Liquid Network, 3억 2,000만 달러 해킹 후 Bitcoin(BTC) 블록 생성 재개

거래 없이 블록 생성만 복원

사이드체인 Liquid Network가 연합(federation) 지갑에서 약 4,000 Bitcoin(BTC) — 약 3억 2,000만 달러 규모 — 이 유출되는 사태 4일 만에 블록 생성을 재개했다. 올해 Bitcoin 생태계 인프라에서 발생한 보안 사고 중 가장 심각한 규모다. 팀은 X의 공식 발표에서 체인이 완전히 안정화됐는지 확인하기 위해 엔지니어들이 모니터링하는 동안, 예방 차원에서 “거래 없이” 블록이 생성되고 있다고 밝혔다. 펑셔너리(functionary) 및 브리지 노드용 업데이트는 이미 배포됐으며, 펑셔너리 노드는 설계된 대로 블록 서명과 검증을 다시 수행하고 있다.

PAK 승인 페그아웃을 포함한 페그 운영은 네트워크가 최종 복구 단계 — BTC/L-BTC 준비금 재건 — 를 진행하는 동안 여전히 동결 상태다. 운영이 중단된 기간 동안 체인에서 발행된 자산, 특히 스테이블코인 보유자는 자산을 이동하거나 통제할 수 없었다.

사건은 9월 6일 시작됐다. 자신들을 화이트햇 해커로 칭한 행위자들은 Liquid의 기반이자 Bitcoin 네트워크를 기본 레이어 너머로 확장하는 오픈소스 소프트웨어인 Elements의 영수증 검증 캐시 버그를 이용해, 지갑 잔액 약 4,200 BTC 가운데 거의 95%에 해당하는 약 4,000 BTC를 인출했다. Blockstream이 영향받은 브리지 노드의 패치를 확인하자 이들은 당시 가치 약 2억 7,000만 달러의 3,400 BTC를 반환했다. 9월 7일 기준 익스플로러 데이터상 약 598 BTC, 약 4,600만 달러가 아직 회수되지 않은 상태다. 복구 작업 과정에서 긴급 Elements 배포본 v23.3.4도 나왔는데, 이번 업데이트는 레인지 영수증(range proof)에 쓰이는 캐시 키를 강화했다. 레인지 영수증은 사이드체인이 기밀 거래 금액을 노출하지 않고 검증할 수 있게 하는 암호학적 커밋먼트다.

해커 측의 10% 버그 바운티 요구

Blockstream 최고경영자 Adam Back은 사이드체인에서 BTC를 나타내는 자산이자 사실상 래핑된 Bitcoin 형태인 L-BTC 보유자들에게, 페그가 전액 보전될 것이라고 재차 안심시켰다. Back은 상환 재개 시 사용자가 기본 체인의 동일 수량 BTC로 L-BTC를 교환할 수 있다고 공개 확인했지만, 약 600 BTC에 이르는 부족분을 어떻게 충당할지, 서비스가 언제 복귀할지에 대한 설명은 피했다. 그가 보유자에게 남긴 조언은 직설적이었다. 팀이 페그인·페그아웃 재개에 필요한 시스템 업데이트를 마칠 때까지, 할인된 가격으로 장외거래에서 패닉 매도하지 말라는 것이다.

잔여 물량을 쥐고 있는 그룹은 조건을 내걸었다. 스스로를 화이트햇 고래라 칭한 이는 10%의 버그 바운티를 요구하며, 미지급 시 잔여 물량 — 약 600 BTC — 을 보류하겠다고 위협했다. 미회수 코인이 협상 카드로 전환된 것이다. 9월 9일 온체인 메시지로 공개된 성명에서 이 행위자는 Blockstream의 보안 예산을 공격했다. 연합이 보호하는 자산 약 50억 달러에 비해 회사가 배정한 보안 예산이 불과 150만 달러에 불과하며, 과실이 분명하다고 주장했다. 공개 성명 대신 온체인 메시지로 소통 창구를 유지해 온 Blockstream은 미회수 자금 회수 작업이 활발히 진행 중이라는 입장이다. 2018년 출시된 이 사이드체인은 펑셔너리 연합이 블록에 서명하고 페그 이동을 승인하는 구조에 의존하는데, 이 설계 자체가 지금 뜨거운 검증 대상이 됐다.

진짜 시험대는 페그아웃 재개

COINOTAG의 판단으로는 블록 생성 재개는 필요조건일 뿐 충분조건이 아니다. 해커의 9월 9일 온체인 메시지 기록은 누구나 검증 가능하며, 준비금이 아직 채워지지 않았다는 사실 역시 마찬가지다. 여기서 무게를 지는 약속은 L-BTC가 1:1로 상환된다는 Blockstream의 공언인데, 이는 최근 Trezor 피싱 침해 사건부터 브리지 사고까지 이어진 커스터디 스트레스를 떠올리게 하는 대목이다. 트레이더가 확인해야 할 것은 두 가지다. PAK 승인 페그아웃의 실제 가동 여부, 그리고 BTC/L-BTC 준비금이 온전히 복원됐다는 명시적 발표다. 두 가지가 모두 확인되기 전까지 L-BTC는 증명이 아닌 연합에 대한 신뢰로 거래되며, 598 BTC의 공백은 바운티 분쟁과 함께 전면 복구를 가르는 변수로 남는다.