Liquid Network, 자칭 화이트햇에 비트코인(BTC) 4,000개 인출당해

4,000 BTC, Liquid 페더레이션 지갑을 떠나다

토요일, 약 4,000 비트코인(BTC) — Liquid Network에 예치된 물량의 약 95%로 추정되는 규모 — 가 페더레이션 지갑에서 빠져나갔다. 전송의 당사자들은 스스로를 화이트햇이라 주장하고 있다. Liquid는 비트코인 레이어-2 사이드체인으로, 서명자 연합체(federation)가 양방향 페그를 담당한다. 사용자는 메인 체인에서 Bitcoin (BTC)를 잠그고 동일한 수량의 Liquid Bitcoin(L-BTC)을 받으며, 이후 페그아웃 절차를 통해 L-BTC를 다시 상환하는 구조다. SideSwap이 X에 게시한 성명에 따르면 고객이 UTC 14:05에 4,000 L-BTC를 자사 페그아웃 서비스로 보냈고, 페더레이션은 23분 뒤 3,996 BTC를 지급했다. Blockstream은 이후 해당 코인이 체인을 구동하는 Elements 소프트웨어의 버그에서 비롯됐다고 추적했다. 주목할 점은 이번 전송에 사용된 SideSwap 페그아웃 승인 키 자체는 유출되지 않았다는 것 — 즉 이번 사건은 키 탈취가 아니라 코드 경로의 결함을 이용한 것이다.

@side_swap · X 게시물

SideSwap 발표.

X에서 보기

인출된 자금은 단일 비트코인 주소 bc1ql4mfu6aundtkksxklfajs2h3t9nzcd6gyqjlte로 모였으며, 이 주소에는 “we are whitehats. contact us on chain.”이라는 OP_RETURN 메시지가 새겨져 있다. 온체인 데이터 기준 이번 유출 물량은 약 3억 2,000만 달러 규모로, Galaxy Research는 이를 Liquid에 예치된 전체 비트코인의 약 95%로 계산했다. 네트워크는 토요일 오전 EST 9:00경부터 중단 상태다. 브리지 노드가 비활성화돼 새 트랜잭션이 체인에 유입되지 못하고 있으며, L-BTC를 상장한 거래 플랫폼들은 입출금을 일시 중단하거나 중단을 준비 중이다 — Coinbase 등 주요 거래소에서도 이번 중단 조치가 확인된다. USDT, DePix, 토큰화된 실물자산(RWA) 등 Liquid의 기타 발행 자산은 영향을 받지 않은 것으로 확인됐다. 운영진은 혼란에 대해 사과하며 페더레이션 멤버들이 정상적인 네트워크 활동 복구에 적극적으로 작업 중이라고 밝혔다.

@glxyresearch · X 게시물

Galaxy Research 계산.

X에서 보기

Ledger CTO 길레메, ‘화이트햇’ 표현에 의문

화이트햇 서사에 공개적으로 이견을 낸 가장 눈에 띄는 보안 전문가는 Ledger의 최고기술책임자(CTO) Charles Guillemet이다. 그는 진짜 화이트햇이라면 브리지를 먼저 빼낸 뒤 “온체인으로” 연락을 요청하는 일은 하지 않는다고 지적했다. 그는 이번 사건을 공격자가 밸리데이터 키를 탈취해 약 6억 2,500만 달러를 훔친 Ronin 해킹에 비유하고, 해킹 이후 협상으로 이어진 Euler 사례를 선례로 꼽았다. 이후 그는 판단을 다소 누그러뜨리며, 범죄 조직 역시 피해자에게 연락을 시도하는 경우는 드물다며, 이들이 “최근 LLM을 집중적으로 다뤄본” 선의의 인물이고 책임 있는 취약점 공개(responsible disclosure) 관행을 배우지 못했을 가능성도 있다고 인정했다.

한편 체인 자체는 협상 채널을 열었다. 월요일 이른 시각, 자금이 보관된 주소는 페더레이션 지갑에 자금 대부분을 반환하는 것이 가능한지 묻는 새 메시지에 서명했다. 공개 익스플로러 데이터에 따르면 코인은 아직 움직이지 않았다 — 해당 주소는 약 3,998 Bitcoin (BTC)를 보유 중이며, 페더레이션 지갑에는 약 197 BTC가 남아 있다. 이번 사건은 랩드(wrapped) 공급이 순수한 암호학이 아니라 결국 페더레이션 신뢰에 얼마나 의존하는지 드러내면서 비트코인 인접 커뮤니티 전반에 FUD를 불러일으켰다. 이 요청은 메인 체인의 OP_RETURN 출력에 새겨졌는데, 이는 비트코인의 SegWit 업그레이드가 만든 저렴한 블록 공간을 활용한 것이며, 마이닝이 보장하는 모든 BTC 트랜잭션과 동일한 최종성으로 기록된다. 온체인에서 말은 값싸지만, 서명은 그렇지 않다. 해당 주소가 코인을 움직이기 전까지는 ‘윤리적 스트레스 테스트’라는 해석과 ‘정교한 강탈’이라는 해석 모두 여전히 유효하다. 실시간 시세를 추적하는 독자는 Gate에서 현물·선물 가격을 확인할 수 있다.

다음 서명이 3,998 BTC의 운명을 가른다

Liquid Network는 공식 성명을 통해 이번 침해 사고를 정식 인정했고, 행위자들을 “소위 화이트햇”이라 지칭하며 Blockstream이 서명된 메시지로 온체인 접촉을 시도했음을 확인했다. 새로 확인된 트랜잭션 세부 정보가 타임라인의 정밀도를 높였다. 메인 체인 트랜잭션 c103de...e69a19는 약 3,996 BTC를 주소 bc1qgs...c6wt7p로 전송했고 9월 6일 UTC 14:28:56, 블록 965783에서 확정됐다. Liquid 측 대응 트랜잭션 ce4cae...e988f2에는 3,996.01834922 L-BTC의 페그아웃이 기록돼 있다. 성명은 승인 경로의 의미도 강조했다. 유효한 SideSwap 페그아웃 승인 키가 사용됐지만 그 키 자체는 유출되지 않았다는 것 — 즉 원인은 키 보관이 아니라 제어 로직 어딘가에 있다는 뜻이며, Liquid의 자체 문서는 이 승인 키를 정확히 이런 시나리오를 막기 위해 설계된 안전장치로 설명한다.

(07:00 UTC 기준) (기준: UTC 07:00) 서사를 걷어내면 남는 1차 증거는 얇지만 명확하다. OP_RETURN 요청, 움직이지 않는 3,998 Bitcoin (BTC), Elements 소프트웨어 버그를 특정한 Blockstream의 사후 분석, 그리고 이미 실행된 대응 — 브리지 노드 비활성화, 거래소 입출금 중단, 비(非)BTC Liquid 자산 무영향 확인. COINOTAG의 판단은 이렇다. Guillemet의 Ronin 비유가 옳은 스트레스 테스트다. 페더레이션 지갑으로의 대규모 반환 수일 내 이뤄지면 화이트햇 주장이 검증되는 반면, 믹싱 서비스 쪽으로 조각나기 시작하면 3억 2,000만 달러 인출은 올해 최대급 브리지 도난 사건으로 전락한다. 결국 이 질문을 종결할 것은 문장이 아니라 해당 주소의 움직임이다.