공격자, 토큰 발행 후 72만7,000달러어치 이더리움 이동…Cysic 브리지 중단

Cysic은 토요일 공격자가 BNB 체인 브리지의 취약점을 이용해 CYS 토큰 1,000만 개를 발행한 뒤 크로스체인 브리지를 중단했다고 프로젝트 측이 확인했다. 온체인 기록에 따르면 공격자는 승인되지 않은 토큰 720만 개를 매도한 뒤 Cysic이 수신 주소를 블랙리스트에 올려 나머지 CYS 280만 개를 동결했다. 공격자는 Mayan, deBridge, SWFT의 Bridgers를 통해 약 306.6 ETH를 이더리움으로 옮겼다. 이더리움은 일요일 ETH 가격인 약 2,372달러를 기준으로 약 72만7,000달러 상당이었다.

Cysic 재단은 일요일 게시한 사고 보고서에서 공격자가 브리지를 지원하는 서비스들이 사용하는 데이터베이스에 무단 접근했다고 밝혔다. 재단은 공격자가 관련 처리 로직의 취약점을 이용해 허위 발행 메시지를 제출했다고 밝혔다. Cysic은 이름을 공개하지 않은 보안 업체가 사건을 조사하고 자금 흐름을 추적하고 있다고 밝혔다. 재단은 이번 사건이 브리지의 메시지 처리 및 발행 기능에 국한됐으며 Cysic 메인넷에는 영향을 미치지 않았다고 밝혔다. 재단은 기존 사용자 자산은 탈취되지 않았다고 밝혔다. Cysic은 달러 기준 손실액을 공개하지 않았으며, 발행된 토큰 수만으로는 최종 달러 손실액을 나타낼 수 없다고 밝혔다.

온체인 데이터에 따르면 승인되지 않은 토큰 발행은 토요일 오전 8시 31분(미 동부시간)에 이뤄졌다. BscScan 기록에 따르면 수신 주소는 5분 뒤 CYS를 이동하기 시작했고, 오전 8시 59분까지 15건의 거래를 통해 26회에 걸쳐 토큰 720만 개를 보냈다. 해당 주소는 두 차례에 걸쳐 토큰을 매도했다. 주소는 오전 8시 36분부터 8시 41분까지 11건의 거래에서 CYS 565만 개를 매도해 588,315 USDT를 받았으며, 토큰당 가격은 약 10센트였다. 주소는 오전 8시 57분부터 8시 59분까지 4건의 거래에서 나머지 CYS 155만 개를 약 220 BNB에 매도했다. 15건 가운데 12건은 OKX의 DEX 애그리게이터를 이용했으며, 이 애그리게이터는 PancakeSwap을 포함한 여러 거래소로 주문을 나눠 보냈다.

재단의 보고서와 온체인 기록에 따르면 Cysic은 오전 9시 47분(미 동부시간) CYS 토큰 컨트랙트에서 해당 주소를 블랙리스트에 올렸다. 블랙리스트는 공격자가 보유한 나머지 CYS 280만 개의 이체를 막는다. 블랙리스트는 최초 공격 거래가 이뤄진 지 76분 뒤 발효됐다. 주소가 토큰 전송을 중단한 지 48분 뒤였다.

해당 주소는 오전 8시 44분(미 동부시간) USDT 10만 개를 크로스체인 스왑 서비스 SWFT가 운영하는 BridgersSwap 컨트랙트로 보냈다. 약 1분 뒤 SWFT 컨트랙트에서 이더리움의 해당 주소로 40.88 ETH가 들어왔다. 해당 주소는 오전 8시 46분부터 8시 53분까지 6차례에 걸쳐 나머지 488,315 USDT를 크로스체인 프로토콜 Mayan으로 보냈다. 두 번째 매도 이후 해당 주소는 오전 9시 5분 Mayan을 통해 80 BNB를 보냈다. 1분 뒤에는 deBridge를 통해 139 BNB를 보냈다. Etherscan 기록에 따르면 해당 주소는 Mayan에서 이더리움으로 총 약 224.66 ETH에 해당하는 7차례의 지급을 받았다. Etherscan 기록에는 해당 주소가 deBridge에서 41.05 ETH를 지급받은 내용도 나와 있다. 마지막 지급은 오전 9시 6분에 이뤄졌다.

해당 주소는 이어 오전 9시 11분까지 5차례에 걸쳐 306.52 ETH를 두 번째 지갑으로 보냈다. 두 번째 지갑은 승인되지 않은 토큰 발행 약 2시간 전에 처음 자금을 받았다. 일요일 오전 기준 두 번째 지갑에는 약 309.5 ETH가 있었다. Cysic의 블랙리스트는 BNB 체인의 CYS에만 적용되며 이더리움에는 영향을 미치지 않는다.

Cysic은 보안 검토가 완료될 때까지 브리지를 폐쇄할 예정이라고 밝혔다. 프로젝트는 확인된 손실과 자금 추적 노력을 담은 후속 보고서를 공개하겠다고 밝혔다.

2022년 설립된 Cysic은 영지식 증명 생성을 위한 특수 하드웨어를 개발하고 레이어1 네트워크를 운영한다. Cysic은 2023년 Polychain Capital이 주도한 600만 달러 규모의 시드 투자를 유치했다. Cysic의 브리지는 CYS를 포함한 토큰을 Cysic 체인과 BNB 스마트 체인, Base 같은 네트워크 간에 이동시킨다.