리퀴드 네트워크에서 4,000 BTC가 빠져나갔다 — Q&A 7가지

웨일로그 편집팀

2026년 9월 6일, 비트코인 사이드체인인 리퀴드 네트워크의 페더레이션 지갑에서 4,019.44391988 BTC가 단 한 건의 페그아웃 거래로 빠져나갔다. 개인 키를 훔친 흔적은 확인되지 않았고, 자금을 가져간 쪽은 스스로를 “화이트햇”이라 부르며 비트코인 블록에 글자를 적는 방식으로 협상을 걸어왔다. 이 글은 그 거래와 대화를 발행 시점(2026년 9월 8일 오전, KST)에 블록체인에서 직접 꺼내 확인한 기록이다.

기준 시점은 비트코인 블록 965,994(2026년 9월 8일 00시 47분 UTC, 한국시간 09시 47분)이며, 아래 수치는 전부 블록스트림 익스플로러 API로 직접 조회한 값이다.

Q1. 정확히 무슨 일이 있었나?

비트코인 블록 965,783(2026-09-06 14:28:56 UTC, 한국시간 23시 28분)에 담긴 거래 8db751a650ae2f12006b7e8c69a75e4df360e8afd6b9e05ae0b9fa6458a7b140가 이번 사건의 본체다. 직접 열어 보면 이렇게 생겼다.

항목 확인된 값
입력 개수 83개
출력 개수 13개
출력 총합 4,019.44391988 BTC
가장 큰 출력 3,996.01834922 BTC → bc1qgslsydz56d0ed6827hdemfmk5w2f6ldyc6wt7p
그 외 3.99601658 BTC, 2.65138358 BTC가 각각 다른 주소로
잔돈 약 1.6779 BTC씩 10개 출력이 페더레이션 지갑으로 복귀
수수료 34,097사토시

세 번째 줄의 3.99601658 BTC는 가장 큰 출력의 약 0.1%에 해당하는 금액이다. 통상적인 서비스 수수료 비율과 비슷하지만, 이 출력이 실제로 무엇에 대한 대가였는지는 확인되지 않았다.

금액을 원화·달러로 감을 잡자면, 크라켄 공개 시세 API에서 2026년 9월 8일 오전 9시 50분(KST)에 조회한 XBT/USD 최종 체결가는 79,222.50달러였다. 이 값으로 단순 환산하면 4,019 BTC는 약 3억 1,800만 달러다. 사건 당시 시세는 다를 수 있으므로 이 숫자는 어디까지나 환산값이다.

Q2. 비트코인이 뚫린 건가?

아니다. 리퀴드는 비트코인 블록체인 위에 얹힌 별도의 체인이다. 비트코인을 페더레이션이라는 회사 연합체의 지갑에 맡기면(페그인), 리퀴드 위에서 같은 수량의 L-BTC가 생긴다. 다시 비트코인으로 돌려받을 때(페그아웃) 리퀴드의 L-BTC를 없애고 페더레이션 지갑이 진짜 비트코인을 내준다. 거래소 사이 송금을 빠르게 하려고 만든 구조다.

이번 사건은 이 다리 부분에서 일어났고, 비트코인 블록체인 자체의 규칙이 깨진 흔적은 확인되지 않았다. 다만 초보 투자자가 새겨야 할 부분이 바로 여기다. “비트코인은 안전하다”는 말은 비트코인 원장에 대한 이야기일 뿐, 그 위에 올라간 사이드체인·브릿지·레이어2는 각각 별개의 위험을 가진 별개의 시스템이다. 자산이 원래 체인을 떠나 다른 곳에 예치되는 순간, 지켜야 할 대상은 비트코인의 작업증명이 아니라 그 다리를 운영하는 소프트웨어와 운영 주체가 된다.

Q3. 열쇠를 훔친 건가?

유출 거래는 정상적인 페그아웃 절차를 그대로 통과한 모습이다. 여러 보도는 엘리먼츠(Elements) 소프트웨어의 버그로 원래 존재해서는 안 되는 L-BTC가 만들어졌고, 그것이 정식 페그아웃 경로를 타고 나갔다고 전한다. 다만 그 원인에 대한 블록스트림의 공식 사후 보고서는 이 글을 쓰는 시점까지 확인되지 않았다. 블록스트림 공식 블로그의 글 목록과 리퀴드 태그 페이지를 직접 확인했으나 이번 사건을 다룬 글은 올라와 있지 않았다.

