본문으로 건너뛰기

BtcTurk의 19개월 내 세 번째 해킹: 신흥 시장 CEX 신뢰 비용

· 약 10 분
Dora Noda
Dora Noda
Software Engineer

세 번의 침해 사고. 19개월. 1억 4,000만 달러 이상의 손실. 그럼에도 BtcTurk는 여전히 터키의 연간 약 2,000억 달러 규모의 암호화폐 거래량 대부분을 처리하고 있습니다. 터키 사용자들에게는 다른 선택지가 거의 없기 때문입니다.

이러한 긴장 상태가 2026년 1월 BtcTurk 해킹 사건의 진정한 핵심입니다. 헤드라인을 장식한 4,800만 달러라는 액수보다 더 중요한 사실이 있습니다. 터키의 지배적인 거래소가 2024년 중반 이후 세 번째로 핫월렛(hot-wallet) 자금을 도난당했음에도 개인 투자자들이 아무렇지 않게 거래를 이어가고 있다면, 무언가 구조적인 문제가 발생한 것입니다. 신흥 시장의 암호화폐 사용자들은 국제적인 경쟁업체들보다 실질적으로 취약한 수탁(custody) 환경을 감수하는 대신 현지 통화 결제망을 이용하는 대가로 이른바 '신뢰세(trust tax)'를 지불하고 있습니다. 글로벌 암호화폐 채택의 흐름이 투기적 거래에서 스테이블코인 기반의 저축으로 이동함에 따라, 이러한 비용은 곧 수면 위로 드러나게 될 것입니다.

세 가지 사건, 하나의 패턴​

2026년 1월 1일 발생한 침해 사고는 이더리움(Ethereum), 아비트럼(Arbitrum), 폴리곤(Polygon) 전반에 걸친 BtcTurk 핫월렛을 강타했습니다. 블록체인 보안 업체 앤체인(AnChain)은 손실액을 4,800만 달러로 추산했습니다. 탈취된 자산은 즉시 단일 세탁 허브로 통합되어 분산되었습니다. 바이낸스(Binance)는 탈취금의 약 11%인 530만 달러를 동결하고 조사에 협조했습니다.

이 과정은 매우 익숙하게 들릴 것입니다. 2024년 6월 22일, 공격자들이 ETH, AVAX, ARB, BASE, OP, MANTLE, MATIC을 포함한 10개의 BtcTurk 핫월렛에서 약 5,500만 달러를 탈취했을 때와 거의 동일하기 때문입니다. 당시에도 바이낸스는 530만 달러를 동결했는데, 이는 정교한 공격자들이 비협조적인 플랫폼을 통해 얼마나 빠르게 자금을 세탁하는지를 보여주는 지표이기도 합니다.

그 사이 2025년 8월에도 세 번째 사건이 발생하여 또 다른 핫월렛 보안 사고로 약 3,800만 달러의 손실이 발생했습니다.

세 번의 공격. 모두 핫월렛을 통해 이루어졌습니다. 모두 동일한 EVM 체인 클러스터에서 발생했습니다. 그리고 모두 동일한 방식으로 해결되었습니다. 거래소가 손실을 떠안고, 바이낸스가 극히 일부를 동결하며, 며칠 내로 자금 세탁이 완료되고, 거래가 재개됩니다. 이 패턴은 너무나 일관적이어서 개별적인 사고라기보다는 2026년에 핫월렛 중심의 거래소를 운영하는 데 드는 운영 비용처럼 보일 정도입니다.

손실이 BtcTurk 내에 머무는 이유​

세 번의 해킹 사건 모두에서 BtcTurk는 고객 예치금은 영향을 받지 않았으며, 도난당한 자금은 거래소 소유라고 밝혔습니다. 이러한 설명은 거래소의 재무제표 구조상 기술적으로는 정확할 수 있지만, 더 깊은 취약성을 숨기고 있습니다. 이 정도 규모의 핫월렛 손실은 운영 이익이나 주주 지분에서 충당되거나, 손실이 누적될 경우 결국 사용자 잔액에 영향을 미치게 됩니다.

