핫월렛과 콜드월렛 차이, 거래소 해킹은 왜 인터넷에 연결된 지갑에서 터질까
세계 최대 가상자산 거래소 바이낸스에서 10월 30일 새벽(한국시간) 약 63억 달러, 우리 돈 8조 원이 넘는 가상자산이 빠져나갔습니다. 바이낸스는 이 사고를 핫월렛 보안 사고로 공지했습니다. 거래소 해킹 소식이 나올 때마다 핫월렛과 콜드월렛이라는 말이 함께 등장하는 이유입니다.
핫월렛과 콜드월렛이 무엇이 다른지, 거래소 해킹은 왜 늘 인터넷에 연결된 지갑에서 일어나는지, 그리고 이런 해킹 사태에서 내 자산을 안전하게 지키려면 무엇을 챙겨야 하는지 차례로 정리했습니다.
핫월렛과 콜드월렛, 무엇이 다를까
가상자산 지갑은 인터넷에 연결돼 있는지에 따라 핫월렛과 콜드월렛으로 나뉩니다. 핫월렛은 인터넷에 연결된 지갑으로, 거래소에서는 이용자의 입출금 요청에 바로 대응하는 용도로 씁니다. 모바일뱅킹으로 계좌를 실시간으로 쓰는 것과 비슷한 구조입니다.
콜드월렛은 인터넷과 분리된 저장장치에 보관하는 방식으로, 외부 접근이 막힌 은행 금고에 가깝습니다. 하드웨어 지갑이나 USB에 보관하는 형태가 대표적입니다. 대신 거래를 하려면 별도의 처리 절차를 거쳐야 해서 핫월렛만큼 바로 쓰기는 어렵습니다.
| 구분 | 핫월렛 | 콜드월렛 |
|---|---|---|
| 인터넷 연결 | 연결된 상태 | 인터넷과 분리 |
| 주된 용도 | 입출금 요청에 바로 대응 | 많은 자산을 오래 보관 |
| 비유 | 실시간으로 쓰는 은행 계좌 | 은행 지하 금고 |
| 장점 | 실시간으로 편리하게 사용 | 온라인 공격이 닿기 어려움 |
| 약점 | 온라인에 연결돼 있어 해킹에 취약 | 꺼내 쓰려면 별도 절차가 필요 |
| 대표 형태 | 거래소 입출금 지갑, 스마트폰 앱 지갑 | 하드웨어 지갑, USB 보관 |
여기서 지갑에 들어 있는 것은 코인 자체가 아닙니다. 코인 기록은 블록체인에 있고, 지갑은 그 주소에 연결된 개인 키를 지키는 역할을 합니다. 그래서 핫월렛과 콜드월렛의 차이는 결국 이 키를 인터넷에 닿는 곳에 두느냐, 떼어 두느냐의 차이라고 볼 수 있습니다.
거래소 해킹은 왜 핫월렛에서 터질까
블록체인이 안전하다는 말은 전 세계 수많은 컴퓨터가 같은 장부를 나눠 갖고 있어서, 이를 한꺼번에 조작하지 않는 한 기록을 고치기가 사실상 불가능하다는 뜻입니다. 거래소 해킹의 실제 진입점은 블록체인 바깥, 즉 거래소의 운영 시스템입니다.
거래소에서 이용자가 출금을 신청하면 먼저 핫월렛에서 처리하고, 핫월렛 잔고가 모자라면 콜드월렛에서 핫월렛으로 자산을 옮겨 출금합니다. 이처럼 핫월렛은 늘 인터넷에 연결된 채 출금을 처리해야 해서, 해커들은 실시간 거래가 오가는 핫월렛을 주로 노립니다.
바이낸스, 엔지니어 노트북에서 시작된 63억 달러 해킹
바이낸스는 초기 조사 결과, 공격자가 데브옵스(개발·운영) 엔지니어의 침해된 노트북을 거쳐 서비스 컨테이너에 접근한 뒤 승인되지 않은 출금 거래를 넣었을 가능성이 있다고 밝혔습니다. 서비스 컨테이너는 거래소의 특정 소프트웨어와 기능을 돌리는 독립된 운영 환경입니다. 지갑 개인 키가 유출됐다는 증거는 찾지 못했다는 것이 바이낸스의 설명입니다.
블록체인 분석업체 TRM랩스는 고객 출금을 처리하는 핫월렛의 거래 서명 시스템이 뚫렸을 가능성을 제기하고, 북한 해킹 조직 트레이더트레이터를 배후로 지목했습니다. 피해 규모는 2025년 2월 바이비트 해킹의 약 4.2배로, 미국 FBI와 비밀경호국도 수사에 나섰습니다.
