598.5 BTC 남은 리퀴드 해킹…선제적 버그바운티 제안

리퀴드 네트워크에서 약 3억2000만달러(약 4304억원) 규모의 비트코인이 빠져나간 뒤 3400 BTC가 반환됐지만, 약 598.5 BTC는 남아 있다. 해킹 이후 반환 협상보다 사전에 보상 기준을 정한 버그바운티 프로그램이 필요하다는 주장이 나왔다.

에밀리 니콜(Emily Nicolle) 블룸버그 디지털 금융 기자는 크립토 브리핑에 게재한 분석에서 취약점 신고 절차와 보상 조건을 미리 정하면 보안 연구자의 신고를 유도하고 법적 불확실성을 줄일 수 있다고 주장했다.

리퀴드 네트워크에서는 9월 6일 연방 지갑에서 약 4000 BTC가 빠져나갔다. 당시 자금 가치는 약 3억2000만달러(약 4304억원)로 제시됐다.

체이널리시스는 거래 검증 소프트웨어의 취약점으로 담보되지 않은 L-BTC가 생성된 뒤 실제 비트코인(BTC)으로 교환됐다고 설명했다. 블록스트림은 사건 이후 네트워크 거래가 중단됐다고 밝혔다.

공격자는 비트코인 블록체인의 OP_RETURN 메시지를 통해 자신들을 ‘화이트햇’으로 표현했다. 취약점을 수정하고 모든 노드에 패치가 적용되면 자금을 반환하겠다는 메시지도 남겼다.

9월 7일에는 리퀴드 연방 주소로 3400 BTC가 돌아왔다. 앞선 보도에서 전한 것처럼 공격자 주소에는 약 598.5 BTC가 남았으며, 블록스트림과 리퀴드 네트워크는 이 자금이 사전에 합의된 보상인지 공개하지 않았다.

리퀴드는 실제 BTC를 담보로 L-BTC를 발행하는 비트코인 기반 레이어2 네트워크다. 블록스트림은 리퀴드를 디지털 자산 발행과 결제를 지원하는 비트코인 레이어2로 소개하고 있다.

이번 사건은 비트코인 자체의 프로토콜이 공격받은 사례가 아니라 리퀴드의 L-BTC 발행·상환과 거래 검증 과정에서 문제가 발생한 사례로 구분된다. L-BTC는 리퀴드 네트워크에서 비트코인을 담보로 발행되는 자산이다.

니콜의 주장은 사후 협상이 공격자에게 더 큰 보상을 요구할 수 있는 구조를 만들 수 있다는 데 초점이 맞춰져 있다. 취약점을 신고한 연구자는 사전에 정해진 보상을 받지만, 취약점을 직접 악용한 공격자는 자금 반환을 조건으로 더 큰 금액을 요구할 수 있다는 설명이다.

다만 적정한 버그바운티 보상 규모와 지급 조건은 정해지지 않았다. 남은 598.5 BTC가 공식적인 버그바운티 지급액인지, 반환 협상 과정에서 합의된 보상인지도 공개되지 않았다.

버그바운티 시장의 규모를 둘러싼 수치도 집계 기준에 따라 다르다. 크립토 브리핑은 Immunefi의 누적 지급액이 2026년 7월 1억4300만달러(약 1923억원)를 넘었다고 적었다.

반면 Immunefi 공식 페이지는 9월 8일 기준 누적 취약점 보상액을 1억2500만달러(약 1681억원)로 표시했다. 두 수치는 집계 시점과 대상이 달라 단순 비교하기 어렵다.

이번 사례에서는 공격자와 프로젝트 사이의 책임 범위도 쟁점이 됐다. 취약점을 발견해 신고한 행위와 자금을 이동·보유한 행위를 어디까지 보안 연구로 인정할지는 별도 판단이 필요한 사안이다.

블록스트림은 사건 이후 자사와 리퀴드를 사칭한 피싱 메시지가 확산하고 있다고 경고했다. 복구 문구나 PIN 입력, 자금 이동, 소프트웨어 설치를 요구하는 연락에는 응하지 말라고 밝혔다.

리퀴드 네트워크의 남은 자금 처리와 네트워크 재개 일정은 공개되지 않았다. 프로젝트가 이번 사건을 계기로 취약점 신고 경로와 보상 기준을 사전에 마련할지에 관심이 쏠린다.