작성: Biteye

《2014년부터 2026년까지: 글로벌 CEX 해킹 사건 총정리》

2011년 Mt.Gox가 처음으로 심각한 공격을 당한 때부터, 이후 Binance, Bybit 등 대형 거래소가 잇달아 해킹당한 지금까지 거래소 보안 문제는 결코 사라진 적이 없다.

핫월렛, 프라이빗키, 멀티시그 시스템, 직원 PC, 심지어 월렛 서비스 제공업체와 제3자 보안 장비까지 모두 공격자의 돌파구가 된 적이 있다.

탈취 금액은 계속 커지고 공격 방식도 갈수록 복잡해지고 있다. 초기 공격자들은 주로 거래소 자체의 기술적 취약점을 노렸고, 이후 피싱, 악성코드, 프라이빗키 탈취가 보편적인 수단으로 자리 잡았으며, 최근 몇 년간 공격은 멀티시그 프런트엔드, 내부 직원, 소프트웨어 공급망까지 확장됐다.

이 글은 과거에 공개적으로 알려진 CEX 해킹 사건을 시간 순서대로 정리하고, 각 사건의 탈취 금액과 구체적인 원인을 중점적으로 소개한다.

TL;DR:

• 20142026년에 30여 건의 중앙화 거래소 중대 해킹 사건이 발생했으며, 사건 당시 코인 가격 기준으로 누적 손실은 약 113억114억 달러다.

• 공격 수법은 계속 진화했다: 초기 핫월렛 프라이빗키 탈취에서 직원 피싱, 멀티시그 인터페이스 변조, 공급망 공격으로 발전했다.

• 탈취 금액은 갈수록 커지고 공격 경로는 갈수록 은밀해지고 있다. 거래소가 방어해야 할 대상은 이제 월렛만이 아니라 직원, 권한 시스템, 제3자 서비스까지 포함한다.

• 이 가운데 15건은 공식 기관 또는 보안 기관이 북한 해커와의 연관성을 지목하거나 의심한 사례로, 관련 금액은 약 101억 달러에 달해 전체 금액의 거의 90%를 차지한다.

2014년

Mt.Gox｜4억 5,000만~4억 8,000만 달러

2014년 2월, Mt.Gox는 약 85만 BTC가 사라졌다고 발표했으며, 당시 가격 기준으로 약 4억 5,000만~4억 8,000만 달러에 해당한다. 이후 플랫폼은 약 20만 BTC를 되찾았다.

조사에 따르면 공격자는 2011년부터 이미 서버와 월렛 프라이빗키 권한을 확보해 플랫폼 자산을 지속적으로 빼낸 것으로 보인다. 장기간의 절도에 내부 관리 혼란이 겹치면서 결국 Mt.Gox는 파산했다.

2015년

Bitstamp｜약 500만 달러

2015년 1월, 공격자는 사회공학 수법으로 Bitstamp 직원에게 접근해 시스템 관리자에게 악성 프로그램이 담긴 파일을 보냈다. 관리자가 해당 파일을 실행하자 PC가 장악됐고, 핫월렛 정보가 담긴 파일도 탈취됐다.

2016년

Bitfinex｜약 7,100만 달러

Bitfinex는 당시 BitGo와 협력해 멀티시그 월렛을 관리하고 있었다. 공격자는 관련 자격 증명과 API 권한을 확보한 뒤 출금 한도를 높이고 기존 멀티시그 보안 체계를 우회해 송금을 완료했다.

2018년

Coincheck｜약 5억 3,000만 달러

Coincheck는 5억 2,300만 XEM을 멀티시그 보호가 없는 핫월렛에 집중 보관했다. 직원 PC가 악성코드에 감염되자 공격자는 월렛 통제권을 확보하고 자산을 빼냈다.

Bithumb｜약 3,150만 달러

Bithumb의 핫월렛이 침해돼 약 350억 원 상당의 자산이 빠져나갔으며, 구체적인 공격 경로는 공개되지 않았다.

Zaif｜약 6,000만 달러

Zaif의 핫월렛이 침해돼 비트코인, 비트코인캐시, MonaCoin 등 자산이 빠져나갔다.

