리퀴드 네트워크 4,000 BTC 탈취 사건 발생

리퀴드 네트워크의 페그아웃 서비스에 결함이 발생하여 약 4,000 LBTC가 외부 주소로 유출되었습니다. 이 과정에서 거액의 LBTC가 정상 승인 절차를 통과하여 비트코인으로 지급되었고, 사이드스왑 측의 엘리먼츠 소프트웨어에서 결함이 확인되었습니다.

진행자는 “리퀴드 네트워크에 결함을 거쳐 약 4,000 비트코인이 외부 주소로 지급됐습니다. 황당한 것은이 거액이 정상승인 절차를 통과했다는 점입니다”라고 설명했습니다.

리퀴드 네트워크는 비트코인 메인체인과 나란히 운영되는 별도의 사이드체인으로, 비트코인과는 다른 운영 방식을 가지고 있습니다. 리퀴드에서는 15곳의 운영자가 블록과 비트코인 보유분을 관리하며, 자금 이동 시 11곳 이상의 서명이 필요합니다.

진행자는 “리퀴드는 비트코인과 나란이 운영되는 별도의 사이드 체인입니다... 리퀴드에서는 15 운영자가 블록과 비트코인 보유분을 관리하고 자금을 내보낼 때 11곳 이상의 서명이 필요합니다”라고 밝혔습니다. 이는 메인체인의 작업 증명 방식이나 장부 보안과는 별개의 문제로, 이번 사건의 근본적인 원인으로 지목됩니다.

리퀴드 네트워크에서는 사용자가 비트코인을 페더레이션 주소에 맡기면 리퀴드에서 같은 양의 LBTC가 발행됩니다. 반대로 리퀴드에서 LBTC를 소각하고 외부로 나가면, 페더레이션이 비트코인 메인체인에서 실제 비트코인을 지급하는 페그아웃(peg-out) 과정을 거칩니다.

진행자는 “사용자가 비트코인을 페더레이션 주소에 맡기면 리퀴드에서 같은 양의 LBTC가 발행됩니다... 반대로 리퀴드에서 LBTC를 없애고 밖으로 나가면 페더레이션이 비트코인 메인체인에서 실제 비트코인을 지급합니다”라고 설명했습니다. 이때 LBTC 단위와 비트코인 보유량은 1대1로 일치해야 합니다.

사건은 9월 6일 오후 2시 5분(협정 세계시)에 한 고객이 4,000 LBTC를 사이드스와 페그아웃 서비스에 보냄으로써 시작되었습니다. 23분 뒤인 오후 2시 28분, 비트코인 거래가 확인되며 약 3,996.018 비트코인이 지급 완료되었습니다.

진행자는 “9월 6일 오후 2시 5분 협정 세계시 기준으로 한 고객이 4,000 LBTC를 사이드스와 팩그아웃 서비스에 보냈습니다... 23분 뒤인 오후 2시 28분 비트코인 거래가 확인되며 약 3,996.018 비트코인이 지급됐습니다”라고 언급했습니다. 약 4시간 뒤, 자신을 화이트햇이라 밝히며 온체인상에서 연락을 시도하는 당사자가 등장했습니다.

리퀴드 네트워크는 거래 금액을 가리는 기밀 거래(Confidential Transactions)를 사용하므로, 여섯 개 입력의 액수는 공개되지 않습니다. 하지만 비트코인 메인체인에서 지급해야 할 금액과 최종 목적지는 페그아웃 출력에 공개됩니다. 진행자는 “리퀴드는 금액을 가리는 기밀 거래를 사용하므로 여섯 개 입력의 액수는 공개되지 않습니다. 하지만 비트코인에서 지급해야 할 금액과 목적지는 팩아웃 출력에 공개됩니다”라고 설명하며, 이는 비트코인 메인체인으로의 지급 요청 시 데이터가 투명하게 공개됨을 의미한다고 덧붙였습니다.

온체인 대화는 블록스트림의 보안 연락 요청으로 시작되어 네 단계로 이어졌습니다. 당사자는 페더레이션 주소로 대부분을 돌려보내도 되는지 물었으며, 이후 암호화된 메시지를 전송하고 서명했습니다.

진행자는 “온체인 대화는네 단계로 이어졌습니다... 당사자는 페더레이션 주소로 대부분을 돌려보내도 되는지 물었습니다. 여섯 블록 뒤에는 먼저 결함을 고치고 모든 노드의 패치를 확인한 다음 돈을 안전하게 돌려 주겠다고 답했습니다”라고 설명했습니다. 당사자는 먼저 결함을 고치고 모든 노드의 패치를 확인한 다음 돈을 안전하게 돌려주겠다고 답하며, 암호화 기술을 통한 협의를 진행했습니다.

자신을 화이트햇으로 자칭한 당사자에 대해 신중한 평가가 필요합니다. 신원이 공개되었는지, 사전에 허가를 받았는지, 발견한 결함을 먼저 비공개로 알렸는지, 그리고 자금을 온전히 반환했는지는 아직 확인되지 않았습니다.

진행자는 “신원이 공개됐는지 사전에 허가 받았는지 발견한 결함을 먼저 비공개로 알렸는지 자금을 온전히 반환했는지는 확인되지 않았습니다. 결과가 선한 방향으로 끝날 가능성은 있습니다. 그러나 의도는 실제 행동으로 검증해야 합니다”라고 강조했습니다. 온체인 문구만으로는 그 의도를 화이트햇으로 단정할 수 없으며, 실제 자금 반환 여부 및 행동으로 의도가 검증되어야 합니다.