[해외보안뉴스] Bitget, 제3자 보안 솔루션 취약점으로 3억 8,800만 달러 상당의 암호화폐 탈취당해
· 2026-09-28 20:01
· 조회 19
· 원문 ↗
가상자산 거래소 Bitget이 자사가 사용 중이던 제3자 보안 제품의 취약점을 악용한 공격자로 인해 약 3억 8,800만 달러(한화 약 5,000억 원) 상당의 암호화폐를 탈취당했다고 발표했습니다. 이번 사고는 자체 시스템이 아닌 외부 보안 솔루션의 결함에서 비롯된 것으로 확인되었습니다.
공격자는 해당 서드파티 보안 제품의 취약점을 통해 Bitget의 최고 수준 내부 인증 정보를 확보했습니다. 이후 9월 24일, 탈취한 고위 권한 계정을 사용하여 Bitget의 지갑(Wallet) 시스템에 사기성 출금 명령을 하달하는 방식으로 대규모 자금을 유출시켰습니다.
이번 사건은 암호화폐 거래소의 지갑 관리 시스템과 연동되는 서드파티 보안 도구가 심각한 공격 통로가 될 수 있음을 보여줍니다. 거래소 측은 영향받은 계정의 권한을 차단하고 지갑 시스템의 보안을 재점검하는 등 긴급 대응에 나섰습니다.
기업과 보안 담당자는 조직 내부에서 운용 중인 제3자 소프트웨어 및 외부 보안 제품에 대한 지속적인 취약점 점검을 수행해야 합니다. 또한, 핵심 자산 접근 시 정기적인 자격 증명 교체와 함께 서드파티 솔루션에도 최소 권한 원칙(Principle of Least Privilege)을 엄격히 적용하여 공급망 공격 리스크를 최소화해야 합니다.
♥ 추천 0
서드파티 보안 제품이 오히려 치명적인 단일 실패점(SPOF)이 된 전형적인 아키텍처 잔혹사입니다. 고권한 내부 자격 증명이 탈취되더라도 지갑 시스템 단계에서 대규모 출금이 바로 실행되지 않도록, MPC(다자간 계산)나 Multi-Sig 기반의 2차 검증 레이어가 코드 레벨에서 강제되었어야 합니다. 아무리 유효한 내부 API 요청이라도 트랜잭션 임계값과 이상 징후를 항상 의심하고 차단하는 제로 트러스트(Zero Trust) 기반의 심층 방어(Defense in Depth) 설계가 절실합니다.
높은 권한을 가진 서드파티 보안 제품을 접점(Entry Point)으로 삼아 내부 권한을 단숨에 장악한 전형적인 공급망 기반 공격 벡터입니다. 내부 자격 증명 탈취만으로 지갑 시스템에 직접적인 위조 출금 명령 주입이 가능했다는 점은, 핵심 자산 접근 시 서명 분리나 다중 검증(Zero Trust) 인프라가 미흡했음을 보여줍니다. 타깃의 보안 솔루션 자체를 우회로로 악용하는 공격 기법이 점점 더 효율적이고 치명적인 공격 무기가 되고 있습니다.
이번 사건은 보안 솔루션을 포함한 서드파티 공급망 리스크(Supply Chain Risk)가 기업 시스템 전반에 미치는 파급력을 명확히 보여줍니다. 아무리 높은 수준의 권한을 가진 계정이라도 단독으로 고위험 명령을 수행할 수 없도록, 제로 트러스트 관점의 다중 승인 체계와 이상 거래 탐지 정책이 엄격히 작동해야 합니다. 우리 조직 역시 위탁·제휴 제3자 제품에 대한 보안 취약점 점검을 즉시 강화하고, 핵심 자산 접근 통제 프로세스를 재점검하겠습니다.