또 다른 비트코인 브리지가 붕괴되었고, 이번에는 수십억이 생성되었다

비트코인 브리지 취약점으로 수십억 상당의 무담보 syBTC 발행

이번 주, 온체인 사이버 보안 플랫폼 Blockaid는 심비오시스(Symbiosis)의 BTC 브릿지에서 문제를 발견했다. Blockaid는 소셜 미디어 플랫폼 X에 “커뮤니티 경보”라는 글을 올렸다. “서명된 BridgeV2 수신 거래에서 새로 생성된 EOA로 ~2^62 원시 syBTC(소수점 8자리; 액면가 ~461억)가 발행되었으며, 동일한 수취인이 이더리움 유니 V4에서 ~4.39 WBTC를 매도했습니다. 현재까지 실현된 WBTC 수익은 약 33만 6천 달러입니다.”

간단히 말해, 해커는 심비오시스의 비트코인 브리지를 속여 막대한 양의 담보 없는 합성 BTC를 생성하게 했습니다. 그러나 이 악의적인 주체는 그중 극히 일부만을 실제 랩드 비트코인(WBTC)으로 약 33만 6천 달러에 판매하는 데 그쳤으며, 나머지는 아무도 구매하지 않을 가짜 공급량에 불과했습니다. 심비오시스도 X를 통해 이번 공격 사실을 확인했습니다.

심비오시스, 15 BTC 회수 및 해커에게 20% 현상금 제안

“심비오시스에서 보안 사고가 발생했습니다. 2026년 9월 11일 UTC 기준 약 04:28, [an] 공격자가 비트코인 브리지의 취약점을 악용했습니다. BTC 전송 경로는 중단되었습니다. 다른 경로는 정상적으로 운영 중이며 안전합니다,”라고 팀은 밝혔습니다. 팀은 약 15 BTC를 회수했으며, 현재 팀이 관리하는 멀티시그 지갑에 안전하게 보관 중입니다.” 심바이오시스는 다음과 같이 덧붙였습니다:

“우리는 공격자에게 자금의 20%에 해당하는 화이트햇 현상금을 제안하며 연락을 취했으며, 제안 기간은 2026년 9월 13일까지입니다. 해당 기간이 지나면, 회수에 결정적인 정보를 제공하는 누구에게나 동일한 20%가 지급될 것입니다.”

리퀴드(Liquid), 노믹(Nomic), 심바이오시스(Symbiosis), 동일한 기본 수법에 당해

이번 사건을 더욱 심각하게 만드는 점은, 이러한 기본적인 ‘언백킹(unbacking)’ 수법이 지난 몇 주 동안 세 차례나 발생했다는 사실입니다. 수법의 세부 내용은 정확히 동일하지는 않지만, 리퀴드 네트워크(Liquid Network)는 무담보 자산을 이용해 약 4,000 BTC가 유출되었으며, 마찬가지로 노믹(Nomic) 역시 유사한 상황에서 수개월 동안 발견되지 않은 보안 취약점을 가지고 있었습니다.

세 사건 모두 동일한 기본 수법을 사용했습니다. 본질적으로, 이들은 모두 비트코인 래퍼 프로젝트 측을 설득해 실제 토큰을 대표해야 할 추가 코인을 발행하도록 만들었습니다. 9월 13일 일요일 오전 현재, Symbiosis는 BridgeV2의 정확한 실패 원인을 설명하는 공개 기술 사후 분석 보고서도, 최종 달러 손실액도, 공격자가 20%의 화이트햇 제안을 수락했다는 공식 확인도 아직 내놓지 않은 상태입니다.