폴리 네트워크는 피해 자금 거의 전액 반환…쿠코인도 상당 부분 회수
핵심 요약
- 바이비트의 2025년 해킹 피해는 약 15억 달러에 달했다. 거래소 지갑부터 블록체인 브리지까지 주요 해킹 10건은 자산 보관과 거래 승인 절차의 취약점을 드러냈다.
가상자산 거래소와 블록체인 브리지를 겨냥한 대규모 해킹은 자금 탈취를 넘어 투자자 신뢰와 시장 가격에도 영향을 미쳤다. 애널리틱스 인사이트(Analytics Insight)가 정리한 주요 해킹 10건 가운데 2025년 바이비트(Bybit) 사건의 피해 규모는 약 15억 달러에 달했다.
바이비트 공격자는 이더리움 콜드월렛의 거래 서명 절차를 침해했다. 원문은 이 사건을 기록상 최대 가상자산 탈취로 소개했다. FBI는 북한 연계 사이버 공격 세력의 소행으로 지목했다. 인터넷과 분리해 보관하는 콜드월렛도 승인 절차가 뚫리면 피해를 볼 수 있음을 보여줬다.
블록체인 사이에서 자산을 옮기는 브리지에서도 대형 사고가 이어졌다. 2022년 로닌 네트워크(Ronin Network)에서는 공격자가 검증인 키를 침해해 약 6억2400만 달러의 피해를 냈다. 액시 인피니티(Axie Infinity) 게임 생태계를 지원하는 이 네트워크는 침해 탐지가 늦어지면서 손실이 커졌다. FBI는 이후 북한 연계 집단을 공격 주체로 지목했다.
같은 해 BNB 브리지에서는 BNB 체인의 크로스체인 검증 시스템 결함을 악용한 공격자가 약 200만 BNB 토큰을 생성했다. 피해 추정액은 약 5억8600만 달러였다. 검증인들은 네트워크를 신속히 중단하고 자산 상당 부분을 외부로 옮기기 전에 동결했다. 웜홀(Wormhole) 브리지에서는 소프트웨어 취약점으로 필요한 담보 없이 래핑된 이더가 생성돼 약 3억2500만 달러의 피해가 발생했다. 점프 크립토(Jump Crypto)는 이후 부족한 자금을 보충했다.
2021년 폴리 네트워크(Poly Network) 사건은 피해 회수 양상에서 차이를 보였다. 공격자는 크로스체인 스마트계약의 취약점을 이용해 여러 블록체인에 걸쳐 약 6억1100만 달러의 자산을 빼돌렸지만, 이후 거의 전액을 반환했다. 2020년 쿠코인(KuCoin)은 핫월렛이 침해돼 여러 가상자산을 합쳐 약 2억8100만 달러를 도난당했다. 블록체인 프로젝트와 거래소들이 자산 동결·회수를 도와 피해 자금의 상당 부분을 되찾았다.
거래소 해킹은 자산 보관 방식의 위험도 드러냈다. 일본 거래소 코인체크(Coincheck)는 2018년 보안 통제가 충분하지 않은 인터넷 연결 지갑에서 NEM 토큰 5억2300만 개를 잃었다. 당시 가치는 약 5억3000만 달러였다. 이 사건은 일본 당국의 감독 강화로 이어졌고, 대규모 자산을 핫월렛에 보관하는 위험을 부각했다. 비트파이넥스(Bitfinex)는 2016년 약 11만9756 BTC, 당시 약 7200만 달러를 도난당했다. 거래를 일시 중단하고 고객 계좌 잔액을 줄여 손실을 분담했으며, 미국 당국은 2022년 도난 비트코인의 상당 부분을 압수했다.
2014년 마운트곡스(Mt. Gox)는 비트코인(BTC) 약 85만 개가 사라졌다고 보고한 뒤 파산했다. 정확한 손실 원인과 발생 시점을 둘러싼 논란이 남았고, 수천 명의 고객이 큰 손실에 직면했다. 2016년에는 더 다오(The DAO)의 이더리움 기반 스마트계약 취약점으로 약 360만 ETH가 유출됐다. 당시 가치는 약 6000만 달러였다. 이 사건 뒤 논란 속에 이더리움 하드포크가 이뤄졌고 이더리움 클래식이 생겨났다.
각 사건의 피해액은 현재 가치가 아닌 발생 당시 자산 가치에 따른 추정치다. 손실·동결·회수 자금의 산정 방식에 따라 보고된 금액에 차이가 있을 수 있다. 대형 해킹 소식은 투자자의 매도를 촉발하고 가격 변동성을 키울 수 있지만, 실제 시장 영향은 피해 규모와 플랫폼, 전반적인 시장 상황에 따라 달라진다. 거래소의 접근 통제와 개인키 관리, 스마트계약·브리지의 소프트웨어 취약점, 거래 승인 절차가 주요 보안 과제로 드러났다.
