Liquid 네트워크, 3억 2,000만 달러 해킹 두 달 만에 비트코인(BTC) 담보 전량 복원

Liquid 페더레이션, 준비금 전량 복구 발표

준비금 대부분이 유출되는 해킹 사건에서 두 달 만에, Liquid 페더레이션이 월요일 사이드체인 Liquid Network를 떠받치는 비트코인(BTC) 담보가 온전히 복구됐다고 확인했다. 페더레이션은 공식 발표에서 Liquid에서 발행되는 래핑 비트코인 토큰 LBTC 전체에 대해 1:1 담보가 재확립됐다고 밝혔다. 참여 제공사를 통한 Bitcoin (BTC)와 LBTC 교환은 이미 몇 주 전부터 패리티로 재개된 상태다. 2018년 Blockstream이 출시한 Liquid는 거래소와 암호화폐 기업들로 구성된 페더레이션이 운영하며, 이용자는 BTC를 잠그고 동일 수량의 LBTC를 받는다. 이번 복구가 더 넓은 Bitcoin 생태계에서 의미 있는 이유는, LBTC가 기반 체인보다 빠른 속도와 프라이버시가 필요한 전송의 결제 자산으로 쓰이기 때문이다. 수리의 대상은 비트코인 가격이 아니라 커스터디다. 유통 중인 모든 LBTC가 페더레이션 관리 하에 잠긴 비트코인에 담보돼 있다는 약속을 되살린 것이다. Liquid의 기반 기술을 만든 Blockstream의 최고경영자 Adam Back은 부채가 전액 충당됐고 준비금이 100%, 적자가 0.00 BTC라는 대시보드 화면을 공유했다. 블록 익스플로러 데이터상 유통량은 4,270.54 LBTC로 약 3억 2,700만 달러 규모이며, 이제 동일 수량의 비트코인이 이를 뒷받침한다. Liquid 노드를 운영하는 누구나 준비금을 직접 검증할 수 있다. Blockstream의 전 최고보안책임자 Samson Mow는 확정 발표 직전 X에 글을 올려 남은 부족분을 메우기 위해 250 BTC가 추가됐다고 적었다. 이 갭은 약 4,600만 달러(600 BTC 내외) 규모로 거의 두 달간 유지돼 왔다. 페더레이션은 대체 자금의 출처가 어디인지, 그리고 9월 사건의 사후 분석 보고서가 언제 공개될지는 밝히지 않았다. 다만 Liquid의 거버넌스 구조를 현대화해 책임과 감독을 명확히 하고 추가적인 기술·운영 안전장치를 도입하는 중이며, 세부 내용은 앞으로 몇 주 안에 공개하겠다고 말했다.

9월 해킹과 사라진 598 BTC

갭의 기원은 9월 6일이다. 공격자는 Blockstream이 개발하고 Liquid 페더레이션이 운영하는 소프트웨어 Elements의 결함을 이용해, 비트코인 담보 없이 약 4,000 LBTC를 발행했다. 시스템이 위조 교환증서를 정품으로 인정했기 때문에 공격자는 이를 실제 코인으로 상환했고, 페더레이션 지갑에서 약 4,000 Bitcoin (BTC)(당시 약 3억 2,000만 달러)를 인출했다. 공격자는 비트코인 트랜잭션에 삽입한 PGP 서명 메시지로 Blockstream과 소통했다. 하루 뒤 크로스체인 브리지의 노드가 패치되면서 3,400 BTC(약 2억 6,900만 달러)가 돌아왔다. 공격자는 약 598 BTC를 취약점 발견에 대한 10% 바운티라는 명목으로 남겨 두었고, 이 코인들은 이후 움직이지 않았다. Blockstream은 몸값 지불을 거부하며, 도난 자산을 쥐고 있는 것은 책임 있는 취약점 공개가 아니라 범죄라고 밝혔다. Ledger의 최고기술책임자 Charles Guillemet은 이런 합의 구도를 화이트햇 해킹보다는 갈취에 가깝다고 평가했다. 네트워크의 페더레이션은 Hodl, Specter, CoinShares, Komainu, Xapo, Bull Bitcoin 등 81개 회원으로 구성되며, 잠긴 비트코인의 이동에는 15개 서명 가운데 11개가 필요하다. 위기 대응 방식에 대한 이용자 비판도 나왔다. 9월 말 캐나다의 Bull Bitcoin은 자사 플랫폼을 통한 LBTC 상환이 불가능하다고 알렸고, 창업자 Francis Pouliot은 복원 소식에 한마디로 “1:1”이라고 답했다. Back은 X에서 재발을 막을 장치를 묻는 질문에 세 겹으로 강화된 방어선을 꼽았다. 페그아웃 승인 키를 갱신해 콜드 하드웨어 지갑으로 옮긴 점, 증명 검증 캐시를 끄고 노드 버그를 수정한 점, 그리고 합의 규칙을 실패 시 차단(fail closed) 방식으로 조정한 점이다. 그는 이후 여러 건의 제3자 감사가 완료됐다고 덧붙이며, 개발자들에게 인공지능이 제안한 수정안을 맹신하지 말고 의심하라고 경고했다.

복원 이후에 남은 숙제

복원으로 Liquid 이용자들 위에 걸려 있던 최대의 불확실성은 사라졌지만, 두 가지 질문은 열려 있다. 598 Bitcoin (BTC) 부족분이 어떻게 조달됐는지, 그리고 예고된 사후 분석 보고서가 언제 나오는지다. 이번 해킹은 네트워크의 리스크 모델도 다시 쓰게 만든다. 15중 11 다중서명은 지켰고, 무너진 것은 Elements의 코드 결함이 위조 교환증서를 정품으로 통과시킨 부분이다. 이는 키 탈취와는 다른 위협이다. 구분이 중요한 이유는 더 넓은 Bitcoin DeFi와 사이드체인 생태계에서 페그 자산의 안전성이 준비금을 지키는 서명만큼이나 발행·상환 코드에 좌우되기 때문이다. 페더레이션이 거버넌스 개편안을 공개하기 전까지, LBTC 보유자들은 100%를 가리키는 대시보드 한 장을 근거로 같은 81개 회원 집단에 신뢰를 계속 맡기는 셈이다.