Blockstream, Liquid 측점 탈취 사건 잔여 598.5 BTC에 대한 포상금 지급 거부

Liquid 사이드체인에서 4,000 BTC 탈취

Blockstream가 이달 초 자사의 Liquid 사이드체인을 털어간 해커들의 소급 포상금 요구를 정면으로 거부했다. Liquid는 사용자가 Bitcoin(BTC)을 예치하고 더 빠른 온체인 정산이 가능한 대응 토큰을 받는, Blockstream가 구축한 네트워크다. 9월 6일 공격자들은 소프트웨어 결함을 이용해 실제 Bitcoin 담보가 없는 Liquid 토큰을 발행한 뒤 페그(측점)를 통해 외부로 전환했다. 페더레이션 서명 키는 탈취되지 않았고, 이 때문에 유출 트랜잭션은 아무런 차단 없이 처리됐다. 총 약 4,000 BTC가 네트워크 밖으로 나갔다. Blockstream가 패치를 배포하자 공격자들은 3,400 BTC를 돌려보내고 이번 사건을 정식 버그 바운티 계약이었던 것처럼 보상을 요구했으며, 598.5 BTC는 자신들이 가져갔다. 집필 시점 Bitcoin이 77,952달러 부근에서 거래되는 가운데 이 물량은 약 4,600만 달러어치에 해당한다. 우리가 직접 확인한 공식 성명에서 Blockstream는 오픈소스 개발자가 자신들이 네트워크에 보유한 지분보다 훨씬 큰 배상을 강제당해서는 안 된다고 주장하며, 자산 탈취와 반환 지체는 ‘책임 있는 취약점 공개가 아니라 범죄’라고 규정했다. 즉 화이트햇 행위가 아니라 절도라는 것이다. 이 회사는 2022년 이후 자칭 화이트햇들이 가져간 자금의 일부를 챙기면서도 공개적으로 감사를 받아온 관행과 정면으로 충돌한 셈이다. 아직 풀리지 않은 문제는 부족분이다. 일부 반환 후에도 약 600 BTC가 미회수 상태로 남아 있는데, 코인이 돌아오지 않을 경우 손실을 누가 부담하는지 Blockstream는 밝히지 않았다.

공식 성명https://x.com/Blockstream/status/2098281867908690394

10% 포상금 선례

이번 요구 자체가 업계가 스스로 만들어 놓은 시나리오를 따른 것이다. 2022년 혼란스러운 해킹으로 1억 9,000만 달러를 잃은 크로스체인 브리지 Nomad는 해커들에게 전체 물량의 10%를 갈무리하는 조건으로 나머지 반환을 공개 제안했고, 이후 프로젝트들이 이 방식을 복제하며 일회성 협상이 사실상 도난 자금에 붙는 표준 요율로 굳어졌다. Blockstream의 거부에 앞서 Ledger 최고기술책임자 Charles Guillemet는 화이트햇 프레임 자체를 의문시하며, 브리지를 턴 뒤 접촉을 요청하는 행위는 보안 연구가 아니라 갈취라고 주장했다. Blockstream가 반발한 첫 사례도 아니다. 2024년 Kraken은 300만 달러를 가져간 뒤 반환 조건을 스스로 정한 보안 연구자들을 협박으로 고발하며 업계 전반의 자체 가격 책정 반환에 대한 관용을 크게 식혔다. 남은 자금이 어디로 향하는지가 향후 관전 포인트다. 회수는 이제 공개적으로 신원이 밝혀지지 않은 지갑을 쫓는 법 집행기관, 거래소 컴플라이언스 팀, 온체인 포렌식에 달려 있다. 공격자들은 추적을 끊기 위해 크립토 믹서를 거치거나 Monero(XMR) 같은 프라이버시 자산으로 옮길 수 있다. 이 과정은 주요 거래소로 수렴하며, 주요 암호화폐 거래소들의 컴플라이언스 대응력이 동결되지 않은 BTC의 운명을 결정할 가능성이 높다. 기술 기록을 검토한 우리의 판단은 피해 범위가 헤드라인이 암시하는 것보다 좁았다는 것이다. 키는 침해되지 않았고 결함은 토큰 발행 단계에 있었기 때문에 피해는 페그에 국한됐으며 기초 Bitcoin 준비금에는 닿지 않았다. 시장을 실시간으로 추적하려는 독자는 MEXC에서 현물·선물 가격을 실시간으로 확인할 수 있다.

거부가 시사하는 것

두 흐름을 겹쳐 보면 이번 사건은 변곡점이다. 여기서 핵심 문서는 Blockstream 자체 성명이다. 이 성명은 업계가 조용히 관행화해 온 행위를 절도로 재분류하고, 다음 공격자가 이 점을 감안해 요구하도록 압박한다. 이 거부가 유지될지 여부는 다음 공격 그룹이 무엇을 요구할지, 그리고 영지식 증명 같은 프라이버시 기법과 투명성 사이에 자리한 페더레이션 커스터디 모델이 공격자들이 지금 휘두르는 평판 레버리지를 견딜 수 있을지를 결정할 것이다. 이 에피소드는 프로토콜이 사실상 해킹을 피하기 위해 대가를 지불하는 최대 추출 가능 가치(MEV) 논쟁과도 맞닿아 있으며, 이번에는 청구서가 사후에 도착했다. 조용한 10% 합의는 줄고, 강경한 대응은 더 늘 것으로 보인다.