Liquid Network에서 3억 2천만 달러 규모의 비트코인 ​​보안 사고 발생, Federation Wallet에서 4,000 BTC 유출

Liquid Network에서 4000 BTC 대규모 출금 발생

비트코인 사이드체인 Liquid Network에서 약 4000 BTC가 Federation 지갑을 빠져나가는 대규모 보안 사고가 발생했다. 당시 가치로 약 3억2000만달러에 달하는 규모다. Liquid Network는 자금을 이동시킨 주체가 자신들을 화이트햇 해커라고 주장하고 있으며, Blockstream이 온체인 메시지를 통해 이들과 직접 연락하고 있다고 밝혔다.

사고가 발생하기 전 Liquid Federation 지갑에는 4200 BTC 이상이 보관돼 있었다. 이 가운데 약 4000 BTC가 한꺼번에 출금되면서 전체 보유량의 대부분이 이동했다. Liquid 측은 해당 출금이 SideSwap의 PAK를 통해 이뤄졌지만 Peg-out Authorization Key 자체가 탈취되거나 손상된 것은 아니며 다른 관련 키에서도 침해 정황이 확인되지 않았다고 설명했다.

Liquid는 사고 직후 브리지 노드를 비활성화했다. 이에 따라 새로운 트랜잭션이 네트워크에 제출되지 못하면서 Liquid 사이드체인은 사실상 일시 중단 상태에 들어갔다. 암호화폐 거래소에도 상황이 전달됐으며 L-BTC 입금과 출금이 중단되거나 중단 절차에 들어갔다.

이번 사고의 직접적인 영향은 비트코인과 연결된 L-BTC 및 Liquid의 브리지 기능에 집중됐다. Liquid는 네트워크에서 유통되는 USDT와 DePix, 토큰화된 실물자산 등 다른 자산은 이번 보안 사고의 직접적인 영향을 받지 않았다고 밝혔다.

SideSwap PAK 이용했지만 인증키 침해는 확인되지 않아

이번 사건에서 가장 주목되는 부분은 대규모 BTC가 정상적인 페그아웃 승인 경로를 이용해 빠져나갔다는 점이다. Liquid가 공개한 초기 조사 결과에 따르면 자금은 SideSwap PAK를 사용한 페그아웃 절차를 통해 Federation 지갑에서 이동했다.

PAK는 Peg-out Authorization Key의 약자로 Liquid에서 비트코인 메인체인으로 자산을 이동시키는 과정에 사용되는 승인 체계다. 그러나 Liquid는 이번 사고에서 SideSwap의 PAK가 탈취된 것은 아니라고 밝혔다. 다른 키 역시 침해되지 않았다는 것이 현재까지 공개된 조사 내용이다.

Liquid Federation 지갑에 있던 4200 BTC 이상의 자산 가운데 약 4000 BTC가 빠져나간 직후 네트워크 운영진은 추가적인 움직임을 막기 위해 브리지 노드를 정지시켰다. 네트워크를 정상적으로 다시 가동하기 전에 문제의 원인을 확인하고 관련 노드를 수정하는 작업이 진행되고 있다.

사고 이후 이동된 비트코인은 하나의 주소로 모였다. 이 과정에서 자금을 이동시킨 주체는 비트코인 블록체인에 기록되는 OP_RETURN 메시지를 이용해 자신들이 화이트햇이라고 주장하며 Blockstream 측에 온체인으로 연락해 달라는 메시지를 남겼다.

Blockstream과 자금 보유자 온체인에서 직접 협상

첫 메시지가 확인된 뒤 Blockstream과 해당 주체 사이에서는 일반적인 이메일이나 비공개 협상 대신 비트코인 블록체인을 활용한 공개적인 대화가 이어졌다. OP_RETURN 메시지와 PGP 암호화 메시지가 사용됐으며 거래 기록을 확인하는 이용자도 양측의 메시지 교환 과정을 추적할 수 있는 형태로 진행됐다.

첫 연락은 미국 태평양시간 기준 오전 11시30분께 시작됐다. 자금을 이동시킨 측이 자신들을 화이트햇이라고 밝히며 연락을 요구했고, Blockstream은 오후 12시31분 이에 답변했다. 이후 오후 6시49분 Blockstream은 PGP로 서명하고 암호화한 메시지를 전달했다.

