암호화폐 거래소는 역사상 수십 차례의 대형 해킹 사건을 겪었으며 누적 손실은 200억 달러를 넘습니다. 이 글은 시간과 손실 금액을 기준으로 지난 10년간의 주요 사건을 정리합니다. 먼저 결론부터 말하면 역사상 최대 단일 도난 사건은 2025년 2월 Bybit 해킹(14.6억 달러)이며, 가장 심각한 파산 사건은 2014년 Mt.Gox(85만 BTC, 당시 4.5억 달러, 2026년 가격 기준 700억 달러 이상)이고, 배상이 가장 투명했던 사건은 2019년 Binance 해킹(SAFU 전액 배상)입니다. 일반 계정과 예비 계정은 바이낸스 공식 사이트에서 메인 계정을 등록하고, 안드로이드는 바이낸스 공식 앱을 설치하며, iOS 사용자는 해외 Apple ID로 전환하는 방법을 iOS 설치 가이드에서 참고해 바이낸스 메인 앱을 설치하세요.
당시 손실 금액 순으로 정렬:
| 순위 | 사건 | 시기 | 손실 금액(당시) | 손실 금액(2026년 가치) | 배상 상황 |
|---|---|---|---|---|---|
| 1 | Bybit 이더리움 콜드월렛 해킹 | 2025-02-21 | 14.6억 달러(40만 ETH) | 14.6억 달러 | 24시간 내 전액 배상 |
| 2 | Mt.Gox | 2014-02 | 4.5억 달러(85만 BTC) | 700억 달러 이상 | 부분 배상(2025년까지도 진행 중) |
| 3 | Coincheck(일본) | 2018-01-26 | 5.3억 달러(5억 NEM) | 6.8억 달러 | 100% 배상 |
| 4 | KuCoin 핫월렛 해킹 | 2020-09-26 | 2.85억 달러 | 2.85억 달러 | 84% 회수 + 16% 플랫폼 배상 |
| 5 | Bitfinex | 2016-08-02 | 7200만 달러(12만 BTC) | 89억 달러 | 부분 회수 + LEO 토큰 배상 |
| 6 | Poly Network | 2021-08-10 | 6.1억 달러(크로스체인 포함) | 6.1억 달러 | 해커가 자발적으로 99% 반환 |
| 7 | FTX 파산(해킹은 아니지만 거액 손실) | 2022-11 | 80억-100억 달러(사용자 자금 유용) | 80억-100억 달러 | 부분 회수(파산 절차 진행 중) |
| 8 | Ronin Network 크로스체인 브리지 해킹 | 2022-03-23 | 6.25억 달러 | 6.25억 달러 | Sky Mavis 자체 조달 배상 |
| 9 | Wormhole 크로스체인 브리지 해킹 | 2022-02-02 | 3.2억 달러 | 3.2억 달러 | Jump Crypto 자금 투입 전액 배상 |
| 10 | Bitstamp(유럽) | 2015-01-04 | 510만 달러(19000 BTC) | 17.5억 달러 | 100% 자체 자금 배상 |
Q: 2025년 Bybit 해킹이 왜 역사상 최대 규모인가요?
2025년 2월 21일 북한의 라자루스 그룹(Lazarus Group) 해킹 조직이 Bybit의 멀티시그 커스터디 서비스(Safe{Wallet})의 프런트엔드를 공격해, Bybit CEO Ben Zhou가 서명 이체를 하는 순간 악성 스크립트가 거래 목적지 주소를 조작했습니다. 그 결과 14.6억 달러 상당의 ETH(약 40만 ETH)가 해커 주소로 이체되었습니다.
사건 발생 후 Bybit는 24시간 이내에 "자체 자금 + 제3자 긴급 대출"로 사용자에게 전액 배상하겠다고 발표해 대규모 인출 사태를 막았습니다. 이후 Bybit는 Cobo Custody, Fireblocks와 함께 멀티시그 절차를 업그레이드해 "프런트엔드 + 백엔드 + 하드웨어"의 3단계 검증을 도입했습니다.