바이낸스는 약 30억 달러어치를 동결했고, 회사 자금 63억4000만 달러 이상을 따로 마련해 이용자 손실을 전액 메우겠다고 밝혔습니다. 11월 1일부터는 점검을 마친 자산과 네트워크부터 출금을 단계적으로 되살리고 있습니다.
업비트도 2025년 핫월렛에서 445억 원이 빠져나갔습니다
국내에서는 2025년 11월 27일 새벽 업비트에서 솔라나 네트워크 기반 가상자산 24종, 약 445억 원어치가 지정하지 않은 외부 지갑으로 전송됐습니다. 해킹 시도 54분 만에 1000억 개가 넘는 코인이 밖으로 빠져나갔고, 인터넷이 차단된 콜드월렛에서는 해킹이 어려운 만큼 핫월렛에서 사고가 난 것으로 추정됐습니다.
업비트는 추가 이체를 막기 위해 자산을 모두 콜드월렛으로 옮겼고, 피해액 가운데 고객 자산 386억 원을 회사 자산으로 전액 보전했습니다.
콜드월렛도 빈틈이 없는 것은 아닙니다
콜드월렛이 핫월렛보다 안전한 것은 맞지만, 기기가 처음부터 조작돼 있다면 이야기가 달라집니다. 10월 초에는 하드웨어 지갑 제조사 렛저의 기기에서 최소 8600만 달러 이상이 탈취됐다는 신고가 잇따랐습니다.
문제가 된 기기는 공식 판매처가 아닌 동남아시아의 한 리셀러를 거쳐 팔렸고, 일부 기기에 악성칩이 심겨 시드 구문 등이 빠져나간 것으로 알려졌습니다. 제조사는 자사 기기와 시스템 자체에는 문제가 없다는 입장입니다.
국내 거래소는 핫월렛과 콜드월렛을 어떻게 나눠 보관할까
2024년 7월 19일 시행된 가상자산이용자보호법에 따라 국내 가상자산사업자는 이용자 가상자산의 80% 이상(경제적 가치 기준)을 인터넷과 분리된 콜드월렛에 보관해야 합니다. 또 이용자 자산은 거래소 자체 자산과 나눠 보관하고, 맡은 것과 같은 종류·수량을 실제로 갖고 있어야 합니다.
핫월렛에 남은 자산에 대비한 장치도 있습니다. 핫월렛에 보관 중인 가상자산 가치의 5% 이상을 보상한도로 보험·공제에 가입하거나 준비금을 쌓아야 하고, 원화마켓 거래소는 그 금액이 최소 30억 원 이상이어야 합니다. 국회 자료에 따르면 2025년 6월 말 기준 콜드월렛 보관 비율은 고팍스 101.2%, 업비트 98.3%, 빗썸 90.6%, 코인원 83.1%, 코빗 82.3%였습니다.
거래소는 이용약관에 따라 이용자가 요청하면 맡긴 가상자산을 돌려줄 의무가 있어서, 해킹 피해는 보통 거래소가 자기 자산으로 메웁니다. 거래소가 이를 메우지 못하면 이용자는 가상자산 반환이나 손해배상을 청구할 수 있고, 2018년 코인레일 해킹 사건에서는 법원이 거래소의 손해배상 책임을 인정했습니다.
거래소 해킹 사태에서 안전하려면
거래소 핫월렛이 뚫리는 일 자체는 이용자가 막을 수 없습니다. 이용자가 할 수 있는 일은 사고 뒤에 따라오는 2차 피해를 피하고, 내 계정과 내 지갑이 공격의 통로가 되지 않게 관리하는 것입니다.
거래소에 맡겨 둔 자산이라면
- 1공지는 거래소 공식 앱과 공식 사이트에서만 확인합니다. 바이낸스 사고 뒤에는 텔레그램으로 소량의 코인을 보내면서 바이낸스가 해킹당해 자산이 안전하지 않으니 '바이낸스 보험 금고'로 옮기라는 가짜 공지를 붙이는 사기가 등장해, 바이낸스 공동창업자 허이가 직접 주의를 당부했습니다.
- 2'보안 경고', '출금 시도 감지' 같은 문자 속 링크는 누르지 않습니다. 발신자 이름을 거래소처럼 꾸민 문자로 불안감을 자극한 뒤 가짜 사이트로 들어가게 해 로그인 정보나 인증번호를 빼 가는 수법이 쓰입니다.
