오스모시스 브리지 노믹 버그로 가짜 nBTC 40BTC, 74일간 담보로 몰래 잡혀 있었다

코스모스 기반 탈중앙화거래소 오스모시스(Osmosis)의 통합 비트코인 토큰 올 비트코인(allBTC)에서 담보 부족 사태가 드러났다. 코스모스 기반 브리지 노믹(Nomic)의 버그로 실제 비트코인 없이 발행된 가짜 nBTC가 두 달 넘게 담보로 잡혀 있었던 탓이다. 오스모시스는 9월 9일(현지시각) 공격자 계정에 남아 있던 22.65 BTC를 동결했지만, 전체 격차를 메우려면 거버넌스 표결을 거쳐야 하는 상황이다.

74일간 몰랐던 40 BTC 무단발행

문제는 6월 25일 시작됐다. 공격자가 노믹의 커스텀 포워딩 메커니즘 결함을 악용해 동일한 IBC(Inter-Blockchain Communication) 전송 25건을 하나의 트랜잭션에 묶어 nBTC 40.650602 BTC를 실제 비트코인 뒷받침 없이 발행했다. 오스모시스는 자사 체인과 IBC 프로토콜 자체는 침해되지 않았으며, 문제는 노믹의 자체 포워딩 로직에 있었다고 밝혔다.

이 무단발행은 노믹이 9월 7일 정지되면서야 드러났다. 노믹 정지로 보유 자산 점검이 시작되자 오스모시스가 격차를 발견한 것으로, 최초 발행 시점부터 74일이 걸린 셈이다. 노믹 프로젝트는 활발히 관리되지 않는 것으로 보이는데, X(트위터) 계정은 2024년 마지막 게시가 남아 있고 깃허브 커밋도 2년 전이 최근이다.

공격자는 탈취분 일부를 이미 현금화했다. 671 ETH를 이더리움을 통해 토네이도캐시로 전송했으며, 당시 시세로 약 100만달러 상당이었다.

담보율 63.97%로 추락한 allBTC, 동결된 22.65 BTC

오스모시스 거버넌스 제안에 따르면 allBTC 총 발행량은 110.570944 BTC였다. 이 중 실제 담보인 WBTC·cbBTC 등은 70.731198 BTC였지만, 문제의 nBTC 39.839746 BTC가 여전히 담보로 계산돼 있었다. 담보율은 63.97%, 즉 36.03%가 실체 없는 무담보 상태였다는 뜻이다. allBTC는 nBTC를 포함해 다섯 종류의 브리지 버전 비트코인을 한데 묶은 풀 토큰이어서, 이용자는 노믹 하나의 결함 때문에 전체 풀의 위험을 함께 지게 됐다.

오스모시스 검증자들은 9월 7일 비상 업그레이드 v31.1.0을 배포해 공격자 계정에 남아 있던 22.650608 allBTC를 동결했다. 동시에 allBTC의 발행·상환·예치·출금 기능도 모두 일시 중단됐다고 크립토브리핑이 보도했다.

온체인 연구자 라르마(Rarma)는 6월 25일 발행 내역을 추적해, 7월 17일 활동으로 생성된 22.65060846 allBTC가 추적 발표 시점까지 이동하지 않았다고 밝혔다. 이 수치는 오스모시스가 이후 실제로 동결한 액수와 정확히 일치한다. 다만 동결된 22.65 BTC를 거버넌스가 전부 몰수해도 약 17.19 BTC의 격차는 여전히 남는다.

거버넌스 표결로 향하는 복구 계획

오스모시스는 커뮤니티 풀을 활용해 부족분을 메우는 방안을 거버넌스에 제안했다. USDC.noble·allUSDC와 연계된 대기 중인 유동성 재배치를 취소해 약 7.75 BTC를 확보하고, 커뮤니티 풀에 쌓인 allBTC 약 12.48 BTC를 유동성 서브다오에 배분하는 방안이 담겼다.

제안은 향후 소프트웨어 업그레이드를 통해 탈취 자산을 몰수하고, 커뮤니티 풀 비트코인 보유분으로 남은 무담보 nBTC를 흡수하는 절차도 요청한다. nBTC를 allBTC 트랜스뮤터 안에서 오염된 자산으로 표시해 인출·소각하는 방식이다.

allBTC 계약은 오스모시스 거버넌스가 관리하며, 6명 중 3명 이상 동의가 필요한 모더레이터 서브다오가 풀을 일시정지하거나 특정 자산을 오염된 것으로 지정할 권한을 갖고 있다. 이번 동결에도 이 권한이 실제로 쓰였다. 반대로 노믹 쪽 준비금 인출은 훨씬 까다롭다. 노믹 커스터디 문서에 따르면 준비금 지급에는 서명자 집합 투표권의 90%를 초과하는 동의가 필요하다.

반복되는 브리지 신뢰 위기와 코스모스의 공시 논란

이번 사태는 래핑된 비트코인을 보유한 이용자에게 익숙한 위험을 다시 일으킨다. 2022년 2월 웜홀(Wormhole)은 담보 없이 발행된 wETH로 약 3억2500만달러를 잃었고, 몇 주 뒤 액시인피니티가 쓰는 브리지 로닌에서는 약 6억2500만달러가 빠져나간 사례가 있다. 피해 규모는 이번보다 훨씬 컸지만, 브리지의 서명자 집합이나 검증 경로에서 결함이 생기는 패턴은 동일하다. 보안업체 슬로우미스트도 사건을 노믹 브리지의 이중지불로 기록했다.

오스모시스와 노믹은 모두 코스모스 생태계에 속해 있다. 최근 코스모스에서는 널리 쓰이는 코스모스 EVM 모듈의 버그로 인한 별개 사고가 잇따랐는데, 개발사 코스모스 랩스의 공시 방식이 논란이 됐다. 피해를 본 프로젝트 중 하나인 키체인은 손실이 “피할 수 있었다”고 지적하며, 영향받은 팀에 알리기 전에 보안 수정 내용을 먼저 공개한 것이 “커밋을 읽는 누구에게나 취약점을 넘겨준 셈”이라고 비판했다.

비트코인 가격은 이번 사태와 별개로 최근 24시간 동안 1.63% 하락한 상태였다고 이게이머스가 집계했다. allBTC 보유자에게는 시세 변동보다 남은 17.19 BTC 격차를 메울 재원이 실제로 확보되는지가 더 중요한 변수다. 격차가 해소되는 시점은 거버넌스 표결 결과와 커뮤니티 풀이 얼마나 기여하느냐에 따라 갈릴 예정이다.