화이트햇 추정 세력 4,000 BTC 인출, Liquid Network 운영 일시 중단

페더레이션 지갑에서 4,000 BTC 이탈

비트코인(BTC) 사이드체인인 Liquid Network가 자신들을 화이트햇 해커라고 밝힌 세력에 의해 약 4,000 Bitcoin (BTC), 달러 기준 약 3억 2,000만 달러어치가 페더레이션 지갑에서 인출되면서 운영을 중단했다. Liquid는 X에 올린 메시지에서 브리지 노드를 비활성화해 신규 거래를 차단했으며, 최고 암호화폐 거래소 순위에 오는 대형 거래소를 포함한 거래 플랫폼들에 L-BTC 입출금을 중단하라고 통보했다고 확인했다. 인출된 금액은 사전에 페더레이션 준비금으로 보유하던 약 4,200 BTC의 약 95%에 해당한다. L-BTC는 사이드체인에 잠긴 코인에 대해 1:1로 발행되는 래핑된 비트코인 상품이다. 다만 비트코인 네트워크 자체는 영향받지 않았으며, 메인 체인은 작업증명(proof-of-work) 방식으로 정상적으로 블록을 생성하고 있다. 문제는 메인넷이 아니라 Liquid의 인프라에 있다.

Blockstream과의 온체인 대화

일요일 이후 해당 그룹은 OP_RETURN 메시지와 비트코인 트랜잭션에 삽입된 PGP 암호문을 통해 협상 채널을 열었다. Galaxy Research 책임자 Alex Thorn이 공개한 재구성 자료에 따르면, Liquid의 기술 제공사인 Blockstream이 1,000 사토시와 함께 보안팀 연락을 안내하는 쪽지를 보내며 먼저 접촉을 시작했다. 그 이전에 약 3억 2,000만 달러어치의 코인은 “we are whitehats. contact us on chain.”이라는 메시지가 태그된 단일 비트코인 주소로 통합돼 있었다. 해당 세력은 자금 대부분을 페더레이션 주소로 반환하는 방안이 가능한지 물었고, 버그가 네트워크 전체에서 수정될 때까지 코인은 현 위치에 머물러야 한다고 주장했다. '대부분'이 정확히 얼마인지는 정의되지 않았고, 반환을 보장하는 것도 없으며 현재 거의 모든 비트코인이 이들의 통제 하에 있다.

SideSwap의 키 유출 부인

인출 경로도 점점 명확해지고 있다. SideSwap은 해당 트랜잭션이 고객 주문 형태로 자사의 페그아웃 서비스를 거쳤으며, 이때 자사의 Peg-out Authorization Key(PAK)가 사용됐다고 밝히면서도 키 자체는 침해되지 않았다고 해명했다. 대신 해당 L-BTC는 Liquid를 구동하는 오픈소스 소프트웨어인 Elements의 버그에서 비롯된 것이다. Liquid는 지금까지 관련자들을 “추정되는” 화이트햇 해커라고만 지칭하며 의도 문제는 열어뒀다. L-BTC 외에 네트워크에서 발행된 자산, 즉 USDT, DePix, 실물 연동 토큰 등은 영향받지 않은 것으로 전해졌다. 래핑 비트코인 설계가 커스터디 리스크를 어떻게 집중시키는지 추적하는 이들에게 이번 사건은 살아있는 사례연구이며, 우리의 기존 4,000 BTC 화이트햇 페그아웃 보도가 브리지 메커니즘을 상세히 다룬다.

비트코인 블록에 기록된 타임라인

온체인 데이터에 따르면 인출 자체는 약 3,996 Bitcoin (BTC) 규모의 페그아웃이며, 대응하는 비트코인 트랜잭션은 9월 6일 블록 965,783에서 확정됐고 블록 익스플로러에서 확인할 수 있다. 별도의 트랜잭션은 화이트햇 주장의 첫 선언을 실어 날랐다. Blockstream은 블록 965,822에서 1,000 사토시와 OP_RETURN 알림을 전송한 뒤, 공개된 PGP 키로 검증 가능한 분리 서명과 함께 암호화된 자료를 보냈다. 해당 세력은 블록 965,869에서 페더레이션의 페그 지갑으로 1,000 사토시를 보내며 자금 대부분의 반환을 타진했고, “버그부터 수정하라”며 전 노드 업데이트를 요구한 것은 6블록 후였다. 이 주고받기는 코인을 보유한 자가 Blockstream에 응답할 수 있음을 보여줄 뿐, 동기를 증명하지는 않는다.

화이트햇 주장을 둘러싼 업계 이견

보안 전문가들은 여전히 의견이 갈린다. Ledger 최고기술책임자(CTO) Charles Guillemet은 처음에 통상적인 화이트햇이 브리지에서 수억 달러를 인출하는 일은 드물다며 Ronin, Euler 등 과거 해킹 사례와 비교한 입장을 내놓았다. 이후 그룹이 접촉을 시도하자 태도를 완화해, 범죄 조직이 피해자에게 이렇게까지 다가가는 경우는 드물다며 “희망이 있다”고 적었다. 동시에 AI를 활용한 리서치가 공식 취약점 공개 절차 없이 결함을 발견했을 가능성도 제기했다. Liquid는 아직 패치 버전을 명시하거나 기술 포스트모템을 공개하거나 재개 시점을 정하지 않았고, 최신 확인 시점까지 확정된 반환 트랜잭션은 나타나지 않았다.

포스트모템은 여전히 부재

인출 자체를 둘러싼 추가 정렬 정보도 나왔다. SideSwap에 따르면 주문은 14:05 UTC에 접수됐고, 해당 L-BTC는 유효한 페그아웃 승인에 근거해 Liquid에서 소각됐으며, 23분 후 Liquid Federation이 3,996 BTC를 비트코인 주소로 지급했다. SideSwap의 키를 포함 그 어떤 키도 유출되지 않았으며, 서비스 입장에서는 버그로 발행된 코인을 정상 L-BTC와 구분할 방법이 없었다. 온체인 대화에서 Blockstream의 감사 답변, 같은 블록에서 확정됐다 — 는 반환 주소 문제를 다뤘지만 버그 우선 수정이라는 해커 측 조건은 회피했고, 그룹 역시 결함의 암호화된 기술 정보를 회사에 전송했다. 월요일 오전 기준 코인은 수취 주소에서 이동하지 않았다. 시장을 실시간으로 추적하는 독자는 Bybit에서 현물·선물 가격을 실시간으로 확인할 수 있다.

(10:58 UTC 기준) 우리의 판단으로는, 이번 사건을 일반 해킹과 구분하는 것은 검증 가능한 계층이다. 인출된 약 3,996 Bitcoin (BTC)는 온체인에서 독립적으로 확인 가능하며, 팀 스스로의 메시지도 근본 원인을 탈취된 인증 키가 아닌 Elements 소프트웨어로 지목한다. 복구 경로 역시 명확하다. 재시작 전에 모든 페더레이션 노드에 패치를 배포하는 것이다. 아직 증명되지 않은 것은 의도다. 공식 포스트모템이 페그아웃이 정상 통제를 어떻게 우회했는지, 이들이 준비금 중 얼마를 보유할 의사인지 밝히기 전까지는 '화이트햇' 프레임은 논쟁 상태로 남는다. Bitcoin DeFi에게 이번 사건은 익숙한 교훈을 반복한다. 커스터디가 집중된 브리지가 올해 가장 취약한 고리이며, 2026년 프로토콜 손실은 8월까지 이미 13억 달러로 추산된다.