461억개 가짜 코인 찍혔는데 33만달러만 손실…이 블록체인 서비스의 이유

9월 11일(현지시각) 오전 4시28분(UTC, 한국시간 오후 1시28분경) 크로스체인 브리지 프로토콜 심바이오시스(Symbiosis)의 BridgeV2 컨트랙트가 조작된 메시지를 받아들였다. 이 메시지 하나로 실제 비트코인의 뒷받침 없이 합성 비트코인 토큰 syBTC가 대량으로 찍혀 나왔다. 보안업체 블록에이드(Blockaid)는 발행량을 약 461억 개, 액면가로는 약 62조원(1달러 1,343원 기준)에 달한다고 밝혔다. 그러나 공격자가 실제로 현금화한 금액은 33만6,000달러에 그쳤다.

461억 개 가짜 비트코인, 어떻게 찍혔나

심바이오시스는 비트코인·이더리움·BNB체인·트론·톤(TON) 등을 연결하는 크로스체인 유동성 프로토콜이다. 비트코인 브리지는 실제 BTC를 락업(Portal 컨트랙트)한 뒤, 오프체인 릴레이어 네트워크가 다중서명(MPC) 서명으로 다른 체인에 syBTC를 발행하는 구조로 운영된다. 심바이오시스는 자사 네이티브 BTC 브리지가 보안업체 데큐리티(Decurity)의 감사를 받았다고 밝힌 바 있다.

문제는 이 구조가 릴레이어가 보낸 서명 메시지를 실제 예치와 자동으로 동일시했다는 점이다. 크립토티커 보도에 따르면 공격자는 8건의 브리지 트랜잭션에 걸쳐 조작된 보고를 전송했고, 컨트랙트는 이를 진짜 예치 신호로 받아들여 그대로 syBTC를 발행했다. 서명이 유효한지만 확인했을 뿐, 그 메시지가 실제로 일어난 일인지는 별도로 검증하지 않은 것이다.

블록에이드는 이번에 원장 상 2의 62승에 달하는 최소 단위 물량이 새로 발행됐다고 밝혔다. 소수점 8자리 기준으로 환산하면 약 461억 개다. 일부 분석기관 디프로드TG(DefraudTG)는 BNB체인·이더리움 두 네트워크를 합산해 최대 3,689억 개에 이른다고 집계했다. 실제 비트코인 전체 발행 한도가 2,100만 개인 점을 감안하면, 가짜 물량은 그 2,000배를 훌쩍 넘는 규모였다.

액면가 62조원 vs 실제 피해 33만6,000달러

숫자만 보면 사상 최대급 해킹처럼 보이지만 실제 피해는 전혀 다른 얘기다. 공격자는 발행한 syBTC 일부를 이더리움으로 옮긴 뒤 유니스왑V4를 통해 4.39 WBTC를 팔아 약 33만6,000달러를 챙겼다. 크립토티커에 따르면 이후 약 1,845억 개의 syBTC는 BNB체인에 그대로 남아 더는 팔리지 않았다.

이런 격차가 생긴 이유는 유동성 부족이다. 컨트랙트 장부 위의 숫자를 실제 돈으로 바꾸려면 진짜 매수자와 유동성 풀이 필요한데, 심바이오시스와 연결된 풀 규모는 461억 달러 상당의 매도 물량을 감당할 수 없었다. 컨트랙트는 조작된 메시지를 그대로 믿었지만, 시장은 그 숫자를 믿지 않은 셈이다.

심바이오시스는 사건을 인지한 즉시 대응에 나섰다. 9월12일 공식 계정을 통해 BTC 관련 경로를 전면 중단했고, 팀이 관리하는 다중서명 지갑으로 약 15 BTC를 회수했다고 밝혔다. 최종 정산은 아직 진행 중이다. 팀은 공격자에게 탈취 자금의 20%를 화이트해커 보상으로 제공하겠다고 제안했으며, 이 제안은 9월13일까지 유효하다. 기한이 지나면 같은 20%가 공격자 특정에 도움을 준 제보자에게 돌아간다.