Mt.Gox(Magic: The Gathering Online Exchange)는 2014년 암호화폐 거래소 역사상 가장 참혹한 파산 사건입니다:
Mt.Gox 사건이 암호화폐 업계에 미친 영향은 막대합니다:
Q: Mt.Gox 사용자는 결국 얼마를 돌려받았나요?
Mt.Gox 사용자는 파산 협정에 따라 **BTC 수량 기준 약 85%**를 돌려받았습니다(당시 달러 가치가 아니라 수량 기준임에 주의). 즉 2014년에 BTC 1개(당시 530달러)를 잃었다면, 2024-2025년에 0.85 BTC(2025년 가격 약 8만 달러/BTC 기준으로 약 6만 8000달러 가치)를 돌려받은 셈입니다. 오랜 대기 끝에 오히려 BTC 가격 상승이라는 "수동적 이익"을 얻은 매우 뜻밖의 결과입니다.
2020년 9월 26일 KuCoin의 핫월렛이 해킹당해 약 2.85억 달러의 손실이 발생했습니다. 이 사건의 처리 방식은 업계에서 "배상의 모범 사례"로 평가받습니다:
KuCoin 사건이 "배상의 모범 사례"로 꼽히는 핵심 이유는 다음과 같습니다:
Q: KuCoin 사건 이후에도 KuCoin을 신뢰할 수 있나요?
KuCoin의 사건 처리 방식은 업계의 인정을 받았고, 사건 이후 6년간 재해킹은 없었습니다. 다만 KuCoin의 전반적인 보안 등급은 여전히 Binance/OKX/Coinbase/Kraken에 미치지 못합니다:
KuCoin은 소형 코인 거래용 보조 계정으로는 적합하지만 장기 대규모 보유에는 적합하지 않습니다.
2019년 5월 7일 Binance의 핫월렛이 해킹당해 약 7000 BTC(당시 가치 약 4000만 달러)의 손실이 발생했습니다. 사건 세부 내용:
SAFU 기금은 Binance가 2018년 7월에 설립한 "사용자 안전 자산 기금"으로, 플랫폼 현물 수수료 수익의 10%를 적립합니다. 사건 당시 SAFU 잔액은 약 5.5억 달러로, 7000 BTC 손실(약 4000만 달러)을 충분히 감당하고도 남았습니다.
2026년 4월 기준 SAFU 기금 규모는 이미 10억 달러에 이르며(공개 온체인 주소로 확인 가능), 암호화폐 업계에서 가장 유명한 "사용자 보험 기금"이 되었습니다.
Q: SAFU 기금은 정말 모든 손실을 배상할 수 있나요?
SAFU 기금 10억 달러는 이론적으로 Binance의 단일 해킹 사건 중 중간 규모 손실(10억 달러 이하)을 감당할 수 있습니다. 다만 SAFU는 법적 배상 의무가 아니라 Binance의 "자발적 약속"입니다. 만약 초대형 사건(예: 50억 달러 이상)이 발생해 SAFU가 부족하다면 Binance는 부분 배상이나 토큰 배상을 선택할 수도 있습니다.
가장 안전한 전략은 장기 자산을 2-3개의 라이선스 거래소 + 하드웨어 지갑 콜드 스토리지에 분산하는 것이며, 어떤 단일 플랫폼의 "자발적 배상 약속"에도 의존하지 않는 것입니다.
2022년은 크로스체인 브리지 해킹이 빈번했던 시기입니다:
| 사건 | 시기 | 손실 | 공격 벡터 |
|---|---|---|---|
| Wormhole | 2022-02-02 | 3.2억 달러 | 스마트 컨트랙트 서명 검증 취약점 |
| Ronin Network | 2022-03-23 | 6.25억 달러 | 멀티시그 개인키 피싱 |
| Harmony Horizon | 2022-06-23 | 1억 달러 | 멀티시그 개인키 공격 |
| Nomad | 2022-08-01 | 1.9억 달러 | 스마트 컨트랙트 로직 취약점 |
| BNB Chain Bridge | 2022-10-06 | 5.7억 달러(대부분 회수) | 크로스체인 메시지 증명 위조 |
크로스체인 브리지(Cross-chain Bridge)는 두 블록체인을 연결하는 스마트 컨트랙트 시스템으로, 공격 표면이 넓습니다(스마트 컨트랙트 + 멀티시그 + 크로스체인 메시지). 2022년 크로스체인 브리지의 총 해킹 손실은 20억 달러를 넘어 그해 DeFi의 최대 리스크 요인이었습니다.
