimes.io
• Bitget, 「5500 BTC Protection Fund」 안내 페이지 · bitget.com
• 금융위원회, 「미신고 가상자산사업자 이용 및 거래에 각별히 주의하시기 바랍니다」, 2025-08-07 · fsc.go.kr
• ZDNet Korea, 「가상자산사업자, '콜드월렛' 의무 보관 비중 상향…80%」, 2023-12-11 · zdnet.co.kr
• 디지털투데이, 「이용자보호법 시행 후 첫 대형 해킹 사고…업비트 '제재 수위' 주목」, 2025-12-02 · digitaltoday.co.kr
• 다음뉴스, 「구글, 22만 쓰던 바이낸스 앱 차단…해외 거래소 접근 '문턱' 높아져」, 2026-01-17 · v.daum.net

※ 이 글은 해킹 사고를 다룬 기사와 거래소·금융당국 공개 자료를 읽고 정리한 개인 기록이며, 특정 거래소나 코인의 이용을 권하거나 말리는 글이 아닙니다. 내용은 2026년 9월 27일 기준입니다. 자세한 안내는 「블로그 소개 및 운영 원칙」을 참고해 주세요.