블록스트림 '리퀴드 네트워크' 3억2000만 달러 해킹과 화이트햇 자진 반환

비트코인 인프라 기업 블록스트림은 2018년 여러 대형 거래소가 참여하는 연합(federation) 구조의 비트코인 사이드체인 '리퀴드 네트워크'를 출시했다. 리퀴드는 비트코인을 L-BTC라는 형태로 사이드체인에 옮겨 거래소 간 신속한 자금 이동과 기밀 거래를 지원하는 것을 목표로 했다. 사용자가 맡긴 비트코인은 여러 거래소와 기관으로 구성된 연합이 공동 관리하는 연합 지갑(federation wallet)에 보관되는 구조였다. 이 구조는 탈중앙화된 비트코인 자체보다 신뢰를 특정 참여자 집합에 의존한다는 점에서 태생적으로 단일 실패 지점이 될 수 있다는 지적을 받아왔다. 이러한 구조적 취약점은 2026년 9월 대규모 해킹으로 현실화됐다.

2026년 9월 6일 공격자들은 리퀴드 네트워크의 기반 코드인 'Elements'의 소프트웨어 버그를 악용해 연합 지갑에 보관돼 있던 약 4200 BTC 중 4000 BTC, 당시 시세로 약 3억2000만 달러 상당을 인출하는 데 성공했다. 공격자들은 승인된 출금 플랫폼인 사이드스왑(SideSwap)을 경유해 자금을 빼내는 방식으로 정상적인 인출 절차처럼 보이게 만들었다. 이는 2018년 리퀴드 출범 이후 최대 규모의 보안 침해 사건으로, 연합 지갑에는 겨우 197 BTC만 남는 사실상 준비금 고갈 상태에 이르렀다. 블록스트림은 사건 인지 직후 긴급 점검에 착수하고 L-BTC 관련 서비스를 잠정 중단했다. 이 사건은 2026년 8월에만 50건의 해킹이 발생하는 등 그해 크립토 업계 전반에 보안 사고가 급증하던 흐름 속에서 터졌다.

탈취 직후 공격자들은 자신들이 악의적 해커가 아닌 '화이트햇(선의의 해커)'이라 주장하며 블록스트림과 OP_RETURN 기능을 이용해 비트코인 블록체인 위에 직접 메시지를 남기는 방식으로 소통을 시도했다. 대화가 이어지면서 공격자들이 블록체인에 게시한 메시지 상당수는 PGP로 암호화된 형태로 전환됐다. 이는 전통적인 이메일이나 SNS가 아닌 블록체인 자체를 통신 채널로 활용한 이례적 방식이어서 업계의 큰 주목을 받았다. 공격자들은 취약점을 알리려는 목적이었다고 주장하며 보상 성격의 협상을 시도한 것으로 분석됐다. 이러한 방식은 2021년 폴리네트워크 해킹 사건 당시 화이트햇 해커의 행보를 연상시킨다는 평가를 받았다.

블록스트림이 2026년 9월 7일 Elements의 취약점을 긴급 패치하자, 공격자들은 탈취한 4000 BTC 중 3400 BTC(약 2억6800만달러)를 연합 지갑으로 되돌려 보냈다. 대신 나머지 598.5 BTC(약 4700만달러)는 자신들의 몫으로 남겼는데, 분석가들은 이를 사실상 비공식적인 버그바운티 성격의 '보상'으로 해석했다. 결과적으로 전체 피해액의 약 85%가 하루 만에 회수되는 이례적인 결말을 맞았다. 이는 공격자가 처음부터 전액 탈취보다는 취약점을 알리고 일부 보상을 챙기려는 의도였을 가능성을 시사한다. 그러나 블록스트림 측이 공식적으로 이 금액을 정당한 보상으로 인정한 것은 아니어서 법적 처리 여부는 불투명하게 남았다.

자금 일부가 회수됐음에도 2026년 9월 8일 기준 리퀴드 네트워크의 브리지 노드는 여전히 비활성화 상태였으며, 여러 거래소가 안전 점검을 이유로 L-BTC 입출금 서비스를 잠정 중단했다. 블룸버그는 이번 사건이 크립토 업계 인프라 전반의 구조적 취약성을 드러낸 사례라고 평가하며, 다수 거래소가 의존하는 연합형 사이드체인 구조의 위험성을 재조명했다. 업계에서는 2026년 한 해에만 유례없이 많은 해킹이 발생하면서 대형 인프라뿐 아니라 소규모 디파이 프로토콜과 신생 거래소까지 공격 대상이 확대되는 추세라는 분석이 나왔다. 블록스트림은 완전한 서비스 정상화 시점을 명확히 밝히지 못한 상태다. 이 사건은 비트코인 자체의 보안성과 별개로 그 위에 구축된 인프라의 신뢰 모델이 여전히 취약할 수 있음을 보여준 사례로 남았다.