2019년

Cryptopia｜약 1,600만 달러

Cryptopia의 여러 핫월렛이 공격당했다. 사건 이후에도 자금 유출이 계속됐는데, 이는 공격자가 이미 관련 프라이빗키를 보유하고 있었고 거래소가 제때 통제권을 차단하지 못했음을 보여준다.

Binance｜약 4,070만 달러

공격자는 장기간의 피싱과 악성 프로그램으로 사용자의 API 키와 2차 인증 정보를 수집한 뒤 집중적으로 출금을 요청해 Binance 핫월렛에서 7,000 BTC를 빼갔다.

Upbit｜약 4,900만 달러

Upbit의 이더리움 핫월렛에서 342,000 ETH가 빠져나갔다. 공격자가 월렛 권한을 확보한 구체적인 과정은 공개 자료에 나와 있지 않다.

2020년

KuCoin｜약 2억 8,000만 달러

KuCoin의 여러 핫월렛 프라이빗키가 유출돼 공격자가 월렛을 통제하게 됐고, 비트코인, 이더리움과 다수의 ERC-20 토큰을 빼갔다.

2021년

Liquid｜약 9,700만 달러

Liquid의 웜월렛이 침해돼 비트코인, 이더리움 및 기타 토큰이 빠져나갔다. 웜월렛은 상시 온라인이 아니더라도 네트워크 시스템과 연결돼 있기 때문에 여전히 권한 탈취 위험이 존재한다.

BitMart｜약 1억 9,600만 달러

BitMart의 이더리움 및 바이낸스 스마트 체인 핫월렛 프라이빗키가 탈취됐다. 공격자는 토큰을 대량으로 빼낸 뒤 탈중앙화 거래 플랫폼을 통해 자산을 환전했다.

2022년

Crypto.com｜약 3,380만 달러

공격자는 Crypto.com의 2차 인증 절차를 우회해 483개 사용자 계정에서 비트코인, 이더리움 및 기타 자산을 빼갔다.

2023년

CoinEx｜약 5,400만~7,000만 달러

CoinEx 핫월렛 프라이빗키가 유출돼 공격자가 통제권을 확보한 뒤 여러 체인의 월렛에서 자산을 집중적으로 빼냈다.

Poloniex｜약 1억 1,400만~1억 3,000만 달러

Poloniex 핫월렛이 공격당해 다량의 토큰이 신속히 빠져나가 환전됐다. 공격자는 이미 프라이빗키 또는 그에 준하는 권한을 확보한 것으로 보인다.

HTX와 Heco 크로스체인 브리지｜합계 약 1억 1,300만 달러

HTX 핫월렛과 Heco 크로스체인 브리지에서 연달아 이상 송금이 발생했으며, 두 사건 모두 프라이빗키 또는 고권한 계정의 탈취를 가리킨다. Heco는 중앙화 거래소가 아니지만 HTX와 밀접한 관계를 맺고 있어 합산해 집계했다.

2024년

DMM Bitcoin｜약 3억 800만 달러

공격자는 채용을 명목으로 월렛 서비스 제공업체 직원에게 접근해 악성 스크립트를 실행하도록 유도한 뒤 송금 요청을 변조해 4,502.9 BTC를 공격자 주소로 이체시켰다.

BtcTurk｜약 5,500만 달러

BtcTurk의 여러 핫월렛이 탈취됐다. 구체적인 침입 방식은 공개되지 않았지만 공격자가 핫월렛 통제권을 확보한 것은 분명하다.

WazirX｜약 2억 3,000만 달러

WazirX 멀티시그 담당자가 인터페이스에서 본 거래 내용과 온체인에서 실제 실행된 내용이 일치하지 않았다. 공격자는 이런 "보이는 것과 서명하는 것의 불일치"를 악용해 서명자가 악성 거래를 승인하도록 유도한 뒤 월렛 컨트랙트를 업그레이드하고 자산을 빼갔다.

Indodax｜약 2,200만 달러

Indodax의 여러 핫월렛이 공격당했다. 구체적인 침입 방식은 공개되지 않았고, 공격자가 월렛 송금 권한을 확보했다는 점만 확인됐다.