2023-2026년 크로스체인 브리지 보안이 업그레이드되었습니다: 영지식 증명 크로스체인(zkBridge), 라이트 클라이언트 검증, 멀티시그 + 하드웨어 서명 분리가 도입되었으며, 대형 사건은 크게 줄었습니다.
Q: 지금 크로스체인 브리지를 써도 안전한가요?
2026년 4월 기준 주류 크로스체인 브리지(LayerZero, Wormhole 업그레이드 버전, Connext, Across 등)의 보안 수준은 크게 향상되었습니다. 다만 다음을 권장합니다:
2022년 11월 FTX 파산은 암호화폐 역사상 가장 심각한 사건 중 하나지만, FTX는 해킹당한 것이 아닙니다:
FTX 사건은 거래소의 불투명한 운영 + 사용자 자금 유용이라는 최대 리스크를 드러냈습니다. 사건 이후 업계는 "준비금 증명(PoR)"을 표준으로 도입했습니다(Binance, OKX, Bybit 등이 모두 정기적으로 PoR을 공개하기 시작).
Q: 거래소가 사용자 자금을 유용하는지 어떻게 판단하나요?
거래소의 자금 안전성을 판단하는 핵심 지표:
Binance, OKX, Bybit, Coinbase, Kraken의 PoR은 모두 공개되어 확인할 수 있으며, 투명도가 2022년 FTX보다 훨씬 높습니다.
해킹 외에도 거래소의 "자체 붕괴" 역시 중대한 리스크입니다:
| 사건 | 시기 | 손실 | 성격 |
|---|---|---|---|
| QuadrigaCX(캐나다) | 2019-01 | 1.9억 달러 | CEO 사망 + 개인키 분실(유용 의혹) |
| Cryptopia(뉴질랜드) | 2019-01 | 2300만 달러 | 해킹 + 파산 |
| Celsius Network | 2022-07 | 47억 달러 | 대출 플랫폼 붕괴(DeFi 레버리지 청산) |
| Voyager Digital | 2022-07 | 13억 달러 | 대출 플랫폼 붕괴 |
| BlockFi | 2022-11 | 3.55억 달러 | 대출 플랫폼 붕괴(FTX 파산 연루) |
| Genesis | 2023-01 | 33억 달러 | DCG 그룹 연루 + 대출 붕괴 |
2022-2023년의 "암호화폐 신용 위기"는 업계의 시스템적 붕괴 시기였습니다. Celsius, Voyager, BlockFi, Genesis는 모두 대출 플랫폼으로, 높은 금리를 약속했지만 실제로는 사용자 자금을 Three Arrows Capital 같은 고위험 기관에 대출해주었습니다.
Q: 고금리 자산운용 플랫폼은 믿을 만한가요?
연 10%가 넘는 안정적인 수익률을 약속하는 플랫폼은 모두 경계해야 합니다:
USDC/USDT의 지속 가능한 안정 수익률은 약 4-6%(미국 국채 수익률 기반)입니다. 10%를 넘는 스테이블코인 연이율은 그 이면의 리스크 출처를 반드시 의심해야 합니다.
2026년 4월 데이터 기준 "무사고 기록" 정리:
| 거래소 | 설립 연도 | 주요 해킹 사건 | 사용자 자금 손실 |
|---|---|---|---|
| Kraken | 2011 | 0회 | 0 |
| Coinbase | 2012 | 0회(핵심 지갑) | 0 |
| Bitstamp | 2011 | 1회(2015, 100% 배상 완료) | 0(배상 후) |
| Binance | 2017 | 1회(2019, SAFU 전액 배상) | 0(배상 후) |
| OKX | 2017 | 0회 | 0 |
| Bybit | 2018 | 1회(2025, 100% 배상 완료) | 0(배상 후) |
| KuCoin | 2017 | 1회(2020, 84% 회수 + 플랫폼이 16% 보전) | 0(배상 후) |
| Mt.Gox | 2010 | 이미 폐업 | 사용자가 수량 기준 85% 회수(2024-2025년 배상) |
| FTX | 2019 | 이미 폐업 | 부분 배상(파산 시점 달러 가치 기준) |
가장 오랜 무사고 기록: Kraken(14년)과 Coinbase(13년). 이 두 곳은 업계에서 "가장 안전한" 거래소로 공인받고 있습니다.
