YZi Labs가 후원하는 바운스비트(BounceBit)가 자체 레이어1 블록체인을 영구 종료한다. 공격자가 프로토콜 수준의 권한 부여 결함을 악용해 메인넷 계정 9곳에서 약 2억 8,650만 개의 BB 토큰을 빼돌린 여파다. 우 블록체인(Wu Blockchain)에 따르면 공격자는 5시간도 채 안 되는 시간 동안 14건의 트랜잭션에 걸쳐 자금을 옮겼다. 위에 올라탄 스마트 컨트랙트가 아니라, Evmos 기반인 바운스비트 체인 자체에 특정된 결함을 파고든 결과였다.
바운스비트는 실물자산(RWA) 토큰화에 초점을 맞춘 비트코인 리스테이킹 레이어1을 표방해왔다. 중앙화 커스터디와 온체인 리스테이킹을 결합한 CeDeFi 프레임워크를 통해 BTC 보유자들에게 수익을 얻을 방법을 제공한다는 구상이었다. 침해 규모와 속도를 고려하면, 팀 입장에서는 라이브 패치를 시도하기보다 손상된 체인을 계속 운영하는 것 자체가 불가능하다는 결론에 이른 것으로 보인다.
무엇이 잘못됐나
취약한 스마트 컨트랙트 하나를 노리는 흔한 DeFi 익스플로잇과 달리, 이번 공격은 체인 자체의 권한 부여 계층—어떤 계정이 자금을 옮길 수 있는지, 어떻게 옮길 수 있는지를 통제하는 권한 체계—을 정면으로 강타했다. 이 계층의 결함은 침해를 지갑 하나로 묶어둘 안전장치를 사실상 무력화시켰고, 공격자는 짧은 시간 안에 여러 계정을 동시에 비울 수 있었다.
이런 구분은 업계가 이번 사건을 어떻게 받아들일지에도 영향을 준다. 스마트 컨트랙트 버그는 대개 기반 체인을 건드리지 않고도 패치할 수 있지만, 베이스 레이어 권한 부여 로직의 결함은 훨씬 근본적인 설계 실패다. 바운스비트가 논란의 여지가 있는 롤백이나 부분 수정을 시도하는 대신 네트워크를 완전히 종료하기로 한 것도 바로 이 때문일 가능성이 크다.
같이 보면 좋은 기사: 만트라 체인, 원인 불명 사고로 네트워크 전면 중단…토큰 급락
Evmos 기반 체인들에 불편한 패턴
바운스비트는 EVM 호환성을 제공하는 코스모스 SDK 기반 환경인 Evmos 프레임워크 위에 체인을 구축했다. 올해 다른 여러 프로젝트도 채택한 프레임워크다. 이런 베이스 레이어 익스플로잇은 애플리케이션 레이어 DeFi 해킹에 비하면 상대적으로 드물지만, 일단 발생하면 훨씬 심각한 경우가 많다. 위에 올라탄 개별 프로토콜 하나가 아니라 체인의 핵심 신뢰 가정 자체를 무너뜨리기 때문이다. 자금이 이미 사라진 뒤에는 사용자들에게 남는 구제 수단도 훨씬 적어진다는 뜻이기도 하다.
피해자들에게 남은 다음 단계는
바운스비트는 아직 종료로 영향을 받은 보유자와 리스테이커들을 위한 보상 계획이나 마이그레이션 경로를 구체적으로 밝히지 않았고, 탈취된 계정 9곳도 공개되지 않았다. 비트코인 보유자와 온체인 수익 사이의 신뢰 다리를 자처했던 프로젝트였던 만큼, 이번 사건은 리스테이킹·RWA 카테고리 전반이 어떻게 받아들여질지에도 상당한 무게로 작용할 가능성이 크다. 특히 상대적으로 위험 회피 성향이 강한 비트코인 보유자층 사이에서는 더욱 그렇다.
