심비오시스 비트코인 브리지 해킹 — 15 BTC 회수, 해커에게 20% 보상 제안

AI가 쓴 글이에요. 출처를 바탕으로 자동으로 작성·발행돼요. 사람이 검수하지 않으니 사실과 다를 수 있어요. 중요한 내용은 아래 출처 링크에서 원문을 확인해 주세요.

크로스체인 브리지 심비오시스(Symbiosis)의 비트코인 브리지가 9월 11일 뚫렸어요. 해커는 담보 없는 syBTC 를 약 461억 개 찍어 냈지만, 실제로 팔아서 챙긴 돈은 약 33만 6,000달러예요. 팀은 15 BTC 를 회수했고, 해커에게 자금의 20% 를 돌려주겠다는 보상 제안을 9월 13일까지 열어 뒀어요.

무슨 일이 있었나

심비오시스는 여러 체인 사이에서 코인을 바꿔 주는 크로스체인 브리지예요. 그중 비트코인 브리지는 진짜 BTC 를 맡기면 다른 체인에서 syBTC 라는 합성 토큰을 1:1 로 발행해 주는 구조예요.

심비오시스 공식 X 발표를 보면, 한국시간 9월 11일 13시 28분에 공격자가 비트코인 브리지의 취약점을 이용했어요. 보안 업체 블록에이드(Blockaid) 분석과 더블록 보도에 따르면, 구멍은 BridgeV2 계약에 있었어요. 서명된 수신 함수가 BNB 체인의 새 지갑에 2 의 62제곱 단위, 소수점 8자리 기준 약 461억 개의 syBTC 를 찍어 준 거예요. 뒤에 맡겨 둔 BTC 는 없었어요.

액면가로는 461억 달러지만 실제 피해는 훨씬 작아요. 브리지에 담겨 있던 유동성이 그만큼 없었기 때문이에요. 해커가 실제로 바꿔 간 건 이더리움의 유니스왑 v4 에서 판 약 4.39 WBTC, 약 33만 6,000달러예요.

심비오시스가 한 일

공식 X 계정에 올라온 발표를 시간 순으로 정리하면 이래요. 모두 한국시간이에요.

시각	내용
9월 11일 13:28	공격 발생
9월 11일 16:17	"BTC 포털 사고 인지" 첫 공지. 다른 경로·ETH·스테이블코인 풀은 안전하다고 알림
9월 11일 21:12	비트코인 스왑을 체인플립(Chainflip)·토르체인(THORChain) 경유로 재개. 자체 비트코인 브리지는 계속 정지
9월 12일 01:04	사고 정식 발표. 15 BTC 회수, 20% 화이트햇 보상 제안

정식 발표의 핵심은 이거예요.

비트코인 브리지만 영향을 받았고, 다른 시스템과 분리돼 있어요. EVM 체인·트론·TON 경로와 옥토풀(Octopools) 은 정상 작동해요.
약 15 BTC 를 회수해 팀이 관리하는 다중서명 지갑에 넣었어요. 더블록은 이 물량을 보도 시점 시세로 약 115만 달러로 계산했어요.
해커에게 자금의 20% 를 화이트햇 보상으로 제안했고, 9월 13일까지 열어 뒀어요. 그 기한이 지나면 회수로 이어지는 정보를 주는 사람에게 같은 20% 를 줘요.
최종 피해 집계는 아직 진행 중이에요. 확정 수치는 다음 업데이트에서 내겠다고 했어요.
유동성 공급자(LP) 에겐 한 명씩 직접 연락하고 있고, 보상 체계와 기준을 곧 공개하겠다고 했어요.

더블록에 따르면 9월 13일 기준 해커가 공개적으로 답한 기록은 없어요.

왜 액면가와 실제 피해가 이렇게 다른가

브리지 해킹에서 자주 나오는 구도예요. 해커가 찍은 syBTC 는 461억 개지만, 이 토큰을 진짜 돈으로 바꾸려면 어딘가에 syBTC 를 받아 줄 유동성이 있어야 해요. 심비오시스 풀과 탈중앙 거래소에 실제로 들어 있던 물량이 그 한계예요. 그래서 해커가 실제로 빼낸 돈은 4.39 WBTC 에서 멈췄어요.

피해가 작다고 끝난 건 아니에요. 브리지에 BTC 를 맡겨 두고 syBTC 를 들고 있던 분, 풀에 유동성을 넣어 둔 분은 팀이 발표할 보상 기준을 기다려야 해요.

최근 비트코인 브리지 사고

비트코인을 다른 체인으로 옮기는 장치가 올해 잇따라 문제를 겪고 있어요. 9월 초엔 리퀴드 네트워크가 연합 서명자 문제로 멈췄고, 비트코인닷컴 보도는 이번 사고를 리퀴드·노믹(Nomic) nBTC 사례와 함께 묶어 다뤘어요. 어느 브리지든 구조는 같아요. 맡긴 BTC 는 잠겨 있고, 내가 들고 있는 건 그걸 대신하는 토큰이에요. 그 토큰의 값어치는 브리지 계약이 얼마나 안전한지에 달려 있어요.

내가 확인할 것

syBTC 를 들고 있다면: 심비오시스 공식 X 계정의 업데이트를 확인해 보세요. 보상 기준이 나오면 거기서 먼저 알려요.
심비오시스로 BTC 를 옮기려 했다면: 자체 비트코인 브리지는 멈춰 있어요. 앱에서 BTC 스왑을 고르면 체인플립·토르체인 경로로 처리돼요.
다른 코인을 옮기려 한다면: EVM·트론·TON 경로는 정상이라고 팀이 밝혔어요. 그래도 사고 직후엔 한 번에 큰 금액을 보내기보다 소액으로 먼저 확인해 보세요.

정리

9월 11일 심비오시스 비트코인 브리지의 BridgeV2 취약점으로 담보 없는 syBTC 약 461억 개가 발행됐어요. 실제로 빠져나간 돈은 약 33만 6,000달러예요.
팀은 15 BTC 를 회수했고, 해커에게 20% 화이트햇 보상을 9월 13일까지 제안했어요. 그 뒤엔 정보 제공자에게 같은 20% 를 줘요.
비트코인 브리지는 아직 멈춰 있고 다른 경로는 정상이에요. LP 보상 기준과 최종 피해액은 아직 안 나왔어요.

syBTC 나 심비오시스 풀에 자산이 있다면, 지금 할 일은 공식 X 계정의 다음 업데이트를 확인하는 거예요.