리퀴드 보안 사건: 자금 반환과 사건 종결은 다릅니다
2026년 9월 리퀴드에서 담보 없는 L-BTC가 만들어지고, 페그아웃을 거쳐 실제 비트코인이 외부로 지급되는 사건이 발생했습니다. 9월 7일 공개한 영상은 반환 약속까지, 9월 8일 영상은 3,400 BTC 반환까지 추적했습니다. 두 영상을 함께 보면 돈의 이동을 확인하는 일과 사건이 끝났다고 판단하는 일이 왜 다른지 알 수 있습니다.
문제가 생긴 곳은 어디였나요?
리퀴드는 비트코인과 별도의 규칙으로 운영되는 사이드체인입니다. 연합은 리퀴드의 비트코인 보유분을 공동으로 관리하는 운영 주체이며, 지급에는 여러 구성원의 서명이 필요합니다. 사용자가 비트코인을 연합 보관 주소에 잠그면 리퀴드에서 이에 대응하는 L-BTC를 사용합니다. 반대로 L-BTC를 소각하고 연합이 실제 비트코인을 지급하는 절차가 페그아웃입니다. 이 구조는 L-BTC 발행량과 비트코인 보유분이 대응한다는 전제에 의존합니다.
영상은 담보 없는 청구권이 정상 출구를 통과한 점에 주목합니다. SideSwap의 페그아웃 서비스를 거친 요청에 따라 비트코인 거래는 유효한 서명으로 처리됐습니다. 비트코인의 작업증명이나 개인키의 암호학적 보호가 깨졌다는 뜻이 아닙니다. 비트코인에서 유효한 지급이라고 해서 그 지급을 요청한 별도 시스템의 회계까지 올바르다는 보장은 없습니다.
약속에서 실제 반환까지
첫 영상에서 자금을 통제한 당사자는 거래 메시지로 자신들을 화이트햇이라고 소개하고, 결함을 고치면 반환하겠다고 했습니다. 그러나 자금을 쓸 수 있다는 증명은 신원·허가·선의를 증명하지 않습니다. 작성자는 실제 반환을 확인하기 전까지 자칭 화이트햇이라고 구분했습니다.
후속 영상에서는 3,400 BTC가 연합 주소로 돌아간 거래를 확인합니다. 동시에 보유 주소에 약 598.5 BTC가 남았다는 당시 관측을 제시합니다. 그 금액이 합의된 보상인지, 추가 반환 대상인지, 비공개 협상에서 무엇을 정했는지는 공개 메시지만으로 알 수 없다고 설명합니다.
여기서 서로 다른 숫자를 섞으면 안 됩니다. 페그아웃 주문량, 비트코인에서 지급된 출력, 이후 다른 입력까지 합친 주소 잔액은 서로 다른 관측 대상입니다. 반환 거래의 존재만으로 전액 회수나 최종 합의를 선언할 수는 없습니다.
영상 이후 공개된 공식 평가
영상 당시에는 최종 원인 분석이 공개되지 않았지만, 블록스트림은 2026년 9월 23일 공식 보안 평가를 공개했습니다. 보고서는 Elements에서 범위 증명(rangeproof)의 검증 결과를 재사용하는 캐시의 결함으로 약 4,000 L-BTC가 담보 없이 만들어졌다고 설명합니다. 범위 증명은 숨겨진 금액이 허용된 범위 안에 있음을 입증하는 자료입니다. 기존 결함을 수정하는 과정에서 데이터 경계를 구분하지 않은 방식이 또 다른 결함을 만들었다는 분석입니다.
이 보고서에 따르면 3,400 BTC는 반환됐고 약 602 BTC는 회수 절차의 대상으로 남아 있습니다. 이는 영상이 한 주소에서 관측한 약 598.5 BTC와 집계 범위가 다릅니다. 두 수치의 차이를 앞선 숫자의 오타를 고친 결과로 보거나, 그 차이만큼 손실이 추가로 발생했다고 해석해서는 안 됩니다. 보고서는 수정된 체인에서 잘못 만들어진 물량이 제거됐고 복구를 단계적으로 진행했다고 설명하지만, 회수와 전체 복구가 모두 끝났다고 선언하지는 않습니다. 이 문단은 9월 23일 발표 내용을 기록한 것이며 이후 상태를 실시간으로 표시하지 않습니다.
전체장부에 적힌 말도 검증해야 합니다
두 영상에서 눈에 띄는 장면은 당사자들이 비트코인 거래의 OP_RETURN 출력에 연락 문구를 남긴 대목입니다. 누구나 거래를 찾아 시각과 자금 흐름, 공개 문구를 확인할 수 있었습니다. 기술 세부는 암호화하고, 공개 답변에는 PGP 서명을 붙이는 방식도 등장했습니다.
서명과 암호화는 역할이 다릅니다. 서명 검증은 대응하는 개인키를 가진 주체가 메시지에 서명했고 그 내용이 바뀌지 않았는지 확인합니다. 암호화는 내용을 읽을 수 있는 대상을 제한합니다. 공개된 전체장부에 암호문을 기록해도 모두가 그 내용을 읽을 수 있는 것은 아닙니다.
PGP 서명이 맞더라도 그 공개키가 정말 블록스트림의 것인지 별도 경로로 확인해야 합니다. 서명된 주장의 사실 여부도 따로 판단해야 합니다. 누구나 거래에 글을 남길 수 있으므로, 전체장부에 실렸다는 사실 자체가 신원 보증은 아닙니다.
작성자가 이 사건에서 인상적으로 본 것은 모든 문제가 해결됐다는 점이 아닙니다. 반환 약속과 실제 반환, 공개된 기록과 공개되지 않은 합의를 나눠 볼 수 있었다는 점입니다. 같은 거래를 서로 대조할 수 있다는 투명성은 판단을 대신하지 않지만, 판단할 근거를 함께 확인하게 해 줍니다.
영상
원본 영상: 리퀴드 4,000 BTC 탈취 사건 종결? 팩트를 알아보자.
원본 영상: 충격! 4,000 BTC 탈취 사건이 발생했다. 그런데...
