해커가 Symbiosis 디파이 브리지에서 두 가지 소프트웨어 버그를 악용해, 단 0.25달러(약 25센트) 상당의 비트코인을 460억 개가 넘는 가짜 BTC 토큰으로 둔갑시켰다. 이번 사건은 실제 사용자 자금을 보관해야 할 브리지에서 단 하나의 코딩 결함이 무제한으로 가짜 자산을 만들어낼 수 있음을 보여준다.
실제로 무슨 일이 있었나
CoinDesk에 따르면 공격자는 두 가지 별개의 소프트웨어 버그를 이용해 Symbiosis 브리지에서 합성 비트코인, 즉 syBTC를 발행했다. 발행된 가짜 토큰의 총량은 비트코인의 실제 최대 발행량인 2,100만 개의 2,000배가 넘는 수준이었다. 보도에 따르면 Symbiosis는 예비 손실 규모를 9.97 BTC로 집계했다. 이번 익스플로잇은 단 0.25달러 상당의 비트코인 거래에서 시작됐다고 CoinDesk는 전했다. 정확한 공격 발생 날짜, 공격자의 신원, 자금 회수 여부에 대해서는 아직 아무런 정보도 공개되지 않았다. Symbiosis는 보도에서 언급된 손실 추정치 외에 공식 성명을 내놓지 않은 상태다.
이번 사건의 배경
크로스체인 브리지는 서로 다른 블록체인을 연결해 사용자가 비트코인 같은 자산을 다른 네트워크의 디파이 애플리케이션으로 옮길 수 있게 해준다. 이런 브리지는 대개 원본 자산의 합성 버전, 즉 잠금 처리된 형태를 만들어내는데, Symbiosis의 syBTC가 그 예다. 브리지는 스마트 컨트랙트에 대규모 자금이 집중되는 구조이기 때문에 반복적으로 공격 대상이 되어 왔으며, 발행 로직의 결함 하나만으로도 공격자가 아무런 담보 없이 토큰을 찍어낼 수 있다. 이번 익스플로잇도 이런 패턴을 그대로 따랐다. 0.25달러라는 소액 거래가 두 가지 버그를 동시에 유발해 공격자가 수십억 개의 무담보 토큰을 발행할 수 있게 했으며, 이는 브리지의 발행 통제 장치가 여전히 디파이 인프라의 고질적인 취약점임을 드러낸다.
이것이 당신에게 중요한 이유
디파이 사용자라면 자금을 예치하기 전에 브리지의 합성 토큰이 완전히 담보로 뒷받침되는지 확인해야 한다는 교훈을 이번 사건에서 얻을 수 있다. 개발자들에게는 소액 거래 하나로 대규모 토큰 공급량 변화가 촉발될 수 있는 만큼, 발행 함수에 대한 더 엄격한 검증이 필요하다는 점을 시사한다. Symbiosis 사용자 입장에서는 예비 손실 추정치 9.97 BTC라는 수치가 전체 감사가 끝날 때까지 일부 청구가 처리되지 않을 수 있음을 의미한다. 다른 브리지에서 syBTC나 유사한 합성 자산을 보유한 투자자들도 같은 유형의 버그가 생태계 어딘가에 존재할 수 있는 만큼, 비슷한 공시가 나오는지 주시할 필요가 있다.
더 큰 질문
두 가지 버그만으로 0.25달러가 수십억 개의 가짜 토큰으로 둔갑할 수 있다면, 지금 이 순간에도 감사받지 않은 유사한 발행 코드를 운영 중인 브리지가 얼마나 더 있을까? 이번 Symbiosis 사건은 디파이 업계 전체에 더 근본적인 질문을 던진다. 과연 어떤 크로스체인 브리지가 자사의 합성 자산이 진정으로 1대1로 담보되어 있다고 보장할 수 있을까, 아니면 이런 시스템에 대한 신뢰는 다음 익스플로잇이 발견되기 전까지만 유효한 잠정적인 것일까?
앞으로 지켜볼 점
CoinDesk 보도는 2026년 9월 15일에 발표됐으며, 아직 세부 정보는 제한적이다. Symbiosis의 공식 사후 분석 보고서, 예비치인 9.97 BTC를 넘어서는 최종 손실 규모 확정, 사용자 보상에 관한 입장 발표 등을 계속 지켜봐야 한다. Bonuz는 브리지 운영사들의 대응을 계속 추적할 예정이다. 더 강력한 발행 안전장치는 스마트 글래스 등 신흥 기기와 연동된 지갑을 포함해, 이 매체가 다루는 더 넓은 하드웨어 및 앱 생태계에도 영향을 미치기 때문이다.
