이더리움 브리지 2곳서 3169만 달러 손실…B²는 스테이킹 중단

이더리움 브리지와 스테이킹 계약에서 잇따라 보안 문제가 드러나며 암호화폐 이용자들의 출금과 자금 회수 불확실성이 커지고 있다.

크립토슬레이트는 7월 25일 AFX와 베루스-이더리움 브리지에서 몇 시간 간격으로 총 약 3169만 달러 손실이 발생했으며 B² 네트워크는 스테이킹 계약 업그레이드 권한에 대한 무단 접근 이후 토큰 스테이킹을 중단했다고 보도했다.

AFX 브리지서 2415만 USDC 유출

블록에이드는 7월 22일 21시 30분(UTC)께 AFX 익스플로잇을 탐지했다고 밝혔다. 아비트럼 기반 탈중앙화 거래 프로토콜인 AFX가 운영하는 브리지에서 2415만 USDC가 빠져나간 거래가 아비트럼에서 기록됐다.

AFX는 USDC 커스터디 브리지를 중단했다. 다만 이번 사고는 거래 인프라와 메인넷 그리고 아비트럼 네트워크와 분리된 사안이라고 설명했다. 문제가 발생한 구성 요소는 아비트럼 네이티브 브리지가 아니라 제3자 브리지였다고 밝혔다.

AFX는 7월 24일 공개한 예비 조사 결과에서 이번 사고가 조직적인 사회공학 공격과 인프라 침해에서 비롯됐다고 설명했다. 접근은 개발 환경에서 시작된 뒤 내부 빌드 인프라와 검증자 시스템으로 확대된 것으로 보인다고 밝혔다. AFX는 잔액을 확인하고 자금 회수를 추진하며 복구 조치를 준비하고 있다. 7월 24일 현재 자금 반환 완료나 최종 보상 계획은 발표하지 않았다.

베루스 브리지도 담보 없는 인출 승인

AFX 사고가 발생한 지 몇 시간 뒤 베루스 브리지에서도 이상 거래가 확인됐다. 이더리움 거래 기록에 따르면 베루스 브리지는 1137.4528 ETH와 7건의 토큰 전송을 처리했다. 블록에이드는 이 담보 없는 지급 규모를 약 754만 달러로 평가했다.

슬로우미스트 분석에 따르면 베루스 브리지는 인출 8건을 승인하면서 이에 상응하는 자산이 실제로 뒷받침되는지 입증하지 못했다. 슬로우미스트는 이번 실패가 지난 5월 익스플로잇과 같은 넓은 범주의 크로스체인 가져오기 검증 문제에 속한다고 봤다. 다만 두 공격은 작동 방식이 서로 달랐다고 설명했다.

B²는 스테이킹 중단 후 수동 출금

B² 사건은 브리지 익스플로잇으로 공지되지는 않았다. B² 네트워크는 스테이킹 계약의 업그레이드 권한에 무단 접근이 있었다고 밝혔다. 네트워크는 보안 검토 기간 동안 일반 스테이킹을 중단했으며 문제가 통제됐다고 설명했다. 또 피해 이용자에게 전액 보상하겠다고 약속했다.

다만 7월 24일 현재 보상 완료 사실은 문서로 확인되지 않았다. B²는 수동 출금 절차도 제공했다. 이용자는 공식 디스코드를 통해 언스테이킹을 요청할 수 있으며 소유권이 확인된 요청은 영업일 기준 1일 안에 처리된다.

B²는 손실액을 밝히지 않았다. 이에 따라 이번 사건은 3169만 달러 규모의 브리지 손실 합계에서 제외됐다. 일반 스테이킹이 재개되기 전까지 스테이킹 토큰을 회수하려는 이용자는 이 수동 검토 절차를 이용해야 한다.

세 사건은 모두 기본 체인 합의 바깥의 통제 지점에서 문제가 발생했다는 공통점을 보였다. AFX에서는 커스터디와 검증자 인프라가 흔들렸고 베루스에서는 브리지 회계 검증이 실패했다. B²에서는 스테이킹 계약 업그레이드 권한이 취약점으로 드러났다.

이용자에게 남은 관건은 복구 계획이 실제 자금 반환으로 이어질지 여부다. 크로스체인 검증이 경제적 담보를 제대로 확인하는지도 시험대에 올랐다. 업그레이드 권한을 보호하면서도 긴급 출금이 수동 개입에 의존하지 않도록 설계할 수 있는지도 향후 과제로 꼽힌다.

TokenPost AI 유의사항 TokenPost.ai 기반 언어 모델을 사용하여 작성된 기사입니다. 본문의 주요 내용이 제외되거나 사실과 다를 수 있습니다.