심바이오시스 비트코인 브리지 해킹: 336K 달러 공격으로 460억 개 가짜 syBTC 발행

크로스체인 인프라 제공업체 심바이오시스(Symbiosis)는 2026년 9월 11일 자사의 비트코인 브리지 인프라가 보안 침해를 당했다고 밝혔다. 이 공격으로 인가되지 않은 당사자가 BridgeV2 스마트 계약의 결함을 악용하여 수십억 개의 불법 합성 비트코인 토큰을 생성할 수 있었다.

사이버 보안 모니터링 플랫폼 블록에이드(Blockaid)가 이 침해 사건을 처음 감지하고 공개했다. 이들의 분석에 따르면, 공격자는 약 461억 개의 syBTC를 생성했는데, 이는 비트코인 전체 유통량의 2,000배가 넘는 수치다. 이렇게 생성된 가짜 토큰들은 새로 생성된 지갑 주소로 전송되었다.

발행된 위조 토큰의 수량은 막대했지만, 공격자는 심각한 유동성 제약에 직면했다. 이더리움 네트워크의 유니스왑(Uniswap)을 통해 약 4.39개의 래핑된 비트코인만 교환하는 데 성공하여 최종적으로 약 336,000달러를 빼돌렸다. 나머지 발행된 토큰들은 시장 수요를 찾지 못했다.

이 사실이 발견된 후, 심바이오시스는 보안 사고를 인정하고 모든 네이티브 비트코인 라우팅 기능을 즉시 중단했다. 이 프로토콜은 EVM 호환 블록체인, 트론(TRON), 톤(TON) 네트워크를 아우르는 대체 경로에 대한 운영은 유지했다. 옥토풀스(Octopools) 서비스는 중단 없이 계속 작동했다.

심바이오시스, 15 BTC 회수 및 포상금 제안

심바이오시스에 따르면, 팀은 침해 사건 이후 약 15 BTC를 성공적으로 회수했다. 현재 시장 가격으로 이 회수분은 약 115만 달러의 가치에 해당한다. 회수된 자산은 현재 핵심 팀이 관리하는 다중 서명 지갑에 안전하게 보관되어 있다.

개발팀은 공격자에게 연락하여 유용된 자산의 20%에 해당하는 화이트햇 포상금을 제안했다. 이 제안에는 9월 13일 수락 마감일이 포함되어 있었다. 이 마감일 이후, 심바이오시스는 추가 자금 회수를 촉진하는 실행 가능한 정보를 제공하는 모든 개인에게 동일한 20% 인센티브를 제공하겠다고 발표했다.

플랫폼은 영향을 받은 유동성 공급자들과 직접 소통하고 있다고 밝혔다. 보상 구조가 개발 중이며, 구체적인 자격 기준이 곧 발표될 예정이다. 비트코인 교환 기능은 제3자 통합 파트너인 체인플립(Chainflip)과 토르체인(THORChain)을 통해 복원되었지만, 자체 브리지는 여전히 비활성화 상태다.

몇 주 만에 발생한 세 번째 비트코인 브리지 공격

이번 침해 사건은 우려스러운 추세의 또 다른 사례다. 최근 몇 주 안에 리퀴드 네트워크(Liquid Network)와 노믹(Nomic) 모두 무담보 비트코인 파생 토큰을 사용한 유사한 공격을 겪었다.

블록스트림(Blockstream)이 운영하는 리퀴드 네트워크에서는 공격자가 약 4,000개의 무담보 LBTC 토큰을 생성하여 실제 비트코인으로 교환했다. 공격자는 이후 약 3,400 BTC를 반환했지만, 블록스트림은 아직 회수되지 않은 나머지 598.5 BTC에 대한 보상을 거부했다.

노믹은 유사한 조건에서 장기간 발견되지 않은 별개의 보안 취약점을 겪었다. 세 건의 침해 사건 모두 근본적으로 동일한 방법론을 사용했다. 즉, 비트코인 래퍼 플랫폼을 악용하여 합법적인 자산으로 뒷받침된다고 주장되는 과도한 토큰을 생성한 것이다.

9월 13일 현재, 심바이오시스는 BridgeV2 계약이 어떻게 손상되었는지 정확히 설명하는 포괄적인 기술 분석을 발표하지 않았다. 공격자가 포상금 제안에 응답했는지 여부를 확인하는 공개 성명도 없다.

약 5년 전 출범한 이후, 심바이오시스는 누적 거래량 100억 달러 이상을 처리했다. 이 프로토콜은 현재 약 700만 달러의 총 예치 자산(TVL)을 유지하고 있다.