디파이 심바이오시스, 스마트컨트랙트 허점에 탈취

테크 · 2026-09-18 · Tom's Hardware

디파이(탈중앙화 금융) 거래소 심바이오시스가 스마트컨트랙트의 기본적인 범위 검증 결함을 악용한 해킹으로 자금을 탈취당했다. 공격자는 극히 적은 금액으로 막대한 규모의 가짜 비트코인 잔액을 만들어 실제 자산을 빼돌린 것으로 전해졌다.

디파이(탈중앙화 금융) 거래소 심바이오시스가 스마트컨트랙트의 기본적인 범위 검증(bounds checking) 결함을 악용한 해킹으로 자금을 탈취당했다. 공격자는 컨트랙트가 다루는 수량의 상한과 하한을 제대로 확인하지 않는 허점을 파고들었다. 보안 전문가들은 사소해 보이는 검증 누락이 대규모 자산 유출로 이어질 수 있음을 보여준 사례라고 평가했다.

공격자는 극히 적은 금액을 넣은 뒤 시스템이 감당할 수 없을 만큼 막대한 규모의 가짜 비트코인 잔액을 생성했다. 이렇게 부풀린 잔액을 담보로 삼아 실제 가치가 있는 자산을 인출하는 방식으로 거래소 자금을 빼돌렸다. 탈취된 자금은 프로토콜에 예치돼 있던 실자산이어서 이용자 피해로 이어질 수 있다는 우려가 나온다.

디파이 프로토콜은 사람이 아닌 코드가 자산을 관리하기 때문에 입력값 검증과 넘침(오버플로) 방지 같은 기본 안전장치가 필수적이다. 이번 사고는 정교한 공격 기법이 아니라 기초적인 프로그래밍 실수 하나로 거래소 자금 전체가 위험에 노출될 수 있음을 보여준다. 잇따른 탈취 사고로 스마트컨트랙트 감사와 보안 점검의 중요성, 나아가 디파이 생태계 전반에 대한 신뢰 우려도 다시 커지는 분위기다.