Osmosis, Nomic 브리지에서 담보 없는 40.65 비트코인(BTC) 해킹 74일 만에 적발

Osmosis에서 담보 없는 40.65 비트코인(BTC) 발행

공격자가 6월 25일 담보 없이 Nomic 브리지상에서 래핑 비트코인인 nBTC 40.650602 BTC 상당분을 발행했고, 이 침해 사고는 74일 동안 적발되지 않다가 Nomic 프로토콜이 중단되면서 Osmosis 보유자산에 대한 조사가 이뤄지면서 뒤늦게 드러났다. Cosmos 기반 탈중앙화 거래소인 Osmosis는 9월 9일 성명에서 이 사건을 공식 확인하며, 해커가 별개의 두 취약점을 조합해 nBTC를 이중지불하고 거래소에 허위 증서를 전달했다고 밝혔다. 프로젝트의 사후 분석(post-mortem)에 따르면 Osmosis 자체와 IBC 인터체인 메시징 계층은 침해되지 않았으며, 결함은 Nomic 자체의 커스텀 포워딩 메커니즘에 있었다. 온체인 기록을 보면 공격자는 당시 약 100만 달러 어치의 탈취 자산을 현금화했는데, 이더리움을 통해 671 ETH를 Tornado Cash로 전송한 것이었다. 해당 흐름은 이 주소의 공개 트랜잭션 기록에서 그대로 확인된다. 나머지 수익은 거래소 입장에서 운이 좋았다. 상당 부분이 allBTC 형태로 그대로 방치돼 있었고, 이번 주 초 긴급 업그레이드를 통해 동결되면서 공격자 계정의 allBTC 22.65가 잠겼다. 한편 Nomic 자체는 사실상 방치된 상태다. 공개 저장소의 마지막 커밋은 2년 전이고, 프로젝트의 X 계정 마지막 게시물은 2024년에 올라왔다. 현재 Osmosis 거버넌스 포럼에 상정된 제안은 동결된 allBTC 22.65를 회수하고, USDC.noble의 보류 중 유동성 재배치를 취소하며, 커뮤니티 풀에서 추가 allBTC를 인출하는 방식으로 40 BTC 부족분의 전액 담보를 복원한다는 내용이다. 이 사건은 널리 쓰이는 Cosmos EVM 모듈과 연관된 별도의 해킹 사례들이 이어지고 있는 상황에서 터졌으며, 피해자인 KiiChain은 이번 일련의 공개 과정을 공공연히 "피할 수 있었던 일"이라고 규정한 바 있다.

솔로 채굴자, 블록 966351 획득

브리지 신뢰가 흔들린 이러한 배경 속에서 비트코인 베이스 레이어는 작업증명 정산이 실제로 어떻게 작동하는지 자체적으로 다시 일깨워줬다. 솔로 채굴 장비를 구동하는 개인 채굴자가 2026년 9월 10일 한국시간 오후 8시 6분 46초(11:06:46 UTC) 블록 966351을 완전히 단독으로 발견하며 블록 보상 전액인 3.14728115 비트코인(BTC)를 챙겼다. 블록 익스플로러가 표시한 승인 시점 기준 약 24만 3,316달러 규모다. 온체인 기록은 명확하다. 보상은 2024년 반감기 이후 설정된 3.125 BTC 보조금에 2,627건의 트랜잭션에서 발생한 수수료 0.02228115 BTC가 더해진 금액이다. 블록 익스플로러는 채굴자를 "Unknown"으로 표기하며, 코인베이스 메시지는 "ckpool /braiinssolo/"로 남아 있다. 이는 해시파워가 연결된 Braiins Solo 서비스를 식별할 뿐, 채굴자의 신원이나 장비, 해시레이트는 공개되지 않았다. 이는 약 38일 9시간 만의 첫 솔로 채굴 성공이다. 이전 사례는 8월 3일 블록 960804로, 솔로 CK 채굴자가 3.15689830 BTC를 획득했다. 경제 구조는 풀 채굴과 크게 다르다. 풀 채굴에서는 참여자가 기여한 해시레이트에 비례해 보상을 나눠 갖지만, 솔로 승자는 보조금과 수수료 전액을 가져가는 대신 블록을 찾을 때까지 아무것도 벌지 못한다. 특정 블록의 달러 가치는 BTC 가격에 따라 변동하므로 온체인에서 유일하게 고정된 수치는 3.14728115 BTC 그 자체다. 채굴자의 전기료와 하드웨어 비용이 공개되지 않은 만큼, 이번 수확을 순수한 순이익으로 읽어서는 안 된다.

하나의 자산, 두 가지 신뢰 모델

베이스 체인 밖에서 비트코인 노출을 보유하는 이들에게 이번 대비는 시사점이 크다. 솔로 블록 보상에는 수탁자도, 브리지도, 공개 일정표도 필요하지 않다. 원장 자체가 감사이며, 두 성공 사이의 38일 공백은 확률적 복권에서 나오는 단순한 분산일 뿐이다. Nomic 해킹은 정확히 그 거울상이다. 담보가 유지보수되지 않는 코드에 의존했던 래핑 자산이었고, 74일의 적발 지연이 있었으며, 부족분은 이제 거버넌스 투표로 보수해야 한다. 우리가 사후 분석과 온체인 Tornado Cash 흐름을 살펴본 바로는, 투명성은 사후에 작동했다. 체인이 공개돼 있기에 671 ETH의 추적과 동결된 allBTC 22.65가 가능했다는 것이다. 다만 적발은 프로토콜이 멈춰서야 도착했다. BTCfi 래핑 자산 설계가 늘어나는 가운데, 감사되지 않은 포워딩 메커니즘의 누적분은 이 업계의 조용한 대차대조표 리스크로 남는다.