크로스체인 브릿지 3곳, 하룻새 3,550만 달러 털렸다

AFX Trade는 해커에게 720만 달러의 바운티를 제안했습니다. 도난 자금의 70%(약 1,690만 달러)를 반환하면 해커가 30%를 합법적으로 보유할 수 있다는 조건이었습니다 . Offchain Labs 공동 창업자 스티븐 골드페더는 이번 공격이 서드파티 브릿지를 노린 것이며, Arbitrum의 네이티브 인프라는 영향을 받지 않았다고 확인했습니다 .

Verus-Ethereum 브릿지 — 754만 달러 피해 (7월 23일)

Verus-Ethereum 브릿지는 7월 23일 위조된 크로스체인 임포트 공격으로 자금이 빠져나갔습니다. 이는 2026년 5월에 1,158만 달러의 피해를 입혔던 동일한 계약 및 진입 경로가 재사용된 것입니다. Blockaid는 공격자가 브릿지의 임포트 경로를 다시 사용하여 이더리움 측에서 담보되지 않은 지급을 유발했다고 확인했습니다 .

약 754만 달러 상당의 ETH, 토큰화된 비트코인(tBTC), 그리고 USDC, USDT, EURC, MKR, scrvUSD 등 다양한 스테이블코인이 도난당했습니다. 해커는 이를 약 3,916.1 ETH로 전환했으며, 일부 자금은 이후 토네이도 캐시(Tornado Cash)로 이동되었습니다 .

이는 약 2개월 만에 발생한 두 번째 주요 Verus 브릿지 침해 사고로, 근본 원인이 완전히 패치되지 않았을 가능성에 대한 심각한 의문을 제기했습니다. Blockaid는 7월 거래가 5월의 익스플로잇과 다른 공격자와 다른 지갑에서 발생했다고 확인했으며, 이는 취약점이 독립적으로 악용될 수 있음을 의미합니다 .

B² Network — 386만 달러 피해 (7월 23일)

비트코인 확장 솔루션 B² Network는 BNB 체인상의 토큰 스테이킹 계약에 대한 업그레이드 권한이 무단으로 탈취되면서 약 859만 1,000개의 B2 토큰(약 386만 달러 상당)을 도난당했습니다. 이는 전통적인 온체인 취약점이 아닌 관리자 권한 익스플로잇이었습니다 .

해커는 B2 토큰을 5,409 WBNB(약 311만 달러)로 판매한 후 이더리움으로 브릿징했으며, 이후 NEAR Intents를 통해 Zcash로 자금을 이동시키고 있는 것으로 보고되었습니다 . 온체인 분석가들은 도난을 담당한 지갑이 2025년부터 필요한 권한 역할을 부여받고 있었으며, 이 권한은 무단 전송이 발생한 후에야 해제되었다고 지적하여 내부 자격 증명 유출 가능성을 시사했습니다 .

B² Network는 스테이킹을 중단하고 해커에게 부분 환불 조건으로 법적 면제를 제안했으며, 10% 반환 조건이 논의된 것으로 알려졌습니다. 프로토콜은 피해 사용자에게 전액 보상할 것이라고 밝혔습니다 .

총 피해 현황

세 건의 익스플로잇이 드러낸 교훈

오프체인 키 관리는 여전히 가장 취약한 연결 고리입니다. AFX 익스플로잇은 프로토콜 버그가 아니라 키 관리 실패, 즉 5개의 핫 검증인 서명이 탈취되어 브릿지 정족수를 충족하는 데 사용된 사례입니다. 보안 업체 Blockaid는 온체인 로직이 설계된 대로 정확히 작동했다고 강조했습니다 .

반복되는 취약점이 완전히 해결되지 않고 있습니다. Verus 브릿지는 2개월 만에 동일한 임포트 경로 벡터를 통해 두 번이나 악용되었으며, 이는 2026년 5월의 수정이 불완전했거나 근본적인 아키텍처에 결함이 있었음을 시사합니다 .

관리자 업그레이드 권한은 단일 실패 지점입니다. B² Network의 익스플로잇은 권한 있는 역할(계약 업그레이드 키)이 프라이빗 키만큼 위험할 수 있으며, 이들의 탈취는 어떠한 스마트 계약 로직 버그도 악용하지 않고 공격자가 전체 토큰 공급량을 탈취할 수 있게 함을 보여줍니다 .

자금 세탁 인프라는 이미 성숙해 있습니다. AFX 해커는 도난당한 USDC를 몇 분 만에 ETH로 전환했으며, 7월 25일부터 THORChain을 통해 ETH를 BTC로 전환하기 시작했습니다. 이는 크로스체인 아토믹 스왑과 탈중앙화 거래소가 이제 브릿지 익스플로잇 수익금을 은닉하는 표준 경로가 되었음을 보여줍니다 . B² Network 해커 역시 NEAR Intents를 통해 Zcash로 자금을 이동시켰습니다 .