BingX｜약 4,300만~5,200만 달러

BingX의 여러 체인 핫월렛에서 이상 자금 유출이 발생했다. 공개 자료에는 공격 진입 경로가 나와 있지 않으며, 공격자가 프라이빗키 또는 월렛 시스템을 통제했을 가능성이 있다.

2025년

Phemex｜약 7,000만~8,500만 달러

Phemex의 여러 체인 핫월렛에서 자산이 집중적으로 빠져나갔다. 플랫폼은 최초 침입 경로를 공개하지 않았지만, 공격자가 여러 월렛의 통제권을 확보한 것은 분명하다.

Bybit｜약 15억 달러

공격자는 Safe 월렛 프런트엔드에 침입해 멀티시그 담당자가 보는 거래 내용을 변조했다. 서명자는 자신이 정상 송금을 승인한다고 생각했지만 실제로 서명한 것은 월렛 통제권을 변경하는 악성 거래였고, 이후 약 40만 ETH가 빠져나갔다.

Nobitex｜약 9,000만 달러

공격자는 Nobitex의 자산을 누구도 통제할 수 없는 특수 주소로 이체해 사실상 자금을 소각했다. 이번 공격의 주된 목적은 이익이 아니라 정치적 파괴였다.

BigONE｜약 2,700만 달러

BigONE은 공급망 공격을 당했다. 공격자는 거래소 서버 환경에 침입해 동작 로직을 변조함으로써 시스템이 자신의 지시대로 자산을 이체하도록 만들었다.

CoinDCX｜약 4,420만 달러

CoinDCX의 한 엔지니어가 가짜 부업 제안에 속아 업무용 PC에 악성 프로그램을 설치했다. 공격자는 장악한 단말기를 통해 거래소 시스템에 진입해 내부 운영 계정에서 자산을 빼갔다.

BtcTurk｜약 4,800만~5,400만 달러

BtcTurk에서 다시 핫월렛 이상 송금이 발생했다. 구체적인 침입 방식은 공개되지 않았지만, 이 사건은 대부분의 자산을 콜드월렛에 보관하더라도 온라인 월렛과 권한 시스템이 여전히 돌파구가 될 수 있음을 보여준다.

Upbit｜약 3,040만 달러

Upbit 관리자 계정이 도용됐고, 공격자는 고권한 계정을 이용해 솔라나 핫월렛에서 무단 출금을 실행했다.

2026년: 보안 장비와 서명 권한이 계속 뚫리다

Bitget｜약 3억 8,750만 달러

공격자는 제3자 보안 장비의 제로데이 취약점을 이용해 월렛 서버에 진입한 뒤 거래를 위조해 자산을 빼갔다. 이번 공격의 돌파구는 Bitget 자체 시스템이 아니라 외부 보안 제품이었다.

Binance｜약 63억 달러 규모 자산 영향

Binance의 한 DevOps 엔지니어 PC가 침해돼 공격자가 내부 서비스 컨테이너에 진입하고 무단 출금 거래를 제출했다. 이번 사건은 약 63억 달러 규모의 자산과 관련되며, 현재까지 약 30억 달러가 동결됐고 최종 손실은 아직 집계 중이다.

맺으며: AI 시대, 자산 안전에 더 주의해야

CEX 해킹은 더 자주, 더 큰 금액으로 발생하고 있다.

2024년부터 2025년까지 모두 12건의 중대 사건이 발생해 2014년부터 2022년까지 9년간의 합계에 근접했고, 2025년부터 2026년까지의 탈취 및 영향 금액은 전체 통계의 70% 이상을 차지한다.

거래소가 보관하는 자산이 늘어난 데다, AI가 해커의 공격 효율까지 높이고 있다. AI는 공격자가 직원 정보를 신속히 수집하고 피싱 메일, 가짜 채용 자료, 악성 프로그램을 대량 생성하도록 도울 수 있다.

따라서 어느 거래소를 이용하든 메일이나 DM의 링크를 쉽게 클릭하지 말고, 가급적 패스키(Passkey), 하드웨어 키, 출금 주소 화이트리스트를 활성화하며, 더 이상 사용하지 않는 API 권한은 정기적으로 정리해야 한다. 보안에 사소한 일은 없다.