오스모시스 올로이드 BTC, 담보 36% 부족 74일

오스모시스의 비트코인 연동 자산 ‘Alloyed BTC’가 실제 담보보다 36%가량 부족한 상태로 74일 동안 운영됐다. 노믹의 IBC 처리 결함으로 담보 없는 nBTC가 발행된 뒤 오스모시스의 자산 풀에 편입된 결과다.

오스모시스는 6월 25일 노믹 브리지가 동일한 IBC 전송 25건을 처리하면서 담보 없는 nBTC를 발행했다고 10일 커뮤니티 포럼에서 밝혔다. 발행 물량은 모두 40.650602BTC 상당이며, 이 가운데 39.839746BTC 상당이 Alloyed BTC에 들어갔다.

당시 Alloyed BTC 전체 자산은 110.570944BTC였지만 실제 담보는 70.731198BTC에 그쳤다. 담보비율은 63.97%로 낮아졌고, 공개 대시보드에는 nBTC 물량 39.84BTC가 전체 구성의 36.03%로 표시됐다.

노믹은 비트코인 예치분을 바탕으로 다른 블록체인에서 사용할 수 있는 nBTC를 발행하는 네트워크다. 공개 저장소는 nBTC가 비트코인으로 1대1 담보된다고 설명한다.

문제는 노믹의 맞춤형 IBC 전송 경로에서 발생했다. 포렌식 보고서는 거래 서명자와 전송 발신자를 검증하지 않는 결함과, 동일 계정이 송신자와 에스크로 계정으로 지정될 때 잔액 차감이 무효화되는 결함이 함께 작동했다고 분석했다.

그 결과 노믹의 실제 에스크로 잔액은 줄지 않았지만, 오스모시스는 정상적인 IBC 증명을 갖춘 전송으로 인식했다. 오스모시스는 오스모시스와 IBC 프로토콜 자체가 직접 침해된 것이 아니라, 상대 체인의 장부 오류가 검증 과정에서 걸러지지 않은 구조라고 설명했다.

IBC는 서로 다른 블록체인 사이에서 자산과 메시지를 전달하는 통신 규격이다. 이번 사례는 전송 증명이 유효하더라도 원체인에서 실제 담보가 차감됐는지까지 확인하지 못하면 연동 자산 발행이 이어질 수 있다는 구조적 위험을 보여줬다.

공격자는 발행된 물량 가운데 약 18BTC 상당을 오스모시스에서 빼낸 뒤 여러 브리지를 거쳐 이더리움으로 이동시켰다. 포렌식 보고서는 최종적으로 671.1ETH가 토네이도 캐시로 이동했다고 분석했으며, 해당 자금의 회수 여부는 확인되지 않았다.

나머지 22.650608 allBTC는 공격자 주소에 남아 있다가 오스모시스의 긴급 업그레이드로 동결됐다. 오스모시스 검증자들은 9월 7일부터 긴급 버전 v31.1.0을 적용했고, 9월 8일 통제 기준에 도달했다.

자산 동결은 공격자가 보유한 물량을 보존하는 조치일 뿐 담보 부족분을 자동으로 메우지는 않는다. 따라서 동결 물량의 회수와 별도로 부족한 담보를 다시 확보하는 절차가 필요하다.

오스모시스는 동결된 22.65BTC 상당의 allBTC를 회수하고 커뮤니티 풀의 비트코인을 사용해 부족분을 보충하는 방안을 거버넌스에 제안했다. 제안서에는 동결 물량을 적용한 뒤에도 약 17.19BTC의 부족분이 남으며, 추가로 약 4.7053BTC를 투입해 재담보화를 완료하는 방안이 담겼다.

이번 사안에서 손실 위험은 Alloyed BTC 보유자와 해당 자산의 상환 구조에 집중된다. 담보비율이 회복되지 않으면 보유 자산의 전액 상환과 입출금 재개 시점이 거버넌스 결정에 좌우될 수 있다.

오스모시스의 대시보드에는 nBTC 물량 39.84BTC가 전체 Alloyed BTC 구성의 36.03%로 표시됐다. 이 수치는 자산 구성 현황을 보여주지만, 재담보화가 완료됐다는 의미는 아니다.

노믹 체인의 재가동과 nBTC 상환 재개 여부도 정해지지 않았다. 오스모시스 거버넌스의 보전안 승인과 실제 재담보화 완료 여부 역시 9월 10일 기준 확인되지 않았다.

거버넌스 투표 결과가 나오기 전까지 Alloyed BTC의 입출금 재개 시점과 이용자 손실 분담 방식은 결정되지 않은 상태다.