화이트햇 추정 세력 4,000 BTC 인출, Liquid Network 운영 일시 중단

페더레이션 지갑에서 빠져나간 4,000 BTC

비트코인(BTC) 사이드체인 Bitcoin Liquid Network의 운영이 사실상 멈췄다. 자신들을 화이트햇 해커라고 칭한 세력이 페더레이션 지갑에서 약 4,000 BTC, 시가로 약 3억 2,000만 달러 규모를 인출한 것이다. Liquid는 X에 올린 공지에서 신규 거래를 차단하기 위해 브리지 노드를 비활성화했으며, 우리의 주요 암호화폐 거래소 목록에 오는 다수 플랫폼을 포함한 거래소들에 L-BTC 입출금 중단을 요청했다고 밝혔다. 이번에 빠져나간 물량은 인출 전 페더레이션 준비금에 있던 약 4,200 BTC의 약 95%에 해당한다. L-BTC는 비트코인을 사이드체인에 예치한 뒤 1:1로 발행하는 wrapped Bitcoin 형태의 자산이다. 다만 Bitcoin 네트워크 자체는 영향을 받지 않았다. 결함은 Liquid 인프라에 있는 것이지 메인넷이 아니기 때문에, 기반이 되는 proof-of-work 체인은 평소처럼 블록을 생성하고 있다.

Blockstream과 이어진 온체인 협상

이 그룹은 일요일부터 비트코인 트랜잭션에 OP_RETURN 메시지와 PGP 암호문을 삽입하는 방식으로 협상 채널을 열었다. Galaxy Research 수장 Alex Thorn이 재구성한 타임라인에 따르면, Liquid의 기술 제공사 Blockstream이 1,000사토시와 함께 보안팀에 연락하라는 쪽지를 보내며 먼저 접촉에 나섰다. 그 전에 해당 세력은 약 3억 2,000만 달러 규모의 코인을 하나의 비트코인 주소로 모으고, 그 주소에 “we are whitehats. contact us on chain.”이라는 메시지를 남겼다. 이들은 대부분의 자금을 페더레이션 주소로 반환하는 방안이 가능한지 물으면서도, 버그가 네트워크 전반에 수정될 때까지 코인은 현위치에 유지돼야 한다고 주장했다. 다만 “대부분”이 어느 정도인지는 정의되지 않았고, 반환 자체가 보장된 것도 없다. 현재 거의 전량의 비트코인이 여전히 이들의 통제 하에 있다.

SideSwap의 키 유출 부인

인출 경로도 점차 드러나고 있다. SideSwap은 해당 트랜잭션이 고객 주문 형태로 자사의 peg-out 서비스를 거쳤으며, Peg-out Authorization Key(PAK)를 사용했다고 밝혔다. 그러나 키 자체는 유출되지 않았다는 것이 회사 측 설명이다. 대신 문제의 L-BTC는 Liquid의 기반 오픈소스 소프트웨어인 Elements의 버그에서 비롯된 것으로 확인됐다. Liquid는 아직까 이들을 “자칭” 화이트햇 해커로만 지칭하며 의도 여부에 대한 판단을 유보하고 있다. L-BTC 외에 네트워크에서 발행된 USDT, DePix, 실물 연동 토큰 등 다른 자산은 영향받지 않은 것으로 전해진다. wrapped 비트코인 설계가 위탁 리스크를 어떻게 한곳에 집중시키는지 지켜보는 이들에게 이번 사건은 살아있는 사례 연구이며, 우리는 앞서 4,000 BTC 화이트햇 peg-out 보도에서 브리지 메커니즘을 상세히 짚은 바 있다.

비트코인 블록에 기록된 타임라인

온체인 데이터를 보면 실제 인출은 약 3,996 BTC 규모의 peg-out이었고, 이에 대응하는 비트코인 트랜잭션은 9월 6일 블록 965,783에서 확정됐다. 블록 익스플로러에서 직접 확인할 수 있다. 별도의 트랜잭션은 화이트햇 주장을 처음으로 실어 전달했다. Blockstream은 블록 965,822에서 1,000사토시와 OP_RETURN 경고를 보낸 뒤, 공개된 PGP 키로 검증 가능한 분리 서명과 함께 암호화된 자료를 전송했다. 상대방은 블록 965,869에서 페더레이션 peg 지갑으로 1,000사토시를 보내며 자금 대부분의 반환 가능성을 물었고, “버그부터 수정하라”며 모든 노드의 업데이트를 요구한 것은 그로부터 6블록 뒤였다. 이 교환은 코인을 쥔 측이 Blockstream에 응답할 수 있음을 보여줄 뿐, 동기를 증명하지는 않는다.

화이트햇 주장을 놓고 갈라진 업계 시각

보안 전문가들 사이에서도 평가가 엇갈린다. Ledger의 최고기술책임자 Charles Guillemet은 처음에 일반적인 화이트햇이 브리지에서 수억 달러를 인출하는 일은 드물다며 Ronin, Euler 등 과거 해킹 사례와 비교한 바 있다. 그러나 이 그룹이 직접 접촉을 시도한 이후 입장을 완화해, 범죄 조직이 피해자에게 이토록 정성 들여 연락하는 경우는 드물다며 “희망이 있다”고 썼다. 동시에 그는 AI를 활용한 연구가 정식 공개 절차 없이 취약점을 발견했을 가능성도 언급했다. Liquid는 아직 패치 버전을 명시하지 않았고, 기술적 포스트모텀도 공개하지 않았으며 재개 시점도 정하지 않았다. 최종 확인 시점까지 확정된 반환 트랜잭션은 나타나지 않았다.

여전히 결여된 공식 포스트모텀

우리의 판단에 따르면 이번 사건을 일반 해킹과 구분하는 것은 검증 가능한 층위다. 인출액 약 3,996 BTC는 온체인에서 독립적으로 확인되며, 팀 자신의 메시지가 근본 원인을 탈취된 인가 키가 아닌 Elements 소프트웨어로 규정한다. 복구 경로 역시 명확하다. 재시작 전에 모든 페더레이션 노드에 패치가 배포되는 것이다. 증명되지 않은 것은 의도다. 공식 포스트모텀이 peg-out이 정상 통제를 어떻게 우회했는지, 그리고 이들이 준비금의 얼마를 보유할 작정인지 밝히기 전까지는 “화이트햇” 프레임이 논쟁 상태로 남는다. Bitcoin DeFi에게 이는 익숙한 교훈의 반복이다. 위탁이 집중된 브리지는 올해 가장 취약한 고리로, 2026년 프로토콜 손실은 8월까지 이미 13억 달러로 추산된다.