Blockstream, Liquid Network 해킹 잔여 598.5 BTC(비트코인) 몸값 요구 거부

Blockstream, 몸값 지급 일축

Blockstream이 Liquid Network 침해 사건의 배후 집단에게 단호한 선을 그었다. 공격자가 아직 쥐고 있는 약 598.5 비트코인(BTC)에 대한 몸값을 지급하지 않겠다는 것이다. 회사는 9월 11일 게시한 성명에서 이번 탈취를 ‘책임 있는 취약점 공개’로 규정하는 배후 집단의 주장을 정면으로 반박했다. 허가 없이 자산을 가져간 뒤 반환을 거부하는 행위는 화이트햇 활동이 아니라 범죄라는 논리다. Blockstream은 사용자 자금 회복을 위해 관련자들과 성의 있게 대화해 왔지만, 그 절차가 출금 수용이나 이후 제시된 조건의 승인으로 이어진 적은 없다는 점을 분명히 했다. 만약 버티는 집단에 보상한다면 오픈소스 소프트웨어 개발자들이 프로젝트 내 자신의 경제적 지분을 훌쩍 넘는 몸값을 강요당하는 선례가 남는다고 회사는 지적했다. “Bitcoin은 하드머니(hard money)다”라는 표현과 함께, Blockstream은 proof-of-work 기반 원장 자산은 무상으로 추가 발행될 수 없고 몸값을 메우기 위해 사용자 몫을 깎지도 않는다고 강조했다. 쟁점의 핵심은 이번 주 초 도난 자금 대부분이 반환된 뒤에도 돌아오지 않은 약 598.5 BTC, 즉 대규모 상환이 완료된 시점 기준 약 4,700만 달러 어치의 코인이다. 공개된 어떤 합의도 공격자가 이 코인들을 포상금으로 보유할 권리를 부여한 바 없다. 유통 중인 모든 L-BTC 토큰은 Liquid Federation이 보관하는 준비자산에 대해 1:1로 상환되는 wrapped Bitcoin 청구권으로 설계되어 있다. 담보 없는 발행은 이 사이드체인의 신뢰 모델을 직접 흔드는 이유다. Blockstream은 책임 있는 해결의 문은 열어두었지만, 잔여 코인이 반환되지 않을 경우 이용 가능한 모든 법적 수단을 동원하겠다고 경고했다. Bitcoin의 공개 장부는 모든 자금 이동을 영구히 기록한다. 거래는 사라지지 않고, 거래가 남긴 증거도 마찬가지라는 것이다.

Liquid 취약점 악용의 전말

사건의 기점은 9월 6일이다. 공격자들은 신속한 결제와 Bitcoin DeFi 활동에 쓰이는 Blockstream의 페더레이션 사이드체인 Liquid의 취약점을 악용했다. 온체인 분석에 따르면 이 집단은 담보 BTC 없이 약 4,000 L-BTC를 발행한 뒤, 이 가짜 청구권을 SideSwap의 페그아웃(peg-out) 인프라를 통해 밀어붙여 페더레이션 준비자산에서 약 4,000 BTC(실물)를 인출해 갔다. 당시 페더레이션 지갑에는 약 4,200 BTC, 달러로 대략 3억 2,000만 달러가 보관돼 있었다. 한 번의 공격 시퀀스로 준비금의 약 95%가 유출된 셈이다. 이후 공개된 포스트모템(사후 분석)은 원인을 기밀트랜잭션 검증 로직의 캐시 키 충돌로 특정했으며, 페더레이션 키 자체는 침해되지 않았다. 사건 동안 Liquid는 블록 생성을 중단했고 거래소들에는 L-BTC 입출금 중단이 요청됐다. Blockstream이 취약점을 패치한 Elements v23.3.4를 배포하고 서명된 메시지로 브리지 노드의 안전을 확인하자, 공격자들은 9월 7일 페더레이션 주소로 3,400 BTC를 돌려보냈다. 도난 금액의 약 85%가 회수됐고, 나머지는 공격자가 통제하는 주소에 남았다. 처음엔 거래에 메시지를 심어 소통하는 화이트햇 행세를 했던 이 집단은 모든 영향 노드에 취약점을 고치라고 요구한 뒤 조건을 격상시켰다. Blockstream의 자기 자금으로 10%의 포상금을 지급하거나, 아니면 Liquid 보유자들에게 손실을 안기라는 협박이었다. 꾸준히 복구 경과를 전해온 전 Blockstream 최고전략책임자 Samson Mow는 Liquid 거래가 다시 정상 처리되고 있지만, 미반환 코인이 남아 있는 동안 L-BTC의 담보 비율은 약 85% 수준에 머물러 있다고 밝혔다. 이 사태는 오픈소스 도구 전반의 보안 부담이 커지는 흐름 속에서 터졌다. 8월에는 BTCPay Server 지지단이 LND 관리자 마카룬(macaroon) 자격증명 노출 사건 뒤 상한 3 BTC의 복구 포상금을 조성했고, 연구자들은 Coldcard 취약점으로 인한 손실을 1,789.28 BTC로 추정하며 이 중 1,561 BTC가 아직 움직이지 않은 채라고 집계했다.

온체인 추적 기록이 남기는 것

우리가 기록을 읽어낸 결론은 이렇다. 투명성은 조사기관에 수단은 주지만 보장은 주지 않는다. 공격자의 거래는 영구히 감사 가능한 상태로 남아 있고, 캐시 키 충돌을 원인으로 특정한 포스트모템과 페더레이션 키 무침해 확인, Elements v23.3.4 패치 사실은 포렌식 전문가들이 지갑 간 자금 분할을 추적할 때 기준이 되는 검증된 좌표를 제공한다. 다만 다른 사례들에서 확인된 주소의 특정만으로 빠른 반환을 이끌어낸 경우는 드물었다. COINOTAG의 판단으로는 몸값 거부가 오픈소스 개발자들을 값비싼 선례로부터 지키는 길이다. 약 598.5 BTC가 여전히 추적 가능한 상태인 만큼, 코인을 쥔 채 버티는 집단에 가해지는 압력은 구조적이다. 이번 주 암호화폐 시장에서 가장 촉각을 집중시킨 Bitcoin 보안 사건인 셈이다.