이를 대형 거래소들이 동일한 리스크를 관리하는 방식과 비교해 보십시오. 코인베이스(Coinbase)는 보험사 컨소시엄을 통해 사고당 및 총 한도 3억 2,000만 달러 규모의 상업 범죄 보험 정책을 매년 갱신하며 유지하고 있습니다. 여러 기관 거래소의 수탁을 담당하는 비트고(BitGo)는 수탁 인프라에 보관된 디지털 자산을 특별히 보장하는 2억 5,000만 달러 규모의 로이즈 오브 런던(Lloyd’s of London) 보험에 가입해 있습니다. 크라켄(Kraken) 또한 특정 범죄 행위 및 침해 사고에 대한 보험 적용 범위를 공개하고 있습니다 (정확한 수치는 공개되지 않음).

BtcTurk의 보험 현황은 훨씬 불투명합니다. 분명한 점은 총 1억 4,000만 달러가 넘는 세 번의 손실은 코인베이스 규모의 보험 프로그램이라 할지라도 큰 부담을 줄 것이며, 다음 갱신 시 보험사와의 재협상을 촉발할 것이라는 사실입니다.

BtcTurk를 대체 불가능하게 만드는 터키의 거시 경제 상황​

왜 터키 사용자들은 세 번이나 해킹당한 거래소를 계속 신뢰할까요? 그것은 경제적 필요성 때문입니다.

터키의 암호화폐 시장은 연간 거래량이 약 2,000억 달러로 중동 및 북아프리카(MENA) 지역에서 가장 큽니다. 이는 아랍에미리트(UAE)의 530억 달러보다 거의 4배나 많은 수치입니다. MENA 지역 전체에서 2023년 7월부터 2024년 6월 사이에 약 3,387억 달러가 온체인 상에서 처리되었으며, 터키 혼자서 그 대부분을 차지하고 있습니다.

그 원동력은 리라화(Lira)에 있습니다. 인플레이션은 2024년에 평균 58.5%를 기록했고, 2025년 말에 약 33%로 진정되긴 했지만, 터키 저축가들은 뼈아픈 교훈을 얻었습니다. 리라화는 2020년과 2024년 사이에 구매력의 약 450%를 잃었습니다. 암호화폐는 투기적인 부업이 아니라 가계의 가치 저장 수단이 되었습니다.

특히 USDT는 현지 시장을 재편했습니다. USDT-TRY 페어는 2024년 바이낸스에서 거래량이 가장 많은 단일 페어가 되었으며, 220억 달러 이상 거래되어 다음 순위 페어보다 5배 이상 많았습니다. 현재 터키 성인 인구의 절반 이상이 어떤 형태로든 암호화폐를 보유하고 있습니다. 투자자 포트폴리오의 71%는 비트코인(Bitcoin), 45%는 이더리움(Ethereum), 33%는 스테이블코인이 차지하고 있습니다.

이러한 사용자 대부분에게 BtcTurk는 법정화폐 입출구(fiat on-ramp) 역할을 합니다. 바이낸스 터키, OKX 또는 글로벌 거래소에 접근하려면 대개 스테이블코인 전송이 필요한데, 이번 달의 리라화 가치 하락을 피하기 위해 자금을 이동하는 상황에서 이러한 번거로움은 목적을 퇴색시킵니다. 따라서 해킹 사고에도 불구하고 사용자들은 현지 결제망에 머무르게 됩니다.

터키의 규제 대응과 그 한계​

터키 정부도 손을 놓고 있지는 않았습니다. 2024년 7월, 의회는 자본시장위원회(CMB)에 암호자산 서비스 제공업체(CASP)를 허가하고 감독할 권한을 부여하는 국가 최초의 포괄적인 암호자산 법안을 통과시켰습니다. 2024년 8월까지 이미 47건의 라이선스 신청이 접수되었습니다. 2025년 3월 13일, CMB는 준비금, 공시 및 수탁 분리를 다루는 세부 운영 규칙을 발표했습니다.

