리퀴드 네트워크서 Elements 버그 악용해 디지털 자산 4,000개 페그아웃 피해

리퀴드에서 벌어진 위조 발행

9월 초 공격자들은 리퀴드 네트워크에서 담보 없는 L-BTC 약 4,000개를 위조해 발행한 뒤 이를 1대 1로 실제 비트코인과 교환해 빼냈다. 당시 기준 피해 규모는 3억 2,000만 달러에 육박한다. Blockstream이 구축한 비트코인 사이드체인인 리퀴드는 비트코인 사이드체인용 오픈소스 플랫폼인 Elements 위에서 운영되는데, 이 코드에 있던 인플레이션 버그가 침입자들에게 래핑드 비트코인 토큰 약 4,000개를 허위로 만들어 낼 수 있는 길을 열었고, 토큰은 탈출 메커니즘을 거쳐 진짜 메인체인 코인으로 바뀌었다. 페더레이션 키는 침해되지 않았다. 결함은 발행 코드 자체에 있었다. 이 구분이 중요하다. 코인이 움직인 이유는 누군가의 키가 도난당한 게 아니라 체인이 위조된 발행을 그대로 수용했기 때문이다. 이후 전개는 공개된 장소, 곧 체인 자체에서 이뤄졌다. 자칭 화이트햇 행위자들은 트랜잭션에 기록되는 OP_RETURN 메시지로 협상을 진행했다. 해당 출력은 사용 불가능하게 표시돼 대화 기록은 수정되거나 삭제될 수 없다. 그들은 페그아웃 금액 가운데 3,400 BTC를 반환하고 약 600 BTC를 보유했다. 위조 발행과 탈출 과정 모두 리퀴드의 블록 기록에서 그대로 확인된다. Samson Mow는 이번 사건을 다른 비트코인 인접 소프트웨어를 먼저 덮친 뒤 리퀴드로 넘어온 “AI 지원 공격의 눈사태”의 일부로 평했다. 이 사건은 올해 두 번째로 큰 단일 피해 기록이며, 3주 뒤 있었던 Bitget 거래소 탈취 사건이 유일하게 앞선다. 이 침해 사건은 더 넓은 2026년의 피해 대장 안에도 자리한다. 연구자 Stacy Muur의 집계에 따르면 올해 5만 달러를 넘는 피해를 입은 해킹당한 프로토콜은 230개에 이르며, 동결 및 반환 후 순손실은 약 23억 5,000만 달러다. 동결되거나 반환된 자금은 총 피해에서 차감되기 때문에 이는 순수한 숫자다. 9월 한 달 기록만 약 7억 6,800만 달러에 달하며, 순수 자기보관 하드웨어 지갑 피해보다는 중앙화 거래소와 DeFi 손실이 피해의 대부분을 차지했다. 그녀는 목록과 함께 “암호화폐 보안은 완전히 망가졌다”고 적었다.

Bitget과 DeFi에 집중된 피해

올해 최대 단일 피해는 9월 24일 발생했다. 이날 Bitget의 핫월렛과 웜월렛 인프라에서 약 3억 8,750만 달러가 유출됐다. Chainalysis, Elliptic, TRM Labs 등 포렌식 업체들은 이 사건을 북한에 연결했다. 기존의 북한 관련 인프라와 일치하는 VPN 사용 패턴, 그리고 2025년 Bybit 탈취 사건을 포함해 라자루스 그룹과 TraderTraitor에 연결된 지갑과의 온체인 겹침을 근거로 들었다. 공격자는 제3자 보안 제품을 악용해 가짜 출금 명령을 삽입했으며 개인 키 자체에는 손대지 않았다. DeFi 플랫폼에서도 고액 피해가 같은 방식으로 집중됐다. Drift Protocol은 4월 거버넌스와 멀티시그 통제가 수개월간의 소셜 엔지니어링 끝에 무너지면서 약 2억 8,500만 달러에서 2억 9,600만 달러를 잃었고, 프로젝트가 의뢰한 조사는 이 작전의 배후를 북한 행위자로 지목했다. KelpDAO의 LayerZero 기반 rsETH 브리지 프로토콜은 단일 검증자 설계가 무너진 뒤 담보 없는 토큰 약 2억 9,200만 달러 규모로 탈취당했다. LayerZero는 예비 지표가 북한 라자루스 그룹, 그중에서도 TraderTraitor를 가리킨다고 밝혔다. Cronos의 Tectonic은 8월 말 조작된 담보를 담보로 약 1억 2,040만 달러가 인출되는 피해를 입었다. 검증자들이 체인을 되돌려 대부분을 회수했으나 이미 네트워크 밖으로 브리지된 수백만 달러는 돌아오지 않았다. 하드웨어 인접 사건들은 큰 관심을 받았지만 금액은 상대적으로 작았다. Galaxy Research는 Coinkite 난수생성기 취약점 피해를 1,596 BTC에서 1,789 BTC, 즉 1억 달러에서 1억 3,000만 달러 수준으로 추산했고, 상한 추정치는 2,055 BTC에 이른다. Ledger 관련 피해는 8,600만 달러에서 1억 200만 달러로, 동남아시아 공인 판매점 CryptoBilis를 통해 판매된 기기에서 비롯됐다. 이곳에서는 승인 없이 설치된 하드웨어 칩이 기기 초기 설정 과정에서 복구 구문을 기록했다. 회사는 확인된 사례가 해당 판매점 공급망으로 국한된다고 밝혔으나, 문제 기기가 독일 시장까지 흘러들었다는 미확인 보도도 있다. 올해 공격 도구의 환경도 달라졌다. 2월 공개된 GPT-5.3-Codex와 Claude Opus 4.6 등 모델이 낮은 비용으로 스마트 컨트랙트 버그 벤치마크를 높은 통과율로 통과하면서 코드 결함 악용이 가속화됐고, Muur는 AI가 버그를 찾고 악용하는 일을 한층 쉽게 만들고 있다며 지금을 심각한 사이버 보안 군비 경쟁의 시점이라고 경고했다.

온체인 기록과 남은 600 BTC

온체인 기록은 결과를 누구나 검증할 수 있게 해준다. OP_RETURN 협상 스레드, 반환된 3,400 BTC, 보유된 600 BTC는 모두 트랜잭션 기록에서 추적 가능하며, 팀의 사후 분석은 침해된 키가 아니라 Elements 인플레이션 버그를 근본 원인으로 지목했다. 네트워크는 정상 운영으로 돌아왔고 손실은 투자자들로부터 조달된 것으로 추정된다. COINOTAG의 판단은 다음과 같다. 리퀴드는 성장 중인 비트코인 디파이 스택 안에 놓여 있으며, 이번 코드 결함은 그 계층이 EVM 브리지와 동일한 악용 위험을 지고 있음을 보여준다. 올해 피해는 비트코인의 작업증명 기반 계층이 아니라 거래소 인프라와 프로토콜 설계에 집중된다. 침해 지점은 운영 관점에서 닫혔고, 반환되지 않은 600 BTC가 그 잔재다.