Liquid Network, Elements 검증 결함으로 비트코인(BTC) 4,000개 유출 피해

검증 결함으로 가짜 LBTC 4,000개 발행

Blockstream이 운영하는 연합 사이드체인 Liquid Network에서 비트코인(BTC) 약 4,000개가 무단 발행돼 유출됐다. Liquid는 사용자가 Bitcoin (BTC)를 더 빠르고 기밀성 높은 거래 계층으로 옮길 수 있게 하는 사이드체인이다. 네트워크의 공식 사고 공지에 따르면 침해는 9월 6일 15:53 UTC, Liquid 블록 4,050,336에서 발생했다. 공격자는 Liquid가 기반으로 하는 오픈소스 코드베이스 Elements의 검증 프로세스 취약점을 악용해, 담보가 되는 예치 BTC 없이 사이드체인의 페그 비트코인 토큰인 LBTC 약 4,000개를 생성했다. Liquid는 양방향 페그 구조로 운영된다. 페그인으로 자금이 유입되고, LBTC를 소각하면 메인체인 비트코인이 해제되는 방식으로, 인출은 통상 승인된 멤버를 통해 처리된다. 공격자는 페그아웃 승인 키(PAK)를 보유한 연합 멤버 SideSwap을 통해 가짜 LBTC를 네이티브 비트코인으로 전환했다. 검증 오류는 페그아웃이 실행되기 전 트랜잭션 단계에서 나타났고, 그 결과 SideSwap의 노드와 연합의 펑크셔너리 노드는 해당 인출을 정당한 것으로 수용해 약 4,000 BTC가 SideSwap의 화이트리스트 주소를 거쳐 공격자 지갑으로 흘러갔다. 공지는 펑크셔너리 노드가 침해되지 않았고 개인키도 유출되지 않았음을 명시한다. 페그아웃 메커니즘은 설계대로 작동했고, 실패 지점은 상위 검증 단계에 있었다. 기존 방어를 무력화한 독립적 요인의 결합이라는 희귀한 사례다. 준비금 피해는 심각하다. 페그 지갑에는 사고 전 약 4,205 BTC가 있었으나, 유출과 중단 전 처리된 추가 페그아웃 이후 약 197 BTC만 남았다. LBTC 뒷받침의 약 95%가 단일 트랜잭션으로 사라진 셈이다. USDT 표현형 등 네트워크에서 발행된 다른 자산은 이 결함 자체의 영향은 받지 않지만, 네트워크 전면 중단으로 당분간 사용이 불가능한 상태다. 운영사는 노드를 운영하지 않는 일반 사용자는 현재 시점에서 별도의 조치가 필요 없다고 밝혔으며, 포렌식 조사는 계속되고 있다.

페그 지갑으로 BTC 3,400개 반환

복구는 하루 안에 이뤄졌다. Blockstream은 9월 7일 01:09 UTC까지 브리지 노드에 패치를 배포해 공격자가 사용한 경로를 차단했다. 같은 날 오전 09:41:26 UTC, 패치가 적용됐으며 자금 반환이 안전하다는 내용의 온체인 메시지가 메인체인에 기록됐고, 서명은 Blockstream이 공개한 보안 키로 검증된다. 16:09:25 UTC에는 비트코인 메인체인 블록 965950에 포함된 복구 트랜잭션이 Bitcoin (BTC) 3,400개를 연합의 페그 지갑으로 되돌려 보냈다. 유출분의 약 85%를 회수한 것이다. 공격자는 자신을 화이트햇 보안 연구원이라 칭하는 메인체인 메시지를 남기고 취약점 처리 관련 연락을 요청했으며, 약 598.5 BTC, 전체의 약 15%를 보유한 상태로 9월 8일 기준 반환 협의가 진행 중이다. 남은 금액이 합의된 보상인지 확인하는 공개 정보는 없으며, 해당 지갑은 이제 주요 비트코인 고래 순위에 올라 있다. 온체인 산술은 냉정하다. 약 4,200 BTC였던 준비금에서 약 3,996 BTC가 빠져나갔으며, 당시 환율로 약 499억 엔 규모다. LBTC 상환은 토큰을 소각해 메인체인 비트코인을 해제하는 절차를 필요로 하고, 일반 사용자는 이 과정을 통상 승인된 멤버나 사업자를 통해 진행하기에 개인 보유자에게는 즉각적인 조치가 요구되지 않는다. 다음 단계는 정상화다. 팀은 48시간 이내에 패치가 적용된 Elements v23.3.4의 긴급 릴리스를 계획하고 있으며, 이후 펑크셔너리 노드 운영자들이 거래 재개 전에 가짜 페그아웃의 무효화 등 조치를 조율할 예정이다. 9월 8일 기준 네트워크는 여전히 중단 상태다. 운영사 상태 페이지에 사고 진행이 표시됐고, 거래소들은 브리지를 통한 입출금을 중단했으며 스왑 서비스도 페그인·페그아웃을 멈췄다. 전액 담보 여부는 회수 가능한 준비금이 유효 LBTC 잔액과 대사된 후에야 확인될 수 있다.

Wrapped 신뢰, 작업증명이 아니다

잔여 금액을 둘러싼 협상은 계속되고 있다. Liquid는 화요일 X에 올린 사고 보고서에서 Blockstream과 관련 인물들 간의 논의가 나머지 자금 반환을 위해 진행 중이며, 조건이나 일정은 공개되지 않았다고 밝혔다. 미반환 금액 약 598.5 BTC는 약 4,700만 달러로 평가되며, 공격자의 화이트햇 주장에는 회의적인 시각이 나온다. Ledger 최고기술책임자 Charles Guillemet는 X에서 600 Bitcoin (BTC)를 남겨둔 행위는 "화이트햇 해킹이라기보다 갈취에 가깝다"고 썼다. Liquid는 펑크셔너리가 해킹당하지 않았고 개인키도 침해되지 않았다고 재차 강조했으며, 즉각적인 우선순위는 나머지 자금 회수와 최대한 빠르고 안전한 네트워크 정상화라고 밝혔다. 긴급 업데이트 준비와 함께 가짜 인출의 무효화도 계획돼 있다. 시장을 실시간으로 추적하는 독자는 Bitget에서 현물·선물 가격을 실시간으로 확인할 수 있다.

(01:13 UTC 기준) COINOTAG의 판단은 이렇다. 이 사건의 핵심 사실은 논평이 아니라 온체인에 있다. 블록 965950의 복구 트랜잭션, 공격자의 화이트햇 메모, 약 3,996 BTC의 준비금 유출분은 모두 비트코인 메인체인에서 독립적으로 검증 가능하다. 팀의 사후 분석도 원인과 대응을 모두 특정했다. 페그아웃 이전 단계의 Elements 검증 실패가 원인이며, 브리지에 패치가 적용됐고 v23.3.4 릴리스로 마무리된다는 것이다. 이 사건은 L-BTC가 랩드 자산임을 확인시킨다. 메인체인의 작업증명 보안보다 wrapped Bitcoin(WBTC)에 가까운 신뢰 설계다. Bitcoin DeFi 계층으로 BTC를 보내는 이용자나 비트코인 생태계의 사이드체인 실험을 지켜보는 투자자는 브랜드명이 아니라 준비금 증명을 추적해야 한다.