리퀴드 쪽 원장에서도 확인을 시도했다. 리퀴드는 금액을 가리는 기밀 거래(Confidential Transactions)를 쓰기 때문에, 해당 시간대 리퀴드 블록에서 금액이 그대로 보이는 거래를 찾지 못했다. 즉 얼마가 나갔는지는 비트코인 쪽에서만 보이고 리퀴드 쪽에서는 보이지 않는다. 어느 리퀴드 거래가 이 페그아웃에 대응하는지는 확인하지 못했다.

Q4. “화이트햇”과의 협상은 어디서 이뤄졌나?

비트코인 거래에는 OP_RETURN이라는 칸이 있다. 소액의 수수료를 내고 짧은 데이터를 블록에 영구히 새길 수 있는 자리다. 양측은 이메일이나 텔레그램이 아니라 이 칸에 글자를 적어 대화했다. 아래는 페더레이션 지갑과 상대 주소에 오간 메시지를 블록에서 직접 꺼내 시간순으로 정리한 것이다(시각은 UTC, 한국시간은 +9시간).

블록 시각(UTC) 남은 문구
965,783 09-06 14:28 (유출 거래 실행, 4,019.44 BTC)
965,818 09-06 18:30 “we are whitehats. contact us on chain”
965,869 09-07 02:20 “sending most back to bc1qdlld6… , is that ok”
965,875 09-07 03:30 “Please fix the bug first. The chain is under risk at latest commit right now. Make sure every node is patched.”
965,910 09-07 09:19 (블록스트림) “Bridge nodes are patched, safe to return the funds.”
965,930 09-07 12:43 “plz confirm again that we are sending the coins back to bc1qdlld6…”
965,950 09-07 16:09 (3,400 BTC 반환)
965,973 09-07 21:03 “:(”

09-07 03:30 메시지에는 상세 내용이 PGP로 암호화돼 함께 붙어 있었고, 암호화에 쓴 키의 출처로 https://blockstream.com/pgp.txt가 그대로 적혀 있었다. 공개된 키로 암호를 걸어 보낸 뒤, 그 사실을 블록에 남긴 것이다.

Q5. 블록스트림의 답장이 진짜라는 걸 확인할 수 있나?

확인할 수 있고, 실제로 해봤다. 블록 965,910의 거래 d08d480e497572d97e58a93d932e26e4a282ed2116317f4939c4376f1f22730f에는 다음과 같은 PGP 서명 메시지가 통째로 들어 있다.

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512

Bridge nodes are patched, safe to return the funds.
-----BEGIN PGP SIGNATURE-----
...

이 데이터를 블록에서 그대로 꺼내고, 블록스트림이 자사 사이트에 공개해 둔 키(https://blockstream.com/pgp.txt)를 내려받아 대조했다. 검증 결과는 “Good signature from Blockstream Security Reporting security@blockstream.com“이었다. 서명 생성 시각은 2026-09-07 09:04:57 UTC, 키 지문은 1176 542D A98E 71E1 3372 2EF7 4AC8 CC88 6844 A2D6다. 서명이 만들어진 지 약 15분 뒤 블록에 실렸다.

여기서 중요한 것은 검증 가능성이다. 사고 대응 국면에서는 가짜 공지와 사칭 계정이 쏟아지는데, 서명된 메시지는 “누가 썼는가”를 읽는 사람이 스스로 확인할 수 있게 해준다. 반대로 서명 없이 떠도는 캡처 이미지는 아무것도 보증하지 않는다.

Q6. 취약점은 고쳐졌나? 돈은 돌아왔나?

블록스트림은 “브릿지 노드는 패치됐다”고 서명된 메시지로 밝혔지만, 공개 저장소에서는 그에 해당하는 수정을 확인하지 못했다. 엘리먼츠 공식 저장소를 내려받아 확인한 결과 master 브랜치의 최신 커밋은 c7e856fa(2026-09-04, 빌드 스크립트 수정)로 사건 이전 것이었고, 사건 이후의 커밋은 발행 시점까지 올라와 있지 않았다. 가장 최근 태그는 elements-29.4.1rc1(2026-08-12)이다. 취약점을 먼저 조용히 막고 코드 공개는 나중으로 미루는 것은 보안 대응에서 흔한 순서이므로, 이 상태만으로 패치 여부를 단정할 수는 없다.

