Blockstream, Liquid 공격자가 보유한 598.5 비트코인(BTC) 몸값 요구 거부

Blockstream, 몸값 지불 요구 거부

비트코인 사이드체인 Liquid Network의 리드 개발사인 Blockstream이 9월 11일, 지난주 해킹 사건 이후 공격자가 아직 보유 중인 598.5 BTC에 대한 몸값 지불을 거부하겠다고 밝혔다. 회사는 공식 성명에서 공격자가 주장한 화이트햊 지위를 정면으로 부정했다. “승인 없이 자산을 가져가서 반환을 유보하는 것은 책임 있는 취약점 공개가 아니라 범죄다. 화이트햊 활동이 아니라 절도다.” Blockstream은 사용자 자금 회수를 위해 해당 그룹과 선의로 대화해 왔지만, 이것이 그들의 조건을 수용하는 것으로 읽혀서는 안 된다고 강조했다. 아울러 오픈소스 소프트웨어 개발자가 자신이 유지 관리하는 프로젝트에 대한 경제적 지분을 훌쩍 넘는 몸값을 강제로 지불하는 선례를 남기지 않겠다는 입장도 밝혔다. 비트코인의 고정 발행 구조상 보유자 자산을 희석해 몸값 마련 자금을 충당할 수 없다는 점도 함께 지적했다. 코인이 자발적으로 반환되지 않을 경우, 회사는 법 집행기관, 거래소, 서비스 제공업체, 포렌식 전문업체와 협력해 자산을 추적하고 책임자를 특정하겠다고 경고했다. 그러면서 거래 기록과 그것이 남기는 증거는 사라지지 않는다는 점을 덧붙였다.

3,998.5 BTC는 이렇게 유출됐다

침해 사건은 9월 6일 시작됐다. 공격자는 Liquid의 기반 노드 소프트웨어인 Elements의 결함을 악용해 담보 없이 약 4,000 L-BTC — 연합 사이드체인의 래핑 비트코인 자산 — 을 임의로 발행했다. 이 토큰을 SideSwap의 페그아웃 인프라를 통해 이동시킨 공격자는 연합 지갑에서 약 3,998.5개의 실물 BTC, 당시 기준 약 3억 2,000만 달러를 인출했다. 연합 지갑에는 당시 약 4,200 BTC가 보관돼 있었고, 이는 네트워크 준비금의 약 95%가 노출됐음을 의미한다. 9월 7일 공격 그룹은 3,400 BTC를 반환해 탈취 물량의 약 85%를 회복했고, 598.5 BTC — 1코인당 77,391달러 기준 약 4,630만 달러 — 가 공격자가 관리하는 주소에 남았다. 이 잔여 물량이 협박의 핵심이 됐다. 9월 9일 비트코인 블록 966,199에 OP_RETURN 출력으로 삽입된 메시지는 Blockstream이 자체 자금으로 10%의 버그 바운티를 지불하거나, 그렇지 않으면 모든 Liquid 보유자가 15% 손실을 감수해야 한다고 요구했다. 메시지는 회사가 50억 달러 규모 자산을 확보하는 데 150만 달러밖에 쓰지 않았다고 비난하며, 이전 통신을 복호화하는 개인키를 공개하겠다고 예고했다. 온체인 최후통첩은 Blockstream의 전 최고전략책임자이자 Jan3 CEO인 Samson Mow가 공유했다.

페그 중단 속 복구 진행

Liquid의 복구는 통제된 일정에 따라 진행 중이다. Blockstream은 Elements v23.3.4를 배포해 악용된 결함을 닫았고, 펑셔너리와 브리지 노드를 패치했으며 목요일 블록 생성을 재개했다. 다만 초기 블록에는 트랜잭션이 실리지 않았고, BTC와 L-BTC 간 페그인·페그아웃 전환은 준비금이 회복될 때까지 계속 중단 상태다. 이사회 의장 Adam Back은 9월 10일 페그 문제에 직접 답하며, L-BTC와 비트코인 간 1:1 담보가 온전히 회복될 것이라고 단호한 긍정으로 확인했다. 그는 보유자들에게 장외거래 시장에서 할인 가격에 매도하지 말 것을 당부했다. 이후 Samson Mow의 복구 업데이트에 따르면 트랜잭션 처리가 정상화되는 중이며, 미회수 코인이 돌아올 때까지 L-BTC의 담보율은 현재 약 85% 수준이다. 이 사건은 최근 한 달간 BTCPay Server, Coldcard, 그리고 Blockstream 자체의 Core Lightning까지 취약점 또는 절도 사실을 잇달아 공개하며 비트코인 DeFi 인프라가 혹독한 시기를 보내는 가운데 발생했고, 자기관리 논쟁을 생태계 전반에서 격화시켰다.

온체인 추적이 압박을 이어간다

우리의 온체인 기록 분석에 따르면 발행 시점 기준 598.5 BTC는 움직이지 않았다. 공격자가 협상에 사용한 모든 OP_RETURN 메시지는 공개 원장에 영구히 기록돼 있다. Blockstream이 거래소와 포렌식 업체 전반에 걸친 추적 노력을 확대하며 이 영구성에 기대는 셈인데, 이는 앞서 정리한 Liquid 익스플로잇 분석에서 자세히 다룬 바 있다. 회사의 공식 포스트모템은 Elements 결함을 근본 원인으로 특정했으며, v23.3.4 패치와 블록 생성 재개가 이미 배포된 복구 조치다. 준비금 복원이 마지막 단계로 남아 있다. 페그가 재개되기 전까지 비트코인 사이드체인 보안에 대한 신뢰는 1:1 담보가 지켜진다는 약속 — 그것도 공격자에게 한 푼도 지불하지 않고 충당되는 방식 — 위에 놓여 있다.