하루 새 브리지 3곳 연쇄 해킹…525억원 넘게 털렸다

가상자산 브리지 3곳이 하루 만에 연쇄 해킹을 당하며 3,560만달러, 약 525억 원이 넘는 피해를 입었다. 아팩스 트레이드(AFX Trade), 비스퀘어드(BSquared), 베루스코인(VerusCoin) 브리지가 잇따라 공격받으면서 디파이(DeFi) 보안 취약성이 다시 도마 위에 올랐다.

AFX 브리지서 2,420만달러 유출…검증자 키 탈취 가능성

블록체인 보안업체 블록에이드(Blockaid)에 따르면 가장 큰 피해는 아비트럼(ARB) 기반 AFX 브리지에서 발생했다. 공격자는 2,415만 USDC를 빼돌렸고, 피해 규모는 약 2,420만달러로 집계됐다.

해당 브리지는 7개 검증자 중 5개의 서명으로 출금을 승인하는 구조였는데, 보안업계는 이번 공격이 검증자 키나 브리지 백엔드 시스템을 확보한 결과일 가능성에 주목하고 있다. 공격자는 탈취 직후 USDC를 아비트럼에서 이더리움(ETH) 네트워크로 옮겼다.

AFX 측은 아비트럼 팀과 보안업체들과 함께 사고 경위를 조사하고 있으며, 유출 자금 추적도 진행 중이라고 밝혔다.

BSquared는 B2 토큰 386만달러 피해…자금 세탁 경로도 복잡

두 번째 공격은 BSquared 네트워크를 겨냥했다. 해커는 859만 B2 토큰을 탈취했고, 시가로 약 386만달러 규모다.

공격자는 훔친 B2를 곧바로 5,409 BNB로 바꿔 약 301만달러 상당을 확보했다. 이후 자금은 이더리움(ETH)과 USDT로 전환됐고, 니어프로토콜(NEAR) 기반 인텐트와 HOT 프로토콜을 거치며 추적이 더 어려워졌다. 보안팀은 관련 지갑을 계속 모니터링하고 있다.

베루스코인도 재차 뚫려…지난 오류가 다시 악용

세 번째 피해는 베루스코인 이더리움 브리지에서 발생했다. 이번 공격으로 이더리움(ETH), 토큰화 비트코인(tBTC), USDC, USDT, DAI 등 여러 자산을 포함해 총 754만달러어치가 빠져나갔다.

보안업체 슬로우미스트(SlowMist)는 이번 공격이 지난 5월 1,150만달러 해킹 때 악용된 것과 같은 ‘import path’ 계약 취약점을 재차 사용한 사례라고 설명했다. 브리지가 실제 담보 확인 없이 자산을 내보내는 ‘무담보 지급’ 구조로 악용되면서 피해가 커졌다.

공격자는 탈취한 자산을 3,916 ETH로 바꾼 뒤, 토네이도 캐시(Tornado Cash)로 이체했다. 자금 회수 가능성은 그만큼 더 낮아진 셈이다.

브리지 보안, 디파이 최대 약점으로 다시 부상

이번 연쇄 해킹은 브리지가 여전히 디파이 생태계의 가장 취약한 고리라는 점을 보여준다. 서로 다른 방식의 공격이 같은 날 잇따라 발생했다는 점에서, 단순한 코드 결함을 넘어 검증 체계와 운영 보안 전반에 대한 점검이 필요하다는 지적이 나온다.

특히 자금이 빠르게 체인 간 이동하고 믹싱 서비스까지 거치면서 추적 난도가 높아지고 있다. 디파이 시장이 커질수록 브리지 보안 강화가 더 이상 선택이 아니라 필수 과제로 떠오르고 있다.