자금 쪽은 숫자가 분명하다. 9월 7일 16시 09분(UTC) 거래 a6d697a25266ce3c78774fd1d75f896b7af522ada209b0f6228ea497bc49a46d로 정확히 3,400.0 BTC가 페더레이션 지갑으로 되돌아왔다. 기준 시점의 잔액은 아래와 같다.

주소 잔액(2026-09-08 00:47 UTC 기준)
페더레이션 지갑 bc1qdlld6...jwaxxsuhwxxr 3,597.47197696 BTC
상대 주소 bc1ql4mfu...nzcd6gyqjlte 598.49978250 BTC

반환분 3,400 BTC를 빼면 유출 직후 페더레이션 지갑에는 약 197.47 BTC만 남아 있었다는 계산이 나온다. 리퀴드 쪽 L-BTC 통계도 같은 자리를 가리킨다. 익스플로러가 제공하는 L-BTC 자산 통계는 누적 페그인 18,356.92853979 BTC, 누적 페그아웃 18,149.60353198 BTC, 소각 10.02779324 BTC였고, 이 셋을 계산하면 197.29721457 BTC가 남는다. 남은 598 BTC가 돌아올지는 확인되지 않았다.

Q7. 사건 주소를 구경하다 마주치는 것들

블록에서 대화를 따라가다 보면 협상과 무관한 메시지가 잔뜩 섞여 있다. 유명해진 주소에 스팸이 몰린 것이다. 실제로 확인된 문구 중에는 밈코인 홍보(Memecoin Whitehat | Pump.fun CA: ...), “비트코인을 보내면 두 배로 돌려준다”는 전형적인 사기 문구(elonmuskevent.live), 그리고 “텔레그램으로 연락하라, 자금 세탁을 도와주겠다”는 제안까지 있었다.

읽는 사람 입장에서 기억할 것은 하나다. 온체인 메시지는 누구나 수수료만 내면 쓸 수 있으므로 그 자체로는 아무 권위도 없다. 서명이 붙어 있고 그 서명을 발행 주체가 공개한 키로 검증할 수 있을 때만 신뢰의 근거가 된다.

확인한 것과 확인되지 않은 것

항목 상태
유출 거래·금액·시각 직접 확인(비트코인 블록 965,783)
온체인 협상 메시지 전문 직접 확인(블록 965,818~965,973)
블록스트림 답장의 서명 유효성 직접 확인(공개 키로 검증, Good signature)
3,400 BTC 반환과 현재 잔액 직접 확인(블록 965,994 기준)
L-BTC 누적 페그인·페그아웃 통계 직접 확인(리퀴드 익스플로러 API)
엘리먼츠 공개 저장소의 패치 커밋 확인되지 않음(사건 이후 커밋 없음)
취약점의 구체적 원인 확인되지 않음(공식 사후 보고서 미발행)
사이드스왑 등 관련 서비스의 공식 입장 확인하지 못함
리퀴드 쪽 대응 거래 확인하지 못함(기밀 거래로 금액 비공개)
남은 598 BTC의 향방, 행위자 신원 확인되지 않음

앞으로 확인할 것

전망 대신 일정과 관전 포인트를 적어 둔다. 첫째, 블록스트림의 공식 사후 보고서와 엘리먼츠 저장소의 보안 릴리스다. 취약점의 성격과 영향 범위는 결국 이 두 문서로 확정된다. 둘째, 남은 598 BTC의 이동 여부다. 주소가 공개돼 있으므로 익스플로러에서 누구나 추적할 수 있다. 셋째, 거래소들의 L-BTC 입출금 재개 공지다. 리퀴드에 자산을 올려둔 사람에게는 이것이 가장 실질적인 신호다. 넷째, 이번 사건이 사이드체인·브릿지 전반의 준비금 공개 방식에 대한 논의로 이어지는지다. 페더레이션 지갑 주소가 알려져 있어 잔액을 누구나 확인할 수 있었다는 점은, 이번 사건에서 그나마 검증이 빨랐던 이유이기도 하다.

이 글은 정보 제공 목적으로 작성되었으며 투자 권유가 아닙니다. 투자 판단과 책임은 본인에게 있습니다.