블록체인 프로젝트 싸이식(Cysic·CYS)의 크로스체인 브릿지에서 보안 사고가 발생했다. 공격자가 무단 발행한 토큰 일부를 매도하고 자금을 다른 네트워크로 옮긴 가운데, 재단은 브릿지 운영을 중단했다.

더블록은 지난 18일(현지시간) 온체인 기록을 분석한 결과 공격자가 전날 싸이식 브릿지를 악용해 BNB 스마트체인(BSC)에서 1000만 CYS를 무단 발행했다고 보도했다. 이 가운데 720만 CYS가 매도됐으며, 매각 대금은 다른 자산으로 교환돼 이더리움 네트워크로 이동했다.

공격자가 이더리움에서 받은 자산은 약 306.6 ETH로, 보도 당시 가격 기준 약 72만7000달러에 해당한다. 자금 이동에는 마얀(Mayan), 디브릿지(deBridge), SWFT의 브리저스(Bridgers) 등이 이용됐다.

싸이식은 공격자 주소를 블랙리스트에 등록해 남아 있던 약 280만 CYS의 전송을 제한했다. 다만 이 조치는 BSC상의 CYS에 적용되는 것으로, 이미 이더리움으로 이동한 ETH까지 동결하는 것은 아니다.

재단이 공개한 초기 조사에서는 브릿지 지원 서비스에 사용되는 데이터베이스에 대한 무단 접근 정황이 확인됐다. 공격자가 관련 처리 로직의 취약점을 악용해 허위 발행 메시지를 제출했다는 설명이다. 재단은 보안업체에 사고 조사와 자금 추적을 의뢰했다.

재단은 사고 범위가 브릿지의 메시지 처리와 토큰 발행 기능에 국한됐으며, 싸이식 메인넷과 다른 운영 시스템에는 영향을 주지 않았다고 밝혔다.

기존 이용자 지갑에 보관된 CYS나 다른 자산이 탈취되거나 무단 이전된 사고도 아니라는 입장이다.

최종 피해액은 아직 확정되지 않았다. 재단은 무단 발행된 토큰 수량만으로 달러 기준 손실을 산정할 수 없으며, 실제 전송·교환 내역과 손실을 검토하고 있다고 설명했다.

따라서 약 72만7000달러는 공격자가 확보해 이동한 ETH의 당시 평가액으로, 재단이 확정한 최종 손실액과는 구분된다.

싸이식 브릿지는 보안 검토가 끝날 때까지 운영이 중단된다. 재단은 검증된 손실 규모와 자금 추적 진행 상황을 담은 후속 보고서를 공개할 계획이다.