바이빗 거래소 15억 달러 해킹 사태 (2025, 북한 라자루스)

2025년 2월 21일 두바이에 본사를 둔 대형 암호화폐 거래소 바이빗(Bybit)은 이더리움 콜드월렛에서 정기 이체를 진행하던 중 승인되지 않은 거래를 탐지했다. 콜드월렛에서 웜월렛(warm wallet)으로 3만 ETH를 옮기는 통상적 절차 과정에서 이상이 감지됐다. 이 콜드월렛은 다중서명(멀티시그) 방식으로 운영되고 있었다. 초기에는 단순 오류가 아닌 외부 침입 정황이 드러났다. 거래소는 즉시 비상 대응에 들어갔다.

공격자들은 콜드월렛 운영에 쓰인 Safe(멀티시그 지갑) 서명 인터페이스(UI)를 조작하는 정교한 수법을 사용했다. 서명자들이 정상 거래를 승인하는 것처럼 보이게 화면을 위장하고, 실제로는 스마트컨트랙트의 로직을 공격자가 통제하도록 바꾸는 트랜잭션에 서명하게 만들었다. 이로써 공격자는 콜드월렛의 통제권을 확보해 자금을 빼돌렸다. 사람의 실수가 아니라 서명 환경 자체를 속인 공급망·인터페이스 공격이었다. 보안 업계는 이를 매우 진화된 형태의 공격으로 평가했다.

공격으로 40만 개가 넘는 ETH와 stETH가 미확인 주소로 빠져나갔고, 피해액은 약 14억~15억 달러에 달했다. 이는 단일 사건 기준 사상 최대 규모의 암호화폐 해킹으로 기록됐다. 기존 최대였던 로닌 브릿지 해킹(약 6억 달러)의 두 배를 넘는 액수였다. 탈취된 자산은 곧바로 여러 지갑으로 분산됐다. 시장에는 대규모 매도와 신뢰 위기 우려가 번졌다.

바이빗 최고경영자 벤 저우(Ben Zhou)는 해킹 직후 라이브 방송 등을 통해 사태를 공개하고 이용자 자산이 안전하며 인출이 정상적으로 이뤄질 것이라고 강조했다. 그는 거래소가 손실을 감당할 수 있으며 뱅크런을 막겠다고 밝혔다. 실제로 사건 직후 대규모 인출 요청이 몰렸으나 거래소는 이를 처리했다. 투명한 초기 대응은 시장 패닉을 일부 진정시켰다는 평가를 받았다. 다만 거래소 보안 체계에 대한 근본적 의문은 남았다.

온체인 분석가 ZachXBT는 해킹 당일 탈취 자금의 흐름과 지갑 패턴을 분석해 이번 공격이 북한 연계 해킹조직 라자루스 그룹의 소행이라는 결정적 증거를 제시했다. 그는 과거 북한 관련 해킹과의 자금 연결고리, 세탁 수법의 유사성을 근거로 들었다. 이 분석은 이후 공식 수사기관의 지목으로 이어지는 출발점이 됐다. 블록체인의 추적 가능성이 범인 식별에 결정적 역할을 했다. 커뮤니티 차원의 신속한 분석이 주목받았다.

바이빗은 탈취로 비게 된 이더리움 준비금을 메우기 위해 갤럭시디지털, 팰컨엑스(FalconX), 윈터뮤트(Wintermute) 등 주요 암호화폐 기업으로부터 긴급 브릿지 대출을 받아 약 44만 7000 ETH를 확보했다. 이를 통해 이용자 인출 요청에 대응하고 1:1 준비금 체계를 유지하려 했다. 업계 큰손들의 신속한 유동성 지원이 뱅크런을 막는 데 기여했다. 거래소는 며칠 만에 자산 규모를 회복했다고 밝혔다. 그러나 실제 도난 자산 회수는 별개의 과제로 남았다.