- 32단계 인증을 켜고, 거래소가 제공한다면 안티 피싱 코드도 설정합니다. 안티 피싱 코드는 내가 정한 문구가 거래소 공식 메시지에 함께 표시되게 하는 기능이라, 이 문구가 없는 메시지는 바로 의심할 수 있습니다.
- 4출금 주소를 미리 등록한 곳으로만 보낼 수 있게 하는 기능이 있다면 켜 둡니다. 사전에 승인한 주소 외에는 자산을 보낼 수 없어 무단 이체를 막는 데 도움이 됩니다.
- 5브라우저에 비밀번호를 저장해 두는 습관과 설치된 프로그램을 점검합니다. 바이낸스 보안 책임자는 브라우저에 저장된 비밀번호와 클립보드 내용을 훔치는 악성코드가 피싱 링크, 비공식 소프트웨어, 악성 브라우저 확장 프로그램을 통해 설치될 수 있다고 설명했습니다.
개인 지갑으로 옮겨 보관한다면
거래소 해킹이 걱정돼 하드웨어 지갑 같은 개인 지갑으로 자산을 옮기는 경우도 있습니다. 이때는 거래소가 대신 지켜 주던 열쇠를 내가 직접 관리하게 되므로, 시드 문구와 기기 구입 경로가 가장 중요해집니다.
시드 문구는 보통 12개 또는 24개 단어로 이뤄진 복구용 문구입니다. 이 단어를 가진 사람은 누구든, 어디서든 지갑 전체를 되살릴 수 있고 비밀번호처럼 재설정할 방법도 없습니다. 종이나 금속에 적어 오프라인으로 보관하고, 사진을 찍거나 클라우드 메모에 저장하지 않는 것이 기본입니다.
시드 문구를 잃어버리면 지갑 속 자산에 다시 접근할 수 없습니다. 공식 지원팀이 시드 문구를 묻는 일은 없으므로, 시드 문구를 알려 달라는 연락은 모두 사기로 보면 됩니다. 기기는 제조사 공식 경로로 사고, 중고나 출처가 불분명한 기기는 피하는 것이 좋습니다.
어느 한쪽이 완벽하지는 않습니다
개인 지갑으로 직접 갖고 있든 거래소에 맡겨 두든 완벽한 방법은 없습니다. 개인 지갑은 구입 경로부터 시드 문구 관리까지 정보 유출에 특히 주의해야 하고, 자산을 여러 지갑에 적절히 나눠 보관하는 것도 현실적인 대안으로 꼽힙니다.
거래소 해킹 소식이 나온 직후에는 사고를 핑계로 자산을 다른 곳으로 옮기라는 연락이 올 수 있습니다. 거래소 공식 공지로 확인되지 않은 요청에는 응하지 않는 것이 안전합니다.
정리하면
핫월렛은 인터넷에 연결돼 입출금을 빠르게 처리하는 지갑이고, 콜드월렛은 인터넷과 떨어져 많은 자산을 오래 보관하는 지갑입니다. 블록체인 자체보다 거래소 운영 시스템과 핫월렛이 공격 대상이 되기 때문에, 바이낸스는 핫월렛 보안 사고로 발표했고 업비트도 핫월렛에서 사고가 난 것으로 추정됐습니다.
거래소를 이용한다면 공식 공지 확인, 2단계 인증과 안티 피싱 코드, 출금 주소 등록처럼 계정을 지키는 설정부터 챙기시는 것이 좋습니다. 개인 지갑을 쓴다면 시드 문구를 오프라인에 안전하게 보관하고, 기기는 공식 경로로 구입하는 것이 가장 중요합니다.
'IT 정보' 카테고리의 다른 글
| 초등생 200만 원 후원 논란, 유튜브 자녀 계정과 쇼츠 설정부터 확인하세요 (0) | 2026.11.02 |
|---|---|
| 윈도우 업데이트 후 비트락커 복구 화면, 복구 키부터 확인해야 하는 이유 (0) | 2026.10.30 |
| 갤럭시 A18 LTE 국내 출시, 42만 원대 보급형 폰 누구에게 맞을까 (0) | 2026.10.30 |
| 탠덤 OLED가 뭐길래, 새 맥북 프로 화면이 일반 OLED와 다른 점 (0) | 2026.10.29 |
| 윈도우 비밀번호를 잃어버렸을 때 해결 방법, 계정 종류부터 확인하세요 (0) | 2026.10.28 |