리퀴드 네트워크

1.구조#

리퀴드는 비트코인 본체와 따로 돌아가는 블록체인이다. 채굴 대신 연합에 참여한 기업들이 운영하는 '펑셔너리' 노드가 블록을 만들고 서명한다. 비트코인 쪽 예치금도 이 연합이 다중서명으로 관리한다.

비트코인을 리퀴드로 옮기는 과정을 페그인, 되돌리는 과정을 페그아웃이라고 한다. 이용자가 비트코인을 연합 주소로 보내면 같은 양의 L-BTC가 리퀴드에서 발행되고, L-BTC를 되돌려 보내면 연합이 비트코인 주소로 BTC를 내준다. L-BTC 한 개가 BTC 한 개의 값을 가지려면 발행된 L-BTC 전량이 연합이 보관한 BTC로 뒷받침돼야 한다.

리퀴드는 블록스트림이 공개한 오픈소스 소프트웨어 엘리먼츠 위에서 돌아간다. 거래 금액과 자산 종류를 가리는 기밀 거래가 기본이고, L-BTC 말고도 다른 자산을 발행할 수 있다.

2.2026년 9월 무담보 L-BTC 발행 사건#

2026년 9월 6일 리퀴드에서 비트코인 담보가 없는 L-BTC 약 4000개가 만들어진 뒤 비트코인으로 빠져나갔다. 블록스트림이 9월 23일 작성하고 리퀴드 블로그가 9월 25일 공개한 사고 평가 보고서에 따르면 원인은 리퀴드의 기반 소프트웨어 엘리먼츠의 레인지 프루프 검증 캐시였다. 2018년 4월부터 있던 첫 결함(캐시 키에 자산 커밋먼트와 scriptPubKey가 빠짐)은 8월 2일 외부 연구자가 보고해 8월 3일 내부 수정됐다. 그런데 이 수정이 필드를 길이 표시 없이 이어 붙이면서 두 번째 결함이 생겼고, 수정 코드는 9월 1일 엘리먼츠 저장소에 공개됐다. 공격 거래는 9월 6일 13시 53분(UTC) 리퀴드 블록 4,050,336번에 들어갔고, 연합은 14시 28분 비트코인 체인에서 3996.02 BTC를 내보냈다. 연합 준비금은 약 4205 BTC에서 197 BTC로 줄었다. 빠져나간 비트코인은 당시 시세로 약 3억2000만달러어치였다. 오데일리는 인출 규모를 약 3998.5 BTC로 전했다.

사이드스왑은 9월 6일 공개한 설명에서 한 고객이 한국시간 9월 6일 오후 11시 5분 4000 L-BTC를 페그아웃 서비스로 보냈고, 23분 뒤 리퀴드 연합이 그 고객의 비트코인 주소로 3996 BTC를 지급했다고 밝혔다. 사이드스왑은 "해당 시스템이 정상적으로 발행된 L-BTC와 취약점으로 만들어진 L-BTC를 구분하지 못했다"고 설명했다. 리퀴드 네트워크도 X 게시물에서 출금에 쓰인 사이드스왑의 페그아웃 인증키가 탈취된 것은 아니라고 밝혔고, 평가 보고서 역시 그 키가 탈취·위조되지 않았다고 결론지었다. 다만 보고서는 사이드스왑이 연합 헌장과 달리 서명 키를 온라인에 두고 금액 한도나 이력 확인 없이 자동으로 처리했다고 지적했다.

블록스트림은 9월 6일 18시 26분(UTC) 브리지 노드를 멈추고 네트워크를 정지했으며, 20시 25분(한국시간 9월 7일 새벽) 사고를 공개했다. 블록스트림은 브리지 노드가 패치돼 자금을 돌려줘도 된다는 온체인 메시지를 보냈다. 스스로를 화이트해커라고 주장한 공격자는 9월 7일 16시 9분(UTC) 3400 BTC를 리퀴드 연합 지갑으로 돌려보냈다. 평가 보고서는 회수 대상으로 약 602 BTC를 집계했다. 공격자 주소에 남은 잔액은 약 598.5 BTC로 보도돼, 집계 시점과 반올림에 따라 차이가 있다. 리퀴드 측이 남은 비트코인을 공식 버그바운티로 인정했는지는 2026년 9월 9일 기준 확인되지 않았다. 서틱(CertiK)은 피해액을 약 3억1867만달러, 이 가운데 반환되거나 동결된 금액을 약 2억7060만달러로 집계했다.

복구는 단계적으로 진행됐다. 블록 생성은 9월 9일 고친 체인에서 재개됐고, 거래는 9월 10일 19시 55분(UTC) 다시 열렸다. 리퀴드 네트워크는 9월 17일 공지에서 L-BTC 전송과 생태계 서비스는 정상적으로 돌아가지만 L-BTC를 비트코인으로 되바꾸는 페그아웃은 계속 멈춰 있다고 밝혔다. 재개 조건으로는 L-BTC의 1대1 비트코인 담보 확인, 필요한 소프트웨어 갱신과 시험, 독립 보안 검토 완료를 들었고 날짜는 정하지 않았다. 9월 말에는 엘리먼츠 v23.3.4의 외부 보안 감사를 시작하고, 연합이 페그아웃 승인 키 목록(PAK)을 갱신하고 있다고 밝혔다. 페그아웃 중단은 10월 11일 기준 35일째 이어졌다.

리퀴드 네트워크는 비트코인 스왑 기능을 복구했으나 페그아웃은 동결 상태를 유지하고 있다고 밝혔다(보도 기준). 보도에 따르면 L-BTC 준비금은 발행량의 약 85.8%를 충당하며 부족분은 약 603BTC로 집계됐다.

3.지금#

리퀴드 네트워크는 2026년 9월 9일 레인지 프루프 검증 캐시 취약점에 대응하는 엘리먼츠 v23.3.4 패치를 배포하고 있다고 밝혔다. 이 패치는 검증 캐시 키를 강화했다. 리퀴드 네트워크는 펑셔너리 노드와 전체 리퀴드 노드 운영자에게 즉시 업데이트하라고 권고했다. 이 버전은 비트코인 레드팀(Bitcoin Red Team)이 취약점을 보고한 뒤 나왔다.

레인지 프루프는 기밀 거래에서 가려진 금액이 음수가 아니고 정해진 범위 안에 있음을 증명하는 데이터다.

4.연표20건