이용자에게 미친 영향과 대응

심바이오시스는 이번 사건이 비트코인 브리지에만 국한됐다고 강조했다. 이더리움·BNB체인 등 EVM 계열, 트론, TON, 자체 유동성 시스템 옥토풀스는 정상 가동됐다는 설명이다. 인도네시아 매체 플루앙은 심바이오시스가 비트코인 예치(입금)는 중단했지만 인출은 계속 열어둬 이용자가 한쪽 방향으로는 여전히 잔액에 접근할 수 있다고 전했다.

크립토티커는 9월12일 밤 심바이오시스 인터페이스를 직접 조회해 현황을 확인했다. 네트워크 목록 조회는 정상(상태코드 200)이었고 비트코인을 포함해 59개 네트워크가 표시됐다. 토큰 목록도 정상 응답으로 220개 토큰이 잡혔고, 이더리움·BNB체인·zkSync Era·Rootstock 등에서 syBTC가 확인됐다. 다만 실제 비트코인을 이더리움 WBTC로 바꾸는 스왑 요청은 상태코드 400으로 거부됐고, 비트코인에서 나가는 스왑이 중단됐다는 응답이 돌아왔다.

플루앙은 이용자들에게 보유한 합성 토큰 잔액을 확인하고, 소액으로 인출을 테스트해 보고, 불필요한 토큰 승인(어프루브)을 철회할 것을 권고했다. 아울러 비트코인을 하드웨어 지갑이나 규제받는 플랫폼에 보관하는 방안도 대안으로 제시했다. 손해 데이터베이스 디파이라마는 이번 사건을 “뒷받침 없는 크로스체인 발행” 유형으로 분류했고, 델타 인시던트 아카이브는 사건 번호 DCI-2026-304로 기록했다.

반복되는 브리지 해킹, 크로스체인 신뢰 흔들려

이번 사건은 진공 상태에서 벌어진 게 아니다. 불과 5일 전인 9월6일 블록스트림의 비트코인 사이드체인 리퀴드 네트워크에서도 자칭 ‘화이트해커’들이 연합 지갑에 있던 4,200 BTC 중 약 4,000 BTC, 당시 시세로 약 3억2,000만 달러(약 4,300억원, 1달러 1,343원 기준) 상당을 빼내는 사건이 있었다. 크립토폴리탄은 이후 해당 공격자들이 탈취분의 약 85%인 3,400 BTC를 돌려줬다고 보도했다.

브리지 해킹의 역사는 더 오래됐다. 2022년 로닌 네트워크는 검증인 키가 탈취돼 가짜 인출이 승인되며 약 6억2,500만달러를 잃었고, 같은 해 웜홀은 서명 검증 실패로 솔라나에서 12만 개의 래핑된 ETH가 무단 발행돼 약 3억2,300만달러 피해를 봤다. 두 사건 모두 심바이오시스보다 손실 규모가 훨씬 컸지만, 이번처럼 발행량 숫자 자체가 이렇게 기괴한 사례는 드물었다.

분석업체 TRM랩스에 따르면 2026년 상반기 크립토 해킹은 207건으로 반기 기준 역대 최다였고, 건당 평균 손실은 약 21만9,000달러였다. 전체 피해 규모는 2025년 상반기 23억달러에서 2026년 상반기 9억7,200만달러로 크게 줄었다. 디파이라마는 지금까지 브리지·크로스체인 해킹으로 누적 최소 36억8,000만달러가 사라졌다고 집계했으며, 비트코인 크로스체인 브리지 부문 전체 예치자산은 132만달러에 불과하고 심바이오시스는 이번 사건 이후 0달러를 기록 중이다.

크립토폴리탄은 앞서 발생한 켈프다오 브리지 해킹의 여파를 분석한 뱅크폴리시인스티튜트의 조사도 함께 소개했다. 뒷받침 없이 발행된 rsETH가 유통되면서 디파이 대출 플랫폼 에이브에서 약 50억달러 규모의 스테이블코인이 한꺼번에 빠져나갔고, 대출 이자율이 10%까지 치솟았다는 내용이다. 잇따른 브리지 사고가 개별 프로토콜을 넘어 디파이 생태계 전반의 유동성 스트레스로 번질 수 있음을 보여주는 사례다.