심비오시스(Symbiosis)의 비트코인 브리지에서 소프트웨어 취약점이 악용돼 공격자가 무담보 syBTC 약 461억개를 발행했다. 초기 집계 피해액은 약 77만달러로 제시됐지만 실제 전환액은 약 33만6000달러(약 4억5300만원)로 분석됐다.
코인데스크는 심비오시스의 사후 분석을 인용해 공격이 9월 11일 발생했다고 전했다. 공격자는 비트코인 330사토시(약 0.25달러)를 예치한 뒤 약 4분 동안 BNB체인·이더리움·루트스톡에서 12차례 위조 입금을 실행했다.
심비오시스는 브리지가 결제 주체를 식별하는 과정에서 비트코인 거래의 잘못된 필드를 읽어 공격자를 승인된 예치자이자 브리지 관리자로 인식했다고 밝혔다. 공격자는 이후 최소 수수료를 음수로 설정했고, 또 다른 취약점이 음수 수수료를 차감하는 과정에서 예치금 규모를 오히려 늘렸다.
발행된 syBTC는 비트코인 최대 공급량 2100만개의 2000배를 넘는 규모였다. 블록에이드는 공격자가 발행 물량 가운데 약 4.39 WBTC를 전환해 약 33만6000달러를 실현했다고 분석했다.
