Liquid 해킹범, Blockstream에 BTC 3,400개 반환... 598.49 BTC는 계속 보유

Liquid 해커, BTC 3,400개 반환

주말 동안 비트코인 사이드체인 Liquid Network의 연합(federation) 지갑에서 약 4,000 BTC를 인출한 자칭 화이트햇 해킹 그룹이 월요일 3,400 BTC를 반환했으며, Blockstream과의 협상이 계속되는 가운데 598.49 BTC는 여전히 손에 쥐고 있다. 이 그룹은 9월 6일 OP_RETURN 트랜잭션에 “we are white hat hackers, contact us onchain”이라는 메시지를 담아 협상 창구를 열었고, Blockstream은 처음에는 보안 담당 이메일로 안내하다가 이후 양측 모두 PGP 서명 암호화 메시지로 전환했다. 코인은 16:09 UTC에 연합 지갑으로 되돌아갔다. 반면 메인 체인에서 벌어진 일은 훨씬 어수선했다. 수백 명의 사용자가 자신의 메모를 붙인 더스트(dust) 금액을 해커 주소로 전송하기 시작했고, 온체인 데이터에 따르면 해당 주소에는 회신 로그가 계속 쌓이고 있다. 이 트래픽에는 진지한 문의부터 “WHITE HAT” 토큰을 밀어붙이는 밈코인 홍보 세력, 코인을 보내면 “두 배로” 불려준다는 이중 사기, 그리고 노골적인 구걸까지 뒤섞여 있다 — 한 이용자는 정확히 8.5 BTC를, 또 다른 이용자는 10 BTC를 요구했다. 하나의 보안 사고가 비트코인 장부의 트랜잭션 메모 위에서 펼쳐지는 공개적 파경(派經)이 된 셈이다.

12년 만에 찾은 330만 파운드

같은 주, 12년 전 거래소 붕괴 사건은 전혀 다른 결말을 맞았다. 영국 투자자 크리스(Chris, 성 미공개)는 초창기 영국 플랫폼 Intersango가 문을 닫으면서 접근할 수 없게 됐던 61 BTC 전량을 회수했다. 현재 가치로 약 330만 파운드(£3.3M)에 이르는 규모다. 그는 2011년 비트코인이 파운드 기준 약 £2.94에 거래되던 시절 £1,500을 들여 Britcoin을 통해 코인을 매수했고, Britcoin은 이후 Intersango로 이어졌다. 해당 사이트는 2014년 초 오프라인이 됐고, 자산 가치가 약 £4,000에 불과하던 당시 그의 출금 시도는 아무런 응답을 받지 못했다. 청구를 처리한 법무법인 CEL Solicitors에 따르면 그는 2026년 1월 변호사에게 사건을 의뢰했고, 사건은 법원 판결이 아닌 협상을 통해 5월 28일에 합의로 종결됐다. 소유권 입증에는 오래된 은행 거래 내역, 이메일, 거래소 기록, 미국 법정 절차용으로 준비된 문서까지 필요했다. 법무법인 측은 전 Intersango 이용자와 연관된 5,500 BTC 이상이 추적됐다며, 다만 각 청구인이 특정 코인의 소유권을 입증해야 한다고 밝혔다. 크리스는 회수한 자금을 FCA 규제 플랫폼으로 옮겼다 — 이는 COINOTAG의 최고 암호화폐 거래소 가이드가 단계별로 안내하는 종류의 실사다. Intersango 자체는 FCA 규제를 받지 않았던 탓에 출금이 중단됐을 때 고객에게는 공식적 구제 수단이 없었다.

유출의 원인은 Elements 버그

온체인 포렌식이 이번 탈취의 전개 과정을 설명해주고 있다. 9월 6일 14:05 UTC, 4,000 L-BTC — Liquid의 래핑 비트코인 방식 페그 자산 — 이 결제 플랫폼 SideSwap이 운영하는 페그아웃 서비스로 전송됐고, 유효한 페그아웃 승인과 함께 해당 토큰은 소각됐으며, 연합은 약 23분 뒤 4,000 BTC 상당을 지급했다. SideSwap은 해당 주문의 L-BTC가 Liquid가 구동되는 오픈소스 소프트웨어 Elements의 버그로 생성된 것이라며, 자사 시스템이나 페그아웃 승인 키(Peg-out Authorization Key)는 침해되지 않았다고 밝혔다. 연합 지갑에는 사전에 약 4,200 BTC가 보유돼 있었는데, 이번 인출로 네트워크에 페그인된 자산의 약 95%가 빠져나간 셈이다. 공격자는 “모든 노드를 패치하라”는 단 하나의 조건과 함께 PGP 암호화된 취약점 세부 정보를 보냈고, Blockstream이 브리지 노드 패치를 확인한 뒤 3,400 BTC — 약 2억 7,000만 달러 규모, 유출량의 85% — 가 연합 주소로 돌아왔다. Ledger CTO 찰스 기예메(Charles Guillemet)는 화이트햇 프레임을 거부하며, 보유 중인 598.5 BTC(약 4,700만 달러)는 오히려 갈취에 가깝다고 주장한다. Blockstream이나 Liquid 어느 쪽도 남은 금액을 현상금으로 규정하지 않았다. Liquid는 조정된 재시작이 준비되는 동안 동결 상태를 유지 중이며, JAN3 CEO 샘슨 모(Samson Mow)는 예정된 체인 분할로 인한 리플레이 어택 위험이 해소될 때까지 페그인하지 말라고 경고했다. USDT와 토큰화된 실물자산 등 Liquid에서 발행된 자산은 영향을 받지 않았다.

Liquid 재시작에 주목

COINOTAG의 판단은 이렇다. 두 사건 모두 리스크는 메인 체인 자체가 아니라 그 위에 쌓인 계층에 존재했으며, 작업 증명 설계에는 문제가 없었다. 우리가 확인한 온체인 기록에 따르면 3,400 BTC가 연합 주소로 복구됐고 598.49 BTC는 여전히 공격자 통제 하에 있다. Blockstream의 조정된 재시작이 확정되지 않은 상황에서 익스플로러 데이터가 사실상의 핵심 증거로 기능한다. Liquid 같은 비트코인 DeFi 인프라가 확장될수록 보안 경계 역시 함께 넓어진다 — 330만 파운드 규모의 Intersango 합의가 커스터디(보관) 측면에서 다시 일깨워주는 교훈이다. 후속 전망은 COINOTAG의 비트코인 관련 보도에서 계속 추적한다.