Cysic, BNB 스마트체인서 1,000만 CYS 무단 발행 후 브리지 가동 중단

발행 76분 만에 블랙리스트로 280만 CYS 동결

공격자가 10월 17일(토) BNB 스마트체인에서 허가 없이 1,000만 개의 CYS 토큰을 발행하면서 Cysic이 크로스체인 브리지 운영을 중단했다. Cysic 재단은 10월 18일(일) X(트위터)에 올린 공식 입장문에서 예비 조사 결과 브리지 뒤에 있는 데이터베이스에 무단 접근이 이뤄졌고, 공격자가 이를 이용해 허위 발행 메시지를 제출했다고 밝혔다. 프로젝트가 공개한 사고 타임라인에 따르면 무단 발행 시점은 협정세계시 12시 31분 38초다. 재단의 설명에 따르면 취약점은 브리지의 메시지 처리 계층에 있다. 이런 유형의 브리지는 한 네트워크에서 전송 지시를 검증한 뒤 다른 네트워크에서 그에 상응하는 작업을 승인하는 구조인데, 공격자가 이 절차를 조작해 새로운 CYS 발행을 승인하게 만든 혐의다. Cysic은 자사 플랫폼을 컴퓨팅 자원을 조율하고 참여자에게 보상을 지급하는 탈중앙화 컴퓨팅 네트워크로 소개하며, CYS가 거버넌스, 컴퓨팅 자원 접근, 하드웨어 공급자에 대한 지급 수단을 담당한다고 설명한다. 이번 해킹은 BNB 스마트체인에서 벌어졌는데, 해당 네트워크는 최근 90일 동안 토큰화된 주식 보유자 172만 명이 늘어나는 성장세를 보인 바 있다. 브리지 사고 기준으로는 대응이 빠른 편이었다. 10월 17일 협정세계시 13시 47분 52초, 기록된 발행 시점에서 1시간 16분 14초가 지난 뒤 팀이 수신 주소를 토큰 컨트랙트의 블랙리스트에 등록해 그 자리에 남아 있던 약 280만 CYS의 전송을 막았다. 재단은 메인넷 운영과 다른 시스템은 영향받지 않았으며, 이용자가 메타마스크를 BNB 스마트체인에 연결해 접근하는 네트워크 상 자산을 포함해 기존 고객 지갑에서 자산이 빠져나간 사례는 없다고 밝혔다. 브리지 중단은 조사진이 토큰 흐름을 추적하는 동안 해당 서비스를 통한 추가 활동을 막기 위한 조치이며, 재개 시점은 정해지지 않았다. 데이터베이스에 어떻게 접근했는지, 어떤 취약점이 악용됐는지, 어떤 거래가 발행을 촉발했는지는 아직 공개되지 않았고 공식 발표와 함께 배포된 독립 포렌식 보고서도 없다.

발행 규모는 총량 10억 개의 1%

동결된 지갑은 공식 발표 수치인 1,000만 개를 기준으로 무단 발행분의 28%를 차지한다. 나머지 720만 개는 블랙리스트에 걸린 주소에 없었는데, 이만으로 그중 얼마가 매도됐고 얼마가 다른 곳으로 옮겨졌거나 회수됐거나 다른 암호화폐로 바뀌었는지는 확인되지 않는다. Cysic은 동결 지갑 밖에서 완료된 회수 건을 보고한 바 없으며, 조사진은 실제 금전적 피해 규모를 가리기 위해 전송을 추적하고 가능한 스왑 내역을 검토하고 있다. 프로젝트는 달러 기준 피해액을 밝히지 않았다. 사고 보고서는 생성된 토큰 수와 공격자가 완료된 거래를 통해 확보했을 수 있는 가치를 구분하고 있으며, 시장 가격을 대입하더라도 신규 공급의 명목 가치를 추정할 수 있을 뿐 CYS 거래 시장의 집중 유동성에 실제로 팔아넣을 수 있는 금액은 계산되지 않는다. 공격자 수익에 대한 검증된 총액, 수신 주소의 완전한 목록, 시스템 밖으로 나간 자산에 대한 독립 평가는 어느 것도 공표되지 않았다. 규모는 토큰 설계 자체와 비교하면 분명해진다. Cysic이 공개한 토큰 이코노미는 총 공급량을 10억 CYS로 명시하고 있어 무단 발행분은 그 1%에 해당한다. 배분은 생태계 인센티브 40.19%, 투자자 23.62%, 기여자 12.11%, 재단 보유분 8%, 커뮤니티 인센티브와 유동성 16.08%다. 보유자는 CYS를 스테이킹해 양도 불가능한 거버넌스 토큰인 CGT를 받을 수 있는데, 이 토큰은 프로토콜 제안, 검증인 선정, 경제 파라미터 결정에 쓰인다. 컴퓨팅 공급자는 CYS로 영지식 증명 생성과 AI 작업을 위한 용량을 예약한다. 브리지 결함을 통한 무단 발행은 2026년에 반복돼 왔다. The Sandbox의 SAND 사고에서 담보 없는 토큰 329조 개가 발행됐고 확인된 인출액은 약 67만 5,000달러였으며, PeckShield는 10월 13일(화) Autheo 해킹에서 1,900만 THEO가 발행돼 약 700.8 ETH로 교환됐다고 집계했다. Cysic의 조사는 아직 이에 견줄 만한 수치를 내놓지 못했다.

행방이 확인되지 않은 720만 개

이번 사건의 온체인 기록은 이례적으로 깔끔하다. 협정세계시 12시 31분 38초의 발행과 그로부터 약 76분 뒤의 블랙리스트 등록 거래는 BNB 스마트체인에서 누구나 직접 검증할 수 있어, 동결 규모가 팀의 말에만 의존하지 않는다. 재단의 예비 분석에 따른 근본 원인은 데이터베이스 접근 통제와 브리지 프로토콜의 메시지 처리 논리에 있다. 대응이 바꾼 것은 범위다. 발행분의 28%가 동결됐고 브리지는 오프라인 상태이며 메인넷은 유지됐다고 알려져 있다. 그러나 해소되지 않은 부분도 나머지 720만 개다. 이 토큰은 검증된 수불 명세도, 완료된 회수도, 정량화된 공격자 수익도 갖고 있지 않다. BNB 체인에서의 자금 추적은 이미 진행형 과제다. CZ가 커뮤니티에 9,290만 달러 규모의 Ledger 리셀러 인출 사건 추적을 요청했을 때와 같은 방식이다. 재단이 발표하겠다고 밝힌 후속 보고서는 현 시점에서 결과가 아니라 의도로 남아 있다.