Q: 거래소를 선택할 때 보안 비중은 얼마나 둬야 하나요?
자산 규모가 보안 비중을 결정합니다:
Q: 하드웨어 지갑이 정말 거래소보다 안전한가요?
하드웨어 지갑(Ledger, Trezor 등)은 거래소보다 안전성이 훨씬 높습니다: 개인키가 기기를 벗어나지 않아 컴퓨터가 해킹당해도 안전합니다. 다만 하드웨어 지갑에는 니모닉 분실 위험이 있습니다. 니모닉을 도난당하거나 분실하면 자산이 100% 손실되며 누구도 배상하지 않습니다.
장기 보유 + 자주 거래하지 않는 자산에는 하드웨어 지갑이 적합합니다. 일상 거래 자산은 여전히 거래소에 두어야 합니다.
Q: 거래소는 클수록 안전한가요?
전반적으로 관련이 있지만 절대적이지는 않습니다:
가장 안전한 선택: 라이선스가 완비되어 있고 + 중대 사건 이력이 없으며 + PoR이 투명한 대형 거래소를 고르는 것입니다.
Q: 거래소의 준비금 증명 PoR을 정말 믿을 수 있나요?
PoR은 "스냅샷" 증명이지 실시간 증명이 아닙니다. 이론적으로 거래소가 스냅샷 직전에 임시로 자금을 끌어와 "장부를 꾸밀" 가능성도 있습니다. 다만 FTX의 "완전 비공개"와 비교하면 PoR은 이미 업계의 진보입니다.
가장 우수한 PoR은 "영지식 증명 + 온체인 검증 가능" 방식입니다(OKX가 채택). 일반 머클 트리 방식(Binance)이 그다음입니다.
Q: 해킹 사건은 발생 후 얼마 만에 알려지나요?
해킹 사건은 보통 6-24시간 이내에 온체인 분석가(PeckShield, SlowMist 등)에게 발견되어 공개됩니다. 만약 거래소가 갑자기 출금을 중단하고 트위터 활동이 비정상적으로 활발해진다면 즉시 코인을 인출해 리스크를 피해야 합니다.
Q: 거래소가 파산하면 돈을 돌려받을 수 있나요?
다음에 따라 달라집니다:
장기 분산 + 하드웨어 지갑이 유일하게 믿을 수 있는 헤지 수단입니다.
Q: 북한 해킹 조직 라자루스(Lazarus)는 무엇인가요?
라자루스 그룹은 북한 국가가 지원하는 해킹 조직으로, 2017년부터 암호화폐 업계를 여러 차례 공격했습니다. 알려진 사건들:
라자루스는 누적 30억 달러 이상의 암호화폐 자산을 훔쳐, 업계 최대의 단일 위협 요인입니다. Bybit 사건 이후 업계는 라자루스에 대응해 콜드월렛 멀티시그 + 하드웨어 서명 분리를 의무화하기 시작했습니다.
Q: 거래소의 "버그 바운티" 취약점 포상 프로그램은 참여할 가치가 있나요?
가치가 있습니다. Binance, OKX, Coinbase는 모두 버그 바운티 프로그램을 운영하고 있으며, 중대한 취약점을 발견하면 최대 10만-100만 달러의 포상금을 받을 수 있습니다.
다만 진지한 화이트해커만 참여하기에 적합하며, 일반 사용자는 함부로 "취약점 찾기"를 시도해서는 안 됩니다. 잘못된 조작은 법적 리스크로 이어질 수 있습니다.
위험 고지: 이 글은 독립 제3자가 정리한 자료로, 투자 자문에 해당하지 않습니다. 모든 데이터는 2026년 4월 기준입니다. 암호화폐 거래와 보유에는 높은 위험이 따르며, 자산 분산 + 하드웨어 지갑 콜드 스토리지가 가장 중요한 보안 전략입니다.