비트코인 리스테이킹·CeDeFi 플랫폼 바운스빗이 자체 레이어1 블록체인을 완전히 종료하기로 했다. 공격자가 권한 검증 결함을 악용해 계정 9곳에서 BB 토큰 2억 8,650만 개, 당시 시세로 약 300만 달러어치를 빼돌린 여파다. 팀은 취약점을 패치하는 대신 체인 자체를 버리고, BB를 BNB 체인 위에서 새 토큰으로 재발행하는 쪽을 택했다.
공격은 8월 19일 21시 2분(UTC)부터 20일 1시 54분(UTC)까지 약 다섯 시간에 걸쳐 14건의 트랜잭션으로 진행됐고, 이후 블록 생성이 중단됐다. 눈에 띄는 점은 개인키나 사용자 지갑이 뚫린 게 아니라는 사실이다. 공격자가 노린 건 체인 자체의 권한 검증 시스템이었다. 이 시스템이 지정된 출처 계정이 실제로 이체를 승인했는지 확인하지 못하는 허점이 있었고, 공격자는 이를 이용해 아무 계정이나 허가 없이 자금 출처로 지정할 수 있었다.
고칠 바엔 왜 그냥 떠나는가
근본 원인은 바운스빗 체인의 기술적 토대로 거슬러 올라간다. 이 네트워크는 에브모스(Evmos) 소프트웨어 스택 위에 구축됐는데, 문제의 취약점은 그 스택의 네이티브 모듈 중 하나에 있었다. 바운스빗 측 설명으로는, 이 결함을 제대로 고치려면 환경 자체를 다시 구축해야 하는데 그게 현실적이지 않았다고 한다. 근본 원인이 된 에브모스 프로젝트 자체가 2026년 5월 개발이 중단됐기 때문이다. 결국 팀은 원개발자들조차 손을 뗀 소프트웨어 위에서 보안 핵심 인프라를 유지해야 하는 처지에 놓였던 셈이다.
결국 바운스빗은 이례적인 선택지 사이에서 저울질해야 했다. 이미 버려진 소프트웨어 위에 지어진 체인을 그대로 패치할 것인가, 아니면 아예 이전할 것인가. 팀은 이전을 택했다. BB는 BNB 체인 위에서 BEP-20 토큰으로 재발행되며, 잔고는 8월 19일 21시 2분 35초(UTC)에 기록된 블록 20,697,260 시점, 즉 첫 무단 트랜잭션 직전의 바운스빗 체인 상태 스냅샷을 기준으로 복원된다. 공격자가 빼돌린 2억 8,650만 개의 BB는 새로운 공급량에 포함되지 않는다. 프로토콜이 손실을 떠안는 대신 도난 물량 자체를 사실상 무효로 만든 셈이다.
이용자가 알아야 할 것
바운스빗은 이번 결정을 단순한 사후 수습이 아니라고 강조한다. 이미 프로토콜 사용자 활동 대부분이 BNB 체인에서 이뤄지고 있고, 자체 독립 체인이 확보했던 것보다 훨씬 깊은 유동성과 폭넓은 지갑 지원, 더 큰 개발자 생태계를 갖추고 있다는 설명이다. 스테이킹 계약에 묶인 포지션을 포함해 정상적인 잔고는 별도의 수동 신청 절차 없이 BNB 체인상의 대응 주소로 자동 이전될 예정이다.
같이 보면 좋은 기사: 콜드카드, 1.3억 달러 시드 해킹 이후 펌웨어 전면 개편
이번 사건은 프로젝트의 보안이 그 기반이 된 소프트웨어 스택의 견고함을 넘어설 수 없다는 사실을 다시 한번 보여준다. 체인이 딛고 선 프레임워크가 유지보수를 잃는 순간, 그 위에 지어진 프로젝트들은 예상 여부와 무관하게 그 위험을 고스란히 떠안게 된다. 바운스빗 입장에서는 계산이 명확했다. 죽은 인프라 위에 맞춤형 권한 시스템을 다시 짓는 비용과, 활발히 유지보수되는 보안 모델을 갖춘 체인으로 깔끔하게 이전하는 비용을 비교한 셈이다. 이달 초 하드웨어 지갑에서 1억 3,000만 달러 넘게 빠져나간 콜드카드 시드 생성 결함 사태에 이어, 2026년 들어 비트코인 인접 프로젝트들이 보안 전제를 다시 점검하게 만든 또 하나의 사례다.