터키의 금융 범죄 규제 기관인 MASAK은 한 걸음 더 나아갔습니다. 2025년 회람 제29호(Circular No. 29)를 통해 BtcTurk의 세 번의 해킹 사건에서 나타난 급격한 크로스체인 자금 유출을 늦추기 위해 설계된 출금 제한 기간, 스테이블코인 한도 및 거래 공시 요건을 도입했습니다.

하지만 규제는 공격자의 혁신 속도와는 다른 시간대에서 움직입니다. 2026년 1월의 침해 사고에서는 MASAK의 출금 지연 시스템이 작동하기도 전에 단 몇 시간 만에 세 개의 EVM 체인을 통해 자금 세탁이 이루어졌습니다. CMB 라이선스는 거버넌스 표준을 강제할 뿐, 거래소의 핫월렛 아키텍처를 근본적으로 뜯어고치지는 못합니다.

현재 터키와 대부분의 신흥 시장에서 부족한 점은 거래소 규모에 연동된 법정 수탁 보험의 최소 기준입니다. 유럽의 MiCA 프레임워크와 홍콩 금융관리국의 스테이블코인 체제는 모두 이 방향으로 나아가고 있습니다. 하지만 터키는 아직 그렇지 못합니다.

더 이상 고립된 지역적 현상이 아닌 패턴​

BtcTurk 는 일회성 사례가 아닙니다. 이는 신흥 시장 CEX (중앙화 거래소) 전반에서 단순한 일화에서 하나의 추세로 자리 잡은 패턴의 일부입니다.

  • WazirX, 2024 년 7 월 (인도). Liminal 과의 수탁 계약에 따라 운영되던 멀티시그 (multi-sig) 지갑에서 약 $ 234.9 백만 규모의 자산이 도난당했습니다. 분석가들은 이 공격의 배후로 라자루스 그룹 (Lazarus Group) 을 지목했습니다. 1 년여의 법적 절차는 2025 년 10 월 싱가포르 고등법원이 채권자 구조조정 계획을 승인하면서야 마무리되었습니다. 사용자들은 전액 회복 대신 청구 가치의 약 85% 에 해당하는 비례 배분을 수용했습니다.
  • Indodax, 2024 년 9 월 (인도네시아). 약 $ 22 백만 규모의 자산이 도난당했으며 600 만 명 이상의 사용자가 영향을 받았습니다. 이번에도 라자루스 그룹이 배후로 의심되었습니다.
  • BtcTurk, 세 차례의 사고 발생 (터키). 이 글의 주제입니다.

이 거래소들은 각자의 현지 시장을 장악하고 있습니다. 각각 국제 거래소가 쉽게 복제할 수 없는 현지 통화 페어를 제공합니다. 그리고 각각은 1 티어 국제 거래소라면 자격 미달 수준의 보안 경험을 제공해 왔습니다.

이것이 바로 비대칭성입니다. 신흥 시장 사용자들은 필요한 금융 경로를 확보하기 위해 더 높은 수수료를 지불하고, 더 높은 운영 위험을 감수하며, 더 부실한 보험 및 법적 구제를 받습니다. $ 3,400 억 규모의 MENA (중동 및 북아프리카) 암호화폐 거래량은 상당 부분 이러한 비대칭성 위에 구축되었습니다.

패턴을 깨기 위한 해결책​

세 가지 타당한 경로가 존재하며, 각각은 장단점이 있습니다.

1. 글로벌 거래소의 현지 법정화폐 통합 심화. Binance Turkey, OKX, Bybit 은 이미 해당 지역에서 운영 중이지만, 리라화 입출금을 위해 제 3 자 은행 파트너에 의존하고 있습니다. 만약 은행이 BtcTurk 와 동일한 속도와 비용으로 직접적인 TRY 경로를 수용한다면 사용자 이동이 가능해집니다. 제약 사항: 터키 은행 규제 당국은 역사적으로 현지 거래소 운영자를 보호하기 위해 암호화폐와 은행 간의 통합을 제한해 왔습니다.

