리퀴드 네트워크(Liquid Network) 측은 스스로를 화이트해커라고 밝힌 공격자들이 약 4,000개의 비트코인(Bitcoin) (BTC), 약 3억2천만달러 규모를 페더레이션 지갑에서 빼냈으며, 네트워크 버그가 완전히 수정되기 전에는 자금을 돌려주지 않겠다고 통보했다고 밝혔다.
핵심 내용
- 리퀴드 네트워크는 보안 사고로 약 4,000 BTC가 페더레이션 지갑에서 유출됐다고 발표했다.
- 해커들은 영향 받은 모든 노드에 패치가 적용된 뒤에야 대부분의 자금을 반환하겠다고 조건을 제시했다.
- 태평양 표준시 기준 오후 9시 12분 현재 약 3,998.5 BTC가 이동 없이 남아 있는 가운데, 네트워크는 사실상 멈춘 상태다.
리퀴드 비트코인 유출 전말
리퀴드 네트워크는 이번 약 4,000 BTC 출금이 **사이드스왑(SideSwap)**의 페그아웃 승인 키(Peg-out Authorization Key, PAK)를 활용해 이뤄졌다고 설명했다. 다만 해당 키 자체가 탈취된 것은 아니며, 다른 페더레이션 키도 위험에 노출되지는 않았다고 강조했다. 네트워크 상의 다른 자산에는 영향을 미치지 않았다는 입장이다.
네트워크 측은 브리지 노드를 비활성화해 새로운 트랜잭션 제출을 막으면서, 사이드체인을 사실상 정지 상태로 두고 페더레이션 구성원들이 문제 해결 작업에 집중하도록 했다.
해커들은 이메일이 아닌 비트코인 트랜잭션 데이터(온체인 메시지)를 통해 공개적으로 소통하길 원한다고 밝힌 뒤, **블록스트림(Blockstream)**은 서명된 온체인 메시지를 통해 접촉을 시도했다.
**샘슨 모우(Samson Mow)**에 따르면 첫 교신은 9월 6일 오전 11시 30분(태평양 표준시)에 시작됐고, 이후 해커 측이 시그널(Signal) 연락처를 제공하자 블록스트림은 PGP 서명·암호화한 메시지를 전달했다.
오후 7시 20분, 해커들은 “대부분의 자금을 반환할 계획”이라고 밝히며 특정 주소를 반환 주소로 사용해도 되는지 문의했다. 약 한 시간 후에는 “모든 노드가 패치를 마쳤는지 반드시 확인하라. 수정이 검증되면 돈을 안전하게 돌려주겠다”고 조건을 못 박았다. 블록스트림은 오후 8시 30분 “알겠다, 고맙다”고 답했고, 오후 9시 12분 기준 약 3,998.5 BTC가 여전히 움직이지 않은 상태로 남아 있었다.
관련 기사: 아이폰 울트라, 2,000달러대에도 페이스 ID 포함 최대 4개 기능 빠질 수 있다
레저(Ledger) CTO “화이트해커 맞나” 의문
하드웨어 월렛 업체 레저의 최고기술책임자(CTO) **샤를 기에메(Charles Guillemet)**는 이들이 자칭하는 ‘화이트해커’라는 정체에 의구심을 표했다. 통상적인 보안 연구자라면 브리지를 통째로 비우고 나서, 피해 프로젝트에 온체인 메시지로 먼저 접촉해 오라고 요구하는 방식은 취하지 않는다는 지적이다. 이후 시그널로 채널을 옮긴 점 역시 그의 판단을 바꾸지는 못했다.
기에메는 다만 특이한 역설도 짚었다. 일반적인 범죄 조직 역시 피해자와 이렇게 직접적인 대화를 여는 경우는 드물다는 점이다. 현재 인출된 비트코인의 거의 전부가 여전히 해커 지갑 아래에 묶여 있고, 반환 여부가 “완전한 패치”라는 조건에 걸려 있다는 점도 이례적이라는 평가다.
과거 브리지 해킹 사례들은, 사후에 공격자들이 협조적인 태도를 보인다고 해서 안심할 수 없다는 점을 상기시킨다. 로닌(Ronin) 브리지 해킹에서는 검증인 키가 탈취되며 약 6억2,500만달러가 빠져나갔고, 오일러(Euler) 익스플로이터의 경우 이후 프로젝트 측과 협상을 거쳐 회수 가능한 자금을 전액 반환한 전례가 있다.
