비트코인 펀드, 자산의 36%를 잃었으나 74일 동안 아무도 눈치채지 못했다

Nomic 버그로 인해 Alloyed BTC 담보에 36%의 공백 발생

분산형 거래소(DEX) 플랫폼 오스모시스(Osmosis)에 따르면, 노믹(Nomic)의 맞춤형 IBC 전달 경로에 있는 소프트웨어 결함으로 인해 공격자가 담보가 없는 nBTC를 발행하고, 그 대부분을 오스모시스의 알로이드 BTC 바스켓에 숨길 수 있었다. 거의 믿기 어려울 정도로 들리지만 명백한 사실은, 이 발행이 6월 25일에 발생했음에도 불구하고 74일 동안 눈에 띄는 곳에 숨겨져 있었다는 점이다.

“최근 노믹(Nomic) 체인에서 악용 사례가 발생했음을 확인했습니다. 이 악용 사례로 인해 공격자는 nBTC를 이중 지출할 수 있었으며, 이를 통해 오스모시스(Osmosis)에 허위 바우처를 전송할 수 있었습니다. 이 버그는 Nomic의 맞춤형 전달 메커니즘에 있었기 때문에 오스모시스(Osmosis)와 IBC는 침해되지 않았습니다. 발행된 총량 중 39.84 nBTC가 ‘Alloyed BTC’ 내에 있으며, 이는 그 담보 자산의 약 36%를 차지합니다,”라고 오스모시스는 이번 주 밝혔습니다.

오스모시스, 자금 동결 및 거버넌스를 통한 해결책 모색

문제 발견 직후, 오스모시스는 X를 통해 추가 자금 이동을 차단하기 위해 노믹 및 Alloyed BTC와 관련된 입출금을 신속히 중단했다고 설명했습니다. 이후 팀은 검증자들과 협력하여 공격자의 지갑에 보관된 22.65 BTC를 동결하는 긴급 업데이트를 진행했습니다.

“우리는 거버넌스에 이 자산들을 압류할 것을 제안하고, 커뮤니티 풀에 적립된 BTC를 사용하여 잔여 금액을 충당하고 Alloyed BTC의 완전한 담보 가치를 복원해 줄 것을 요청할 것입니다,”라고 팀은 밝혔습니다.

독립 연구원, Alloyed Bitcoin을 두 번 발행하게 한 버그 발견

‘Rarma’로 알려진 한 독립 연구원이 코드를 면밀히 분석한 후 X를 통해 문제 원인에 대한 통찰을 공유했습니다. 간단히 말해, 노믹(Nomic)의 시스템이 동일한 비트코인 예치 내역을 실수로 두 번 생성한 것입니다. 연구자의 X 게시물에 따르면, 첫 번째 일괄 처리는 정상적으로 이루어졌으나 두 번째 일괄 처리는 실제로 사용 가능한 추가 nBTC가 생성되었다고 한다. Rarma는 해당 파일 내 18개의 유사한 처리 과정 중 코인이 두 번 생성된 사례는 이것뿐이었으며, 시스템은 이를 수령하는 계정의 소유자조차 확인하지 않았다는 사실을 발견했다.

이 공격을 수행하는 데 든 비용은 단 1 사토시에 불과해 매우 저렴한 공격이었으며, Rarma는 9월 8일 자신의 연구 결과를 공개했을 당시에도 해당 결함 코드가 여전히 Nomic의 개발 브랜치에 수정되지 않은 채 남아 있었다고 적었습니다. Osmosis의 보안 업데이트는 바로 다음 날 X에 게시되었습니다.

팀이 현재 해결하고 있는 BTC 담보 문제에도 불구하고, 이번 사건은 다른 체인에서 발행된 이른바 ‘BTC 토큰’에 대해 유용한 경각심을 일깨워 줍니다. 이러한 토큰의 담보 신뢰도는 해당 토큰을 발행하는 데 사용되는 맞춤형 코드의 신뢰도에 전적으로 좌우되기 때문입니다.