심비오시스 브릿지 해킹: 15 BTC 회수, 유동성 공급자는 보상 미지급

크로스체인 프로토콜 심비오시스(Symbiosis)가 네이티브 비트코인 브릿지(Bitcoin Bridge) 해킹 사건 이후 약 15 BTC를 회수했다고 밝혔으나, 피해를 입은 유동성 공급자(LP)들은 아직 보상 관련 명확한 계획을 받지 못한 상태다. 오는 9월 13일 만료되는 현상금(bounty) 시한이 다가오는 가운데, 유동성 공급자들의 불안감은 커지고 있다.

이번 취약점 악용은 9월 11일 UTC 기준 약 04:28 경 발생한 것으로 파악됐다. 심비오시스 측은 성명을 통해 비트코인 브릿지에서만 문제가 발생했으며, 다른 경로와 구성 요소는 정상 작동 중이라고 강조했다. 특히 EVM 체인, 트론(TRON), 톤(TON)과의 연결 경로는 영향을 받지 않았으며, 릴레이어(relayer) 그룹 또한 네트워크 보안을 위해 계속 운영되고 있다고 덧붙였다. 회수된 비트코인은 팀이 통제하는 멀티시그(multisig) 지갑에 안전하게 보관되어 있다고 밝혔다.

현재까지 회수된 15 BTC는 심비오시스가 중간 집계한 수치로, 최종 집계는 계속 진행 중이며 확정된 수치는 추후 업데이트를 통해 공개될 예정이다. 보안 업체 블록에이드(Blockaid)는 심비오시스의 브릿지 V2 시스템이 승인된 트랜잭션을 통해 BNB 체인에서 새로 생성된 지갑으로 syBTC(비트코인의 합성 버전) 약 2^62 단위의 엄청난 양을 발행했다고 보고했다. 블록에이드에 따르면, 동일한 수혜자가 이더리움에서 약 4.39 WBTC를 판매하여 당시 약 33만 6,000 달러 상당의 수익을 실현한 것으로 확인되었다. 이 금액은 공격자가 전환한 가치를 나타낼 뿐, 심비오시스의 최종 손실액이나 유동성 공급자들의 총 노출 금액을 의미하지는 않는다.

사고 직후 심비오시스는 비트코인 관련 스왑(swap) 거래가 일시 중단되었으며, 업데이트 배포에 착수했다고 알렸다. 이후 운영 업데이트를 통해 파트너인 체인플립(Chainflip) 및 쏘런치인(THORChain)을 경유하는 비트코인 스왑은 다시 정상화되었으나, 자체 네이티브 비트코인 브릿지는 여전히 중단된 상태라고 밝혔다. 이러한 조치는 사용자들의 혼란을 최소화하고, 중단된 브릿지로의 접근을 막는 한편, 대체 경로를 통한 비트코인 거래를 가능하게 하기 위한 것으로 풀이된다.

심비오시스는 피해를 입은 모든 유동성 공급자들에게 직접 연락하고 있으며, 보상 체계 구축을 위한 작업을 진행 중이라고 밝혔다. 하지만 구체적인 보상 대상 선정 기준, 보상 산정 방식, 지급 시기 등에 대한 세부 사항은 아직 공개되지 않았다. 이는 유동성 공급자들이 가장 기다리는 정보 중 하나로, 조속한 공개가 요구되는 상황이다.

한편, 심비오시스는 해커에게 9월 13일까지 20%의 화이트햇(white-hat) 현상금을 제시했으며, 해당 기간 이후에는 복구에 도움이 되는 정보를 제공하는 사람에게 동일한 비율의 보상을 제공하겠다고 제안했다. 다만, 정확한 종료 시점이나 타임존은 명시하지 않았다. 이러한 현상금 제시는 해커의 신병 확보나 자산 회수를 위한 노력이지만, 동시에 해커와의 협상을 통해 피해를 최소화하려는 의도로도 해석될 수 있다.

결론적으로, 심비오시스 브릿지 해킹 사건은 크로스체인 기술의 보안 취약점을 다시 한번 드러낸 사례로 평가된다. 15 BTC라는 상당한 금액이 회수되었음에도 불구하고, 여전히 복잡한 복구 과정과 유동성 공급자들에 대한 보상 문제 등 해결해야 할 과제가 남아있다. 향후 심비오시스의 투명하고 신속한 정보 공개와 실질적인 보상 이행 여부가 프로토콜의 신뢰 회복에 중요한 변수가 될 것으로 보인다.