미국 FBI를 비롯한 수사기관과 체이널리시스 등 블록체인 분석기관은 이번 해킹을 북한 라자루스 그룹(일명 트레이더트레이터)의 소행으로 공식 지목했다. 라자루스는 탈취 자금을 북한의 핵·미사일 개발 재원으로 쓰는 것으로 알려진 조직이다. 바이빗은 도난 자산 추적에 협조하는 이들에게 보상을 주는 바운티 프로그램을 가동했다. 여러 거래소와 프로토콜이 관련 지갑 동결에 협력했다. 국제 공조 추적이 본격화됐다.

라자루스는 탈취한 ETH를 여러 지갑으로 쪼갠 뒤 탈중앙화 거래소와 크로스체인 브릿지, 믹서 등을 거쳐 빠르게 세탁하기 시작했다. 특히 토르체인(THORChain) 등을 통한 대규모 스와프가 관측됐다. 거래소와 분석기관의 공조로 약 4200만 달러 규모가 동결됐지만 이는 전체의 약 3%에 불과했다. 대부분의 자금은 추적을 따돌리며 세탁됐다. 사건은 북한의 암호화폐 탈취·세탁 역량을 다시 각인시켰다.

사상 최대 규모의 해킹은 각국 규제 당국과 업계에 거래소 보안, 특히 멀티시그·서명 인터페이스와 콜드월렛 운용에 대한 재점검을 촉발했다. 미국 등에서는 암호화폐 거래소 보안 기준과 자금세탁 방지 규제 강화 논의가 이어졌다. 바이빗과 분석기관은 세탁된 자금의 흐름을 계속 추적하며 회수를 시도했다. 그러나 라자루스의 정교한 세탁으로 상당액은 회수가 어려운 상태로 남았다. 북한 연계 해킹에 대한 국제 제재·공조 강화 요구가 커졌다.

블록체인 보안업체 TRM랩스가 2025년 상반기 암호화폐 해킹 피해액이 21억 달러(약 2조9,000억 원)에 달해 반기 기준 역대 최대를 기록했다고 발표했다. 이 가운데 2월 바이빗에서 발생한 약 14억 달러 규모 탈취가 단일 사건으로 최대 비중을 차지하며 전체 피해액을 끌어올렸다. 북한 연계 조직의 국가 주도형 해킹이 업계 최대 위협으로 지목됐다. 보고서는 중앙화 거래소의 콜드월렛 운영과 서명 인프라 전반에 대한 보안 재점검 필요성을 강조했다. 바이빗 사건은 발생 4개월이 지난 시점에도 업계 보안 논의의 중심에 있었다.

북한 국가연계 위협조직 소속 개발자의 컴퓨터가 정보 탈취 악성코드 '루마C2' 인포스틸러에 감염되면서 조직 내부 인프라와 운영 방식이 외부에 드러나는 이례적인 사건이 보도됐다. 분석 결과 해당 장비는 2025년 2월 바이빗 거래소 해킹에 실제로 이용된 것으로 확인됐다. 장비에서 발견된 이메일 계정은 피싱 사이트 구축에 활용된 도메인 등록에 쓰인 것으로 파악됐다. 감염된 PC에는 비주얼 스튜디오와 VPN, 슬랙, 텔레그램, 드롭박스 등 전문 개발 환경이 갖춰져 있었다. 공격자 스스로가 악성코드에 감염되면서 바이빗 해킹 실행 주체를 추적할 단서가 확보됐다는 평가가 나왔다.

체이널리시스와 슬로우미스트 등 보안업계 집계를 종합한 결과 2025년 한 해 암호화폐 범죄 피해가 약 34억 달러(약 4조8,500억 원)에 달한 것으로 나타났다. 이 중 2월 바이빗 해킹(약 14억6,000만 달러)이 연간 최대 사건이자 역대 암호화폐 해킹 사상 최대 규모로 기록됐다. 11월에는 국내 거래소 업비트에서도 약 445억 원 규모 자산이 유출되는 등 거래소를 노린 공격이 이어졌다. 바이빗 사건은 거래소 자체 보안을 강화해도 외부 공급망의 취약점 하나가 전체 시스템을 무너뜨릴 수 있다는 교훈을 남긴 사례로 평가됐다. 탈취 자금의 상당 부분은 북한 해커 조직으로 흘러간 것으로 지목됐다.