가장 구체적으로 확인된 버전
리퀴드 네트워크(Liquid Network)가 일요일 자사 비트코인 페더레이션 준비금을 거의 전부 빼간 행위자들로부터 3,400 BTC를 회수했습니다. 이는 비트코인 트랜잭션을 통해 진행된 협상 끝에, 탈취된 자금의 약 **85%**를 돌려받은 것입니다.
3,400 BTC 반환은 **9월 7일 16시 09분(UTC)**에 확인됐습니다. 약 598.5 BTC는 스스로를 화이트햇이라 칭하는 이들에게 남아 있으며, 현재 비트코인 가격 기준으로 약 4,750만 달러 상당입니다.
이 보도는 앞서 다룬 여러 리퀴드 관련 기사들 중 가장 구체적인 시각·수치·메커니즘을 제시하고 있어, 이 사안을 이해하는 데 있어 가장 유용한 참고점이 됩니다.
사고의 발단: 4,200 BTC에서 200 BTC로
행위자들은 9월 6일, 담보 없는(unbacked) L-BTC가 사이드스왑(SideSwap)의 인가된 페그아웃(peg-out) 경로에 진입하면서 거의 4,000 BTC를 인출했습니다. 이로 인해 리퀴드의 페더레이션 준비금은 4,200 BTC 이상에서 약 200 BTC로 급감했습니다.
여기서 ‘담보 없는 L-BTC’라는 표현이 사고의 본질을 정확히 짚어줍니다. 앞서 다룬 다른 버전의 보도에서는 이 사고를 “엘리먼츠(Elements) 소프트웨어 버그”로 설명했는데, 이번 보도는 그 결과를 더 구체적으로 표현합니다. 정상적인 상황이라면 유통되는 모든 L-BTC는 페더레이션이 보유한 실제 비트코인으로 1:1 뒷받침돼야 합니다. 그런데 버그로 인해 실제 담보 없이 L-BTC가 생성되거나, 정당한 절차 없이 페그아웃 경로를 통과하면서, 결과적으로 담보 비트코인이 부당하게 빠져나간 것입니다.
이 최초 3억 2,000만 달러 규모의 인출은 리퀴드가 브릿지 노드를 비활성화하고, 거래소들이 L-BTC 입출금을 중단하도록 만들었습니다. 그 사이 블록스트림(Blockstream)과 페더레이션 구성원들은 엘리먼츠 관련 결함을 조사했습니다.
협상은 전적으로 온체인에서 진행됐다
이후 협상은 완전히 온체인에서 이뤄졌습니다. 행위자들은 비트코인의 “대부분”을 반환하겠다고 제안했지만, 먼저 취약점이 수리돼야 한다는 조건을 걸었습니다. 그들은 영향받은 모든 노드가 패치를 받기 전까지는 체인이 계속 노출된 상태로 남아 있다고 경고했습니다.
이 협상 방식 자체가 흥미로운 기술적 사실을 보여줍니다. 비트코인 및 비트코인 기반 사이드체인에서는 트랜잭션에 임의의 데이터(메시지)를 삽입할 수 있는 기능을 활용해, 당사자의 신원을 공개하지 않으면서도 검증 가능한 방식으로 소통할 수 있습니다. 이는 전통적인 협상에서 필요한 이메일이나 전화 같은 중개 채널 없이, 블록체인 자체를 통신 채널로 활용한 사례입니다.
블록스트림은 이후 브릿지 노드가 패치됐음을 확인하는 PGP 서명(“반환해도 안전함”) 메시지를 전송했습니다. 3,400 BTC 상환은 그 직후에 이뤄졌습니다.
PGP(Pretty Good Privacy) 서명은 발신자의 신원과 메시지의 무결성을 암호학적으로 증명하는 표준 기술입니다. 여기서 PGP 서명이 쓰였다는 것은, 행위자들이 “패치가 완료됐다”는 블록스트림 측의 주장을 단순히 신뢰하는 것이 아니라 암호학적으로 검증한 뒤에야 자금을 반환했다는 것을 보여줍니다. 이는 상호 신뢰가 전혀 없는 당사자 간에도, 암호학적 증명을 통해 조건부 합의를 실행할 수 있음을 보여주는 사례입니다.
15%는 왜 남았나 — ‘포상금’이라는 공식 규정은 없다
상환 트랜잭션은 정확히 3,400 BTC를 리퀴드 페더레이션 주소로 돌려보냈고, 약 598.5 BTC는 행위자들이 통제하는 주소로 **잔돈(change)**으로 반환됐습니다.
이 남은 잔액은 인출과 관련된 비트코인의 약 **15%**에 해당합니다. 여기서 중요한 점은, 598.5 BTC를 승인된 포상금(bounty)으로 규정하는 어떤 공개된 합의도 존재하지 않는다는 것입니다. 따라서 이 금액을 “협상이 계속되는 동안 보유 중인 자금”으로 취급하는 것이 더 정확합니다.
