302 읽음
바운스빗 해킹 피해로 자체 체인 폐쇄, BNB체인서 토큰 재발행
위키트리
0
바운스빗(BounceBit)이 자체 개발한 블록체인 ‘바운스빗 체인(BounceBit Chain)’을 완전히 폐쇄하기로 했다. 지난 8월19일부터 20일(현지시각) 사이 발생한 해킹으로 BB토큰 2억8654만여개가 무단으로 빠져나갔기 때문이다. 피해 규모는 소스에 따라 약 310만 달러(약 43억원, 1달러 1,395원 기준)에서 330만 달러(약 46억원) 사이로 집계된다. 공격자는 개인키를 훔친 게 아니라 체인 내부의 인가(authorization) 로직 결함을 파고들었다. 바운스빗은 문제가 된 독자 체인을 되살리는 대신 아예 접고, BB토큰을 BNB체인(BNB Chain)에서 BEP-20 토큰으로 재발행하기로 했다. YZi랩스(YZi Labs)가 투자한 비트코인 리스테이킹(재예치) 프로젝트인 바운스빗의 이번 결정은 프로토콜 차원 결함이 발견되면 패치보다 아예 체인을 접는 게 낫다고 판단한 사례로 업계의 주목을 받고 있다.
바운스빗에 따르면 공격은 한국시간 기준 8월20일 오전6시02분(UTC 19일 21시02분)부터 시작됐다. 공격자는 이후 4시간52분에 걸쳐 14차례의 거래를 통해 2억8654만3148개의 BB토큰을 옮겼다. 마지막 무단 거래는 한국시간 20일 오전10시54분(UTC 01시54분)에 발생했다. 피해를 입은 계정은 총 9개 메인넷 계정으로, 바운스빗은 해당 계정 소유자 전원에게 연락했으며 재발행 절차를 통해 잔액을 복구해주겠다고 밝혔다.
바운스빗은 이상 거래를 포착한 뒤 한국시간 20일 오전11시36분(UTC 02시36분37초)에 블록 생성을 중단했다. 마지막 무단 전송 이후 약 42분 만이다. 프로토스(Protos)에 따르면 공격자는 탈취한 토큰 중 약 2억5400만개를 한 “주요” 거래소로, 약 1000만개를 다른 거래소로 보냈다. 나머지 약 1850만개는 하나의 통합 주소에 남아 있는 것으로 파악됐다.
이번 사고의 원인은 지갑 탈취가 아니었다. 바운스빗 체인이 쓰던 이보모스(Evmos) 기반 베스팅·락업 계정 모듈에서 인가 절차상 결함이 발견됐다. 특정 계정이 베스팅(장기 잠금) 계획에 따라 토큰을 지급하도록 지정돼 있었는데, 해당 계정이 실제로 거래를 승인했는지 확인하는 절차가 제대로 작동하지 않았다. 이 틈을 타 공격자는 승인 없이 다른 계정을 자금 출처로 지정할 수 있었다.
코인에디션(coinedition.com)에 따르면 공격자는 주요 계정과 함께 15개의 단발성(single-use) 컨트랙트를 동원해 이 결함을 반복적으로 악용했다. 바운스빗은 “지갑, 개인키, 서명, 하드웨어 기기, 거래소 계정 중 어느 것도 탈취되지 않았다”고 강조했다. 문제는 체인 자체의 설계에 있었다는 뜻이다.
바운스빗은 기술 검토 끝에 기존 체인에서 업그레이드를 진행하는 대신 완전한 폐쇄를 택했다. 회사는 “우리 포크를 후속 코드베이스로 옮기는 작업은 일반적인 업그레이드가 아니라, 이용자 자산을 다시 안전하게 담기 전에 전면 재구축과 재감사, 재검증이 필요한 대대적인 재구성이 될 것”이라고 설명했다. 바운스빗 체인이 기반으로 삼았던 이보모스 인프라가 이미 개발 중단된 상태였기 때문이다.
대신 바운스빗은 공격 발생 직전인 블록 2069만7260번(한국시간 20일 오전6시02분35초 기준) 잔액 스냅숏을 기준으로 BB토큰을 BNB체인에서 BEP-20 토큰으로 재발행하기로 했다. 이 스냅숏 이후 약 5시간30분 사이에 발생한 거래는 모두 취소되며, 스테이킹·언본딩 상태였던 BB도 스냅숏 시점 기록대로 복원된다. 공격자가 옮긴 2억8654만3148개는 새 토큰 물량에서 제외된다. 바운스빗은 BNB체인을 선택한 이유로 “이미 바운스빗 이용자 활동의 대부분이 몰려 있고, 지갑 지원과 유동성, 이용자·개발자 규모가 더 크다”는 점을 들었다.
바운스빗은 BB 보유자들이 별도로 할 일이 없다고 안내했다. 공식 클레임 사이트나 신청서는 아직 존재하지 않으며, 이를 사칭하는 사이트에 지갑을 연결하거나 서명하지 말라고 경고했다. 회사는 사고 당일 엑스(X, 옛 트위터) 공식 계정을 통해 “이 문제는 체인 자체에 한정되며 CeDeFi 앱은 영향을 받지 않는다. 스마트컨트랙트와 볼트(예치금고)도 문제없다”고 밝혔다.
프로토스에 따르면 바운스빗은 앞서 블록체인캐피털(Blockchain Capital)과 브레이어캐피털(Breyer Capital)이 공동 주도한 600만 달러(약 84억원) 규모 시드 투자를 유치한 바 있다. 바이낸스스퀘어 모더레이터 “탕화(Tang Hua)”는 YZi랩스가 이후 2024년 4월에 투자에 참여했다고 전했다.
크립토타임스(cryptotimes.io)는 이번 사고를 2026년 들어 이어지는 크립토 보안 사고 흐름 속에 놓았다. 펙실드(PeckShield) 집계에 따르면 5월 중순까지 브리지·크로스체인 공격 8건으로 3억2860만 달러 피해가 발생했고, 4월 중순까지 디파이(DeFi) 해킹 피해 총액은 이미 7억5000만 달러를 넘겼다. 6월에는 40건의 보안 사고로 7590만 달러 피해가 났고, 7월에는 한 주 동안 4700만 달러 넘는 피해가 발생한 것으로 집계됐다. 이런 흐름 속에 올해 크립토 업계 전체 보안 손실액은 10억 달러를 넘어선 것으로 나타났다. 앞서 버러스 이더리움 브리지(Verus Ethereum Bridge)에서도 동일한 임포트 경로가 두 달여 만에 재차 악용돼 자금이 빠져나가는 사고가 있었던 것으로 전해진 만큼, 개인키가 아닌 소프트웨어·로직 결함이 사고 원인이 되는 사례가 되풀이되고 있다는 지적이 나온다.