Liquid 해킹 그룹, 비트코인(BTC) 3,400개를 페더레이션 지갑에 반환

3,400 BTC, Liquid 페그로 복귀

Blockstream의 비트코인 사이드체인인 Liquid Network 침해 사건의 당사자들이 지난주말 가져간 자산의 대부분을 돌려놓았다. 현지 시간 9월 7일 월요일, 스스로를 화이트햇이라 칭한 이 그룹은 페더레이션 지갑에 3,400 BTC를 반환했다. 이는 주말 동안 취합해 네트워크 밖으로 빼낸 약 3,998 BTC, 당시 약 3억 2,000만 달러 규모 자산의 약 85%에 해당한다. Liquid는 사용자가 메인넷의 비트코인을 잠그고 더 빠르고 프라이버시가 강화된 래핑 비트코인 토큰인 L-BTC를 받을 수 있게 하는 서비스이며, 이 사이드체인은 초기 비트코인 DeFi 활동의 상당 부분을 떠받치고 있다. 이번 사건을 특이하게 만드는 것은 자금의 이동 경로다. 원래 페그아웃에는 페더레이션을 운영하는 15개 기업 가운데 11개의 서명이 필요한데, 주말의 인출은 갓 생성된 주소로 이뤄졌다. 다만 페그 승인 키 자체는 침해되지 않았고 체인의 다른 발행 자산도 영향을 받지 않았다. 그럼에도 예방 차원에서 네트워크는 일시 중단됐고 L-BTC 이동이 동결됐는데, COINOTAG는 Liquid가 자금 유출 후 네트워크를 중단한 당시 상황을 이미 보도한 바 있다.

OP_RETURN으로 진행된 협상

환불은 비트코인 블록 안에서 entirely 이뤄진 협상 끝에 나왔다. 피해 측은 우선 임의 데이터를 트랜잭션에 첨부하는 OP_RETURN 메시지로 "체인 위에서 연락하라"는 문구를 게시했고, 발신 주소는 탈취 자금을 보유한 주소였다. 이에 Blockstream 관련 주소가 이메일 연락처를 안내하는 답을 보냈다. 이후 발신된 메시지에는 Electrum으로 암호화된 페이로드와 PGP 서명이 실렸고, 누구나 Blockstream이 공개한 보안 키로 검증할 수 있었다. 블록 965,869에서 공격자들은 "대부분"의 자금을 페더레이션 스크립트로 돌려보내면 되는지 일반 텍스트로 물었고, 조건을 내걸었다. 취약점을 먼저 패치하고 브리지를 구동하는 모든 노드의 업데이트를 확인한 뒤에야 자금을 이동하겠다는 것이다. Blockstream은 명확히 서명된 메시지로 "그렇다, 감사합니다"라고 답했고, 이후 "브리지 노드의 패치가 완료됐으니 자금을 반환해도 안전하다"고 방송했다. 이 확인 직후 3,400 BTC 반환 트랜잭션이 비트코인의 작업증명 원장에서 블록 965,950, 19:09 UTC에 확정됐다. 분배는 일방적이지만 의도적이었다. 85%를 돌려보내고 15%는 사실상의 발견 보수로 남긴 것이다. 이는 기술적 요구가 실제로 충족됐음이 확인된 이후에야 이뤄졌다.

공격자 손에 남은 598.5 BTC

문제는 남은 물량이다. 월요일 79,100달러 부근의 가격 기준 약 4,700만 달러어치인 598.5 BTC가 여전히 공격자 주소에 있으며, 어느 쪽도 그 이유를 설명하지 않고 있다. 이 가격대는 비트코인이 최근 지켜온 수준으로, 거시 압력이 커지는 가운데에도 약 79,000달러 부근을 방어해왔다. 남겨진 금액을 둘러싼 침묵은 보안 업계 인사들의 주목을 끌었다. 하드웨어 월렛 업체 Ledger의 최고기술책임자 Charles Guillemet은 X에 글을 올려, 남겨진 코인이 암호화된 온체인 계약에 따라 협상된 보상이라면 그 구도는 "화이트햇 해킹이라기보다 협박에 가깝다"고 지적했다. 사후 전개는 그의 경계에 무게를 실어준다. 환불 이후에도 여러 암호화 메시지가 온체인에 게시됐고, 마지막에는 공격자 측이 슬픔 이모지를 남겼다. 보상을 줄이려는 시도가 받아들여지지 않았다는 신호로 읽힌다. Blockstream은 협상 자체에 대해 공식 입장을 내놓지 않았다. 이 회사는 일요일에 브리지를 차단하고 거래소들에 L-BTC 입출금 동결을 요청했으며, 서비스 재개 시점도 밝히지 않았다. 온체인 데이터는 근본 원인이 SideSwap 페그아웃 경로의 Elements 버그였다고 본다. 보유 주소는 생태계에서 추적되는 대형 고래 잔고 중 하나로 기록돼 있다.

재개를 앞둔 4,700만 달러의 물음표

COINOTAG가 이 사건을 주목하는 이유는 모든 핵심 주장을 성명서가 아닌 1차 자료로 검증할 수 있기 때문이다. 환불은 온체인에 기록돼 확정됐고, 남은 잔고는 보유 주소에서 그대로 확인되며, 브리지 노드 패치라는 복구 조치 역시 코인이 움직이기 전에 Blockstream 자체의 서명된 메시지로 확인됐다. 원인은 페그아웃 경로의 Elements 버그로 추적됐고 페더레이션의 승인 키는 온전히 유지됐다. 이제 결과를 가르는 변수는 반환되지 않은 15%와 브리지 재개 일정이다. Blockstream이 L-BTC 동결을 해제하기 전까지 사이드체인의 래핑 공급은 잠긴 상태로 머물며, 공격자가 쥔 약 4,700만 달러어치 코인의 운명은 그렇지 않으면 문서화된 이 복구 과정에서 열린 채 남는다.