싸이식 크로스체인 브리지 해킹…CYS 1000만개 무단 발행·73만달러 유출

블록체인 프로젝트 싸이식(Cysic)이 크로스체인 브리지 해킹으로 CYS 토큰이 무단 발행되는 사고가 발생하자 관련 서비스를 중단하고 조사에 착수했다.

18일(현지시간) 더블록에 따르면 싸이식 재단은 지난 17일 BNB체인에서 발생한 해킹으로 CYS 토큰 1000만개가 무단 발행됐다고 밝혔다. 공격자는 이 가운데 720만개를 매도한 뒤 약 72만7000달러 상당의 자금을 이더리움(ETH) 네트워크로 이동한 것으로 파악됐다.

싸이식 재단은 사고 보고서를 통해 공격자가 브리지 운영을 지원하는 서비스의 데이터베이스에 무단 접근한 뒤 메시지 처리 과정의 취약점을 악용해 허위 토큰 발행 요청을 제출했다고 설명했다. 이를 통해 정상적인 승인 절차를 거치지 않고 대규모 CYS 토큰을 발행한 것으로 확인됐다.

온체인 기록에 따르면 공격자는 무단 발행 직후 CYS 토큰 720만개를 여러 차례에 걸쳐 매도했다. 이 가운데 565만개는 11차례 거래를 통해 약 58만8315USDT로 전환됐으며, 나머지 155만개는 약 220BNB에 매도됐다. 일부 거래는 OKX의 탈중앙화거래소(DEX) 애그리게이터를 통해 팬케이크스왑 등에서 처리됐다.

공격자는 이후 SWFT와 마얀(Mayan), 디브리지(deBridge) 등 크로스체인 프로토콜을 이용해 매도 대금을 이더리움으로 전환했다. 이 과정에서 약 306.6ETH를 확보했으며, 이는 당시 시세 기준 약 72만7000달러에 해당한다. 확보한 이더리움 대부분은 별도의 지갑으로 이동했다.

싸이식 측은 최초 공격 발생 약 76분 뒤 공격자 주소를 블랙리스트에 등록했다. 이에 따라 공격자가 보유한 나머지 CYS 토큰 280만개는 전송이 차단됐다. 다만 해당 조치는 BNB체인의 CYS 토큰에만 적용돼 이미 이더리움 네트워크로 이동한 자금에는 영향을 미치지 않는다.

싸이식 재단은 이번 사고가 브리지의 메시지 처리 및 토큰 발행 기능에 국한됐으며, 싸이식 메인넷에는 영향을 미치지 않았다고 설명했다. 재단은 "기존 이용자 자산은 탈취되지 않았다"고 강조했다.

실제 피해 규모는 아직 확정되지 않았다. 싸이식 측은 무단 발행된 토큰 수량이 최종 달러 기준 손실액을 의미하는 것은 아니라고 설명했다. 현재 외부 보안업체에 사고 조사와 자금 추적을 의뢰했으며, 보안 점검이 완료될 때까지 브리지 운영을 중단할 방침이다.

한편 싸이식은 영지식증명(ZK) 생성에 특화된 하드웨어와 레이어1 블록체인 네트워크를 개발하는 프로젝트다. 2022년 설립됐으며, 2023년 폴리체인캐피털이 주도한 시드 투자에서 600만달러를 조달한 바 있다.