다른 회수 사례와의 비교: 레네게이드 vs. 리퀴드
이 구조는 포상금 조건이 명시적으로 확립됐던 다른 회수 사례들과 다릅니다. **레네게이드(Renegade)**는 자사 아비트럼(Arbitrum) 익스플로잇 사고에서 자산의 90% 이상을 회수했는데, 이는 공격자에게 10% 미만을 화이트햇 포상금으로 보유하도록 허용하는 명확한 반환 약정을 제시한 뒤 이뤄진 것이었습니다.
이 비교는 두 사례의 결정적 차이를 보여줍니다.
- 레네게이드 사례: 사전에 명시적인 조건(반환 비율, 포상금 비율)이 합의되고 공개된 뒤 실행됨
- 리퀴드 사례: 반환은 이뤄졌지만, 남은 15%에 대한 어떤 공식 조건도 공개되지 않은 상태
레네게이드처럼 명확한 사전 합의가 있는 경우, 남은 자산은 합법적인 버그바운티로 규정할 근거가 명확합니다. 반면 리퀴드처럼 조건이 불명확한 상태에서 자금의 일부가 상대방에게 남아 있는 경우, 이것이 정당한 보상인지 아니면 실질적인 갈취인지에 대한 판단이 어려워집니다. 이는 앞서 다른 보도에서 레저(Ledger) CTO 샤를 기유메가 제기했던 ‘화이트햇 규정에 대한 회의’와 정확히 같은 맥락의 문제입니다.
리퀴드 관련 행위자들은 처음에 “우리는 화이트햇입니다. 온체인으로 연락하세요”라고 읽히는 온체인 메시지를 통해 스스로를 밝혔습니다. 하지만 보유된 비트코인의 규모와 법적 지위는 여전히 미해결 상태로 남아 있습니다.
리퀴드의 재시작 준비
이번 회수는 인출로 인해 일시적으로 담보력의 약 95%가 사라졌던 상황에서, L-BTC를 뒷받침하는 비트코인 준비금을 상당 부분 복원시켰습니다.
업데이트된 소프트웨어가 배포됐으며, 리퀴드 페더레이션 구성원들은 네트워크의 조율된 재시작과 영향받은 인프라의 추가 강화 작업을 준비하고 있습니다. 비트코인 자체는 결코 침해되지 않았으며, USDT와 디픽스(DePix)를 포함한 리퀴드의 다른 발행 자산들은 직접적인 영향을 받지 않았습니다.
이 점은 사고 범위를 명확히 하는 데 중요합니다. 이번 사고는 리퀴드 사이드체인의 비트코인 담보 메커니즘 자체의 결함에서 비롯된 것이지, 비트코인 메인체인이나 리퀴드가 발행하는 다른 자산들의 문제가 아니었습니다.
리퀴드의 공개 브릿지 노드는 9월 8일 기준 여전히 보안 대응 상태에 있으며, 페더레이션 구성원들이 사이드체인의 재시작을 준비하는 동안 598.5 BTC는 여전히 인출과 연계된 주소에 보관돼 있습니다.
정리: 이번 보도가 앞선 버전들과 다른 점
이 사안을 다룬 여러 보도를 비교하면, 이번 버전이 가장 구체적인 확인 요소를 담고 있습니다.
- 정확한 시각: 9월 7일 16시 09분(UTC) 반환 확인
- 정확한 잔액과 달러 환산: 598.5 BTC, 약 4,750만 달러
- 암호학적 검증 메커니즘: PGP 서명 메시지를 통한 “안전 확인” 절차
- 비교 가능한 선례: 레네게이드의 아비트럼 익스플로잇 회수 사례와의 대조
- 영향 범위의 명확화: 비트코인 메인체인과 USDT·디픽스는 영향받지 않음을 명시
핵심 요약
- 회수 규모: 4,000 BTC 중 3,400 BTC(약 85%) 회수, 598.5 BTC(약 15%, 약 4,750만 달러) 미회수
- 사고 원인: 담보 없는 L-BTC가 사이드스왑의 인가된 페그아웃 경로에 진입 — 페더레이션 준비금이 4,200 BTC에서 200 BTC로 급감
- 협상 방식: 완전한 온체인 협상, PGP 서명 메시지로 패치 완료를 암호학적으로 확인 후 반환 실행
- 미해결 쟁점: 남은 598.5 BTC를 정당한 포상금으로 볼지 여부에 대한 공식 합의 부재, 레네게이드 사례와 달리 사전 조건이 공개되지 않음
- 영향 범위: 비트코인 메인체인, USDT, 디픽스는 이번 사고와 무관 — 리퀴드의 비트코인 담보 메커니즘에 국한된 사고
이번 사건은 온체인 메시지와 암호학적 서명을 통해 익명의 당사자 간에도 신뢰 가능한 협상이 가능하다는 것을 보여주는 동시에, 명시적 조건 없이 일부 자산이 상대방에게 남는 구조가 왜 ‘화이트햇’이라는 자칭만으로는 완전히 설명되지 않는지를 잘 보여주는 사례입니다.
이 글은 정보 제공 목적으로만 작성됐으며 금융 또는 투자 조언을 구성하지 않습니다.