오후 7시20분에는 자금을 보유한 측에서 다시 답변이 나왔다. 이들은 Blockstream이 지정한 주소로 자금 대부분을 반환해도 되는지를 물었다. 단순히 자금 반환 의사를 밝히는 데 그치지 않고 이후 메시지에서 반환 조건도 제시했다.

오후 8시27분 해당 주체는 Blockstream에 취약점을 먼저 수정할 것을 요구했다. 최신 코드 상태에서도 Liquid 체인이 위험에 노출돼 있다면서 모든 노드에 패치를 적용한 뒤 수정 사항이 제대로 반영됐는지를 확인해야 자금을 안전하게 돌려보내겠다는 내용이었다. 취약점과 관련된 기술적인 세부 내용은 PGP로 암호화해 Blockstream에 전달했다.

Blockstream은 오후 8시30분 해당 메시지를 확인했다는 답변을 보냈다. 양측이 주고받은 PGP 메시지 가운데 Blockstream 측 서명은 회사 공식 웹사이트에 공개된 PGP 키와 일치한 것으로 확인됐다.

3998.5 BTC 이동 없이 남아 있어

온체인 추적 기준으로 오후 9시12분까지 약 3998.5 BTC는 해당 주소에서 추가로 이동하지 않았다. Blockstream과 자금을 이동시킨 주체 사이에서도 그 시점 이후 새로운 공개 메시지가 확인되지 않았다.

자금을 보유한 측은 대부분의 비트코인을 돌려보내겠다는 의사를 밝힌 상태지만 실제 반환은 아직 이뤄지지 않았다. 이들은 Liquid의 취약점이 먼저 수정되고 모든 관련 노드에 패치가 배포되는 것을 반환의 선행 조건으로 제시했다.

Liquid가 이들을 ‘화이트햇이라고 주장하는 해커’로 표현하고 있는 것도 이 때문이다. 자금 이동의 주체와 실제 의도는 공식적으로 확인되지 않았으며, 현재 확인된 것은 당사자들이 온체인 메시지를 통해 자신들을 화이트햇이라고 주장하고 취약점 정보를 Blockstream에 전달했다는 사실이다.

Blockstream과 Liquid Federation 구성원들은 네트워크를 정상화하기 위한 작업을 진행하고 있다. 브리지 노드는 계속 비활성화된 상태이며 문제가 해결될 때까지 새로운 거래 제출이 제한된다. 거래소의 L-BTC 입출금 역시 네트워크 상태와 복구 진행 상황에 따라 영향을 받고 있다.

3억2000만달러 규모 사고 아직 해결 진행 중

이번 사건은 Liquid Network의 핵심 BTC 준비금 지갑에서 약 4000 BTC가 한 번에 이동했다는 점에서 규모가 크다. 사고 당시 가격을 적용하면 약 3억2000만달러에 해당한다. Federation 지갑에는 사고 이전 4200 BTC 이상이 있었기 때문에 이동한 자금은 지갑 보유량의 대부분을 차지한다.

다만 현재까지 공개된 정보에서는 SideSwap의 Peg-out Authorization Key가 탈취된 것은 아닌 것으로 확인됐다. Liquid는 다른 관련 키 역시 침해되지 않았다고 밝혔다. 자금을 이동시킨 측도 단순한 자금 탈취 이후 잠적하는 대신 Blockstream과 계속 온체인 메시지를 주고받았으며 취약점의 기술적 내용을 암호화해 전달했다.

자금을 보유한 측이 제시한 다음 단계는 Liquid의 취약점 수정과 전체 관련 노드의 패치다. 이들은 패치가 제대로 적용된 것을 확인한 뒤 대부분의 BTC를 반환하겠다고 밝혔다. Blockstream은 해당 메시지를 수신했으며 양측의 마지막 공개 대화 이후 약 3998.5 BTC는 이동하지 않은 상태로 남아 있었다.

Liquid Network는 문제 해결 전까지 사이드체인을 사실상 중단한 상태를 유지하고 있다. 브리지 노드가 비활성화돼 새로운 트랜잭션 제출이 제한되고 있으며 거래소들도 L-BTC 입출금을 중단하고 있다. USDT와 DePix, RWA 등 다른 Liquid 자산은 이번 사건의 직접적인 영향을 받지 않은 것으로 발표됐다. 네트워크 재가동과 약 4000 BTC의 실제 반환 여부는 취약점 수정과 노드 패치가 완료된 이후 확인될 예정이다.