Liquid Network서 약 4,000BTC 유출, 공격자 "패치 완료되면 대부분 반환"

자산을 보이지 않는 시스템에 맡길 때 가장 두려운 건 가격 변동이 아니라, 시스템이 갑자기 자신도 오류를 낼 수 있음을 증명해버리는 순간이다. 비트코인 사이드체인 Liquid Network에서 주말 사이 약 4,000BTC가 연합 지갑에서 빠져나간 사건이 발생했다. 당시 시세로 약 3억 2천만 달러 규모였다. 공격자는 이후 소프트웨어 취약점이 완전히 패치되면 대부분의 자금을 돌려줄 의향이 있다고 밝혔다.

이 약속은 고객센터 이메일이 아니라 온체인에 기록된 대화다. The Block 보도에 따르면, 스스로를 화이트해커라 주장하는 공격자는 비트코인 트랜잭션의 OP_RETURN 필드와 PGP 암호화 텍스트를 통해 Blockstream과 소통했으며, 블록 965,875에 요구 사항을 남겼다. 먼저 취약점을 수정하고 모든 노드의 업데이트가 완료됐음을 확인한 뒤 자금 반환을 논의하자는 내용이었다.

이후 Blockstream은 PGP 서명이 담긴 온체인 메시지로 답변하며, 브리지 노드 패치가 완료돼 자금을 돌려받을 수 있다고 밝혔다. 해당 서명은 Blockstream 공식 웹사이트에 공개된 보안 키로 검증 가능하다. 다만 보도 시점 기준으로 약 4,000BTC는 여전히 공격자 지갑에 남아 있다. "반환하겠다"는 아직 이행되지 않은 약속일 뿐, 완료된 결과가 아니다.

사건의 기술적 경로도 "키 탈취"보다 복잡하다. SideSwap에 따르면 해당 거래는 먼저 4,000 L-BTC가 자사 peg-out 서비스로 유입됐고, 서비스는 유효한 승인을 통해 토큰을 소각했으며, 이후 Liquid Federation이 상대방의 비트코인 주소로 3,996BTC를 지급했다. SideSwap은 자사 시스템과 peg-out 승인 키는 뚫리지 않았다고 밝혔으며, Blockstream은 이후 문제의 원인이 Elements 소프트웨어의 취약점이었다고 확인했다.

Liquid는 네트워크 활동을 중단했고 브리지 노드도 비활성화됐으며, 거래소에는 LBTC 입출금 중단이 요청됐다. SideSwap 역시 스왑, peg-in, peg-out 모두 네트워크가 정상화된 후에 재개하겠다고 밝혔다. 사용자 입장에서는 이번 사태의 영향이 공격자 지갑에 그치지 않고 정상적인 자금 입출금 가능 여부에까지 미친다는 의미다.

이번 사건에서 가장 찜찜한 부분은 기술적 패치와 자금 반환이 하나의 협상 테이블에 묶여 있다는 점이다. 노드 업데이트 완료는 검증 가능한 기술적 진척이지만, 공격자가 실제로 대부분의 BTC를 돌려줄지는 별개의 문제다. 온체인 송금이 실제로 이뤄지기 전까지 모든 약속은 미확인 정보로 취급해야 한다.