1대1 복구된 리퀴드 비트코인(LBTC)…페더레이션 페그아웃 제한

리퀴드 페더레이션(Liquid Federation)은 9월 보안 사고 뒤 깨진 리퀴드 비트코인(LBTC)의 비트코인(BTC) 1대1 담보를 복구했지만, 페더레이션 자체 페그아웃은 여전히 제한돼 있다.

페더레이션은 3일 공식 공지에서 리퀴드 노드의 준비금 증명 기능이나 공개 대시보드로 준비금 상태를 확인할 수 있다고 안내했다. 애덤 백(Adam Back) 블록스트림(Blockstream) CEO는 앞서 사고 뒤 리퀴드의 1대1 담보·상환 구조를 복구할 방침이라고 밝혔다.

비트코인과 리퀴드 비트코인 간 교환은 참여 업체들을 통해 수주 전부터 재개됐다. 사이드스왑(SideSwap)은 자체 입금과 출금은 열렸지만 페더레이션 자체 페그아웃은 제한돼 있다고 밝혔다.

사이드스왑은 출금 대금을 업체 자체 비트코인 지갑에서 지급한다. 지갑 잔액을 수동으로 보충하기 때문에 잔고가 부족하면 요청이 대기열에 들어갈 수 있으며, 페더레이션 자체 페그아웃의 재개 시점은 정해지지 않았다.

리퀴드 네트워크(Liquid Network)는 비트코인을 별도 네트워크에서 쓰도록 만든 사이드체인이다. 이용자가 비트코인을 맡기는 페그인 때 같은 수량의 리퀴드 비트코인이 발행되고, 페그아웃 때는 리퀴드 비트코인을 소각한 뒤 비트코인을 내보낸다.

블록스트림은 페그아웃 과정에 별도의 오프체인 준비금 검사가 없으며, 사이드체인의 합의 검증이 올바르게 작동해야 1대1 뒷받침이 유지된다고 설명했다. 준비금 복구와 출금 경로의 재개는 별개의 단계다.

사고는 9월 6일 리퀴드 네트워크의 기반 소프트웨어인 엘리먼츠(Elements)의 범위증명 검증 캐시 취약점이 악용되면서 발생했다. 블록스트림의 사고 평가서는 공격자가 비트코인 담보 없이 리퀴드 비트코인 약 4000개를 만들었다고 기록했다.

사이드스왑을 거친 페그아웃으로 3,996.02 BTC가 빠져나갔다. 사고 전 약 4,205 BTC였던 준비금은 후속 일반 페그아웃까지 반영해 197 BTC로 줄었다.

공격자는 9월 7일 비트코인 3400개를 돌려줬다. 블록스트림은 9월 23일 사고 평가서에서 당시 미회수분을 약 602 BTC로 집계했다.

사이드스왑은 10월 27일 2.5 BTC가 페더레이션 지갑에 들어왔다고 밝혔다. 10월 28일에는 50 BTC가 입금됐다. 11월 2일에는 300 BTC와 250 BTC가 차례로 들어왔다.

사이드스왑이 공개한 입금액 합계는 602.5 BTC다. 이는 블록스트림이 9월 23일 집계한 당시 미회수분 약 602 BTC와 별도 집계이며, 페더레이션은 자금 제공 주체를 밝히지 않았다.

사이드스왑은 사고 당시 페그아웃 관련 키를 온라인에 두고 대량 주문 한도나 속도 제한을 적용하지 않았다고 인정했다. 약 4000개 규모의 주문을 자동 처리했으며, 자금이 들어온 지갑의 이력도 확인하지 않았다고 밝혔다.

블록스트림은 8월 초 보고된 첫 결함을 막으면서 캐시 키에 데이터를 직접 이어 붙이는 방식을 택했다. 이 과정에서 데이터 경계가 모호해지는 별도 결함이 남아 사람과 AI 보조 검토 모두 이를 놓쳤다고 밝혔다. 이후 엘리먼츠 v23.3.4는 길이 정보를 포함해 캐시 키를 구성하도록 수정됐다.

페더레이션은 거버넌스 구조를 현대화하고 책임과 감독 체계를 명확히 하며 기술·운영 보호책을 추가하겠다고 밝혔다. 세부 사항은 앞으로 몇 주 안에 공유할 예정이다.