2. 수탁 보험 의무화 하한선 설정. CMB (터키 자본시장위원회) 는 라이선스를 보유한 CASP (암호자산 서비스 제공자) 가 일일 핫월렛 처리량에 비례하는 사고당 보상 범위를 확보하도록 요구할 수 있습니다. 이는 MiCA 의 자산 분리 규칙이나 홍콩 HKMA 의 스테이블코인 발행사 프레임워크와 유사한 모델입니다. 제약 사항: 이 정도 규모의 보험 수용 능력은 어디선가 확보되어야 하며, 글로벌 보험사들은 이미 신흥 시장의 암호화폐 위험을 경계하고 있습니다.

3. 인프라의 MPC 및 셀프 커스터디로의 전환. BtcTurk 의 세 가지 사고 모두에서 반복된 약점은 핫월렛 아키텍처 그 자체입니다. 다자간 연산 (MPC) 서명, HSM 기반 키 샤드, 정책 기반 출금 제어는 구조적으로 손실 노출면을 줄일 것입니다. 제약 사항: 운영의 복잡성과 비용 문제로 인해 현지 거래소들은 역사적으로 규제 압박이 있을 때만 이를 도입해 왔습니다.

어느 한 가지 경로만으로는 문제를 해결할 수 없습니다. 글로벌 거래소의 현지 가격 압박, 규제 기관의 보험 및 수탁 표준 의무화, 그리고 더 나은 원천 기술을 공급하는 인프라 제공업체의 결합이 향후 5 년간의 타당한 궤적이 될 것입니다.

더 넓은 시장의 신호​

2026 년 1 월 BtcTurk 해킹 사건은 암호화폐 인프라 담론이 "스테이블코인이 확장될 것인가?"에서 "이들을 담고 있는 경로가 실제 채택 단계에서 생존할 수 있는가?"로 전환되는 시점에 발생했습니다. 2026 년 2 분기 글로벌 스테이블코인 시가총액은 3,110억을돌파했으며,USDT만해도약3,110 억을 돌파했으며, USDT 만 해도 약 1,840 억에 달했습니다. 이러한 성장의 상당 부분은 터키, 아르헨티나, 나이지리아, 베트남과 같은 신흥 시장의 사용량에 기인하며, 이곳의 사용자들은 스테이블코인을 거래 담보가 아닌 저축 수단으로 보유합니다.

만약 그러한 저축 자산이 BtcTurk 수준의 보안을 가진 현지 CEX 에 보관되어 있다면, 단 한 번의 파괴적인 사고만으로도 수백만 명의 개인 사용자가 하루아침에 셀프 커스터디로 전환하거나, 다시 달러 현금과 금으로 돌아설 수 있습니다. 어느 쪽이든 거래소 경제와 저축 수단으로서의 스테이블코인 가설에는 하락 요인입니다.

개발자와 인프라 제공업체에게 주는 시사점은 실용적입니다. 거래소 툴링의 다음 성장 한계선은 1 티어 거래소가 기능을 추가하는 것이 아닙니다. 채택이 심화됨에 따라 사용자 신뢰를 유지할 수 있는 수준으로 수탁, 결제 및 보험을 업그레이드하는 2 티어 및 3 티어 현지 거래소들입니다.

BtcTurk 의 세 번째 해킹은 단순히 터키만의 이야기가 아닙니다. 이는 핫월렛 아키텍처가 스테이블코인 규모의 사용자 잔액을 만났을 때 신흥 시장 암호화폐 스택 전반에서 어떤 일이 벌어지는지를 보여주는 예고편입니다. "신뢰 비용 (Trust tax)"은 실재하며, 이는 계속해서 누적되고 있습니다.

BlockEden.xyz 는 Ethereum, Arbitrum, Polygon, Sui, Aptos 및 거래소 수탁 운영이 실행되는 기타 체인 전반에 걸쳐 엔터프라이즈급 RPC 및 인덱싱 인프라를 제공합니다. API 마켓플레이스 살펴보기 를 통해 핫월렛 시대 이후의 안정성 계층을 위해 설계된 인프라를 기반으로 구축을 시작하세요.

출처​

Share on Twitter