'비트코인을 반환하라': 블록스트림, 4,000 BTC 해킹 사건에 선을 긋다

약 4,000 BTC가 남아 있지만, 대부분은 회수되었다

이 모든 사건은 9월 6일, 이미 그 자체만으로도 충분히 이상하게 들리는 일로 시작되었습니다. 블록스트림의 리퀴드 네트워크(Liquid Network)에 연결된 준비금에서 거의 4,000 BTC가 사라졌고, 이를 저지른 사람들은 즉시 비트코인 블록체인에 자신들이 “화이트햇(whitehats)”이라고 발표했습니다. 그러자 상황은 더욱 이상해졌습니다.

이 그룹은 OP_RETURN 메시지가 포함된 소액의 비트코인 거래를 통해 블록스트림과 소통하기 시작했고, 사실상 블록체인을 공개 게시판으로 변모시켰다. 일련의 공개 및 암호화 된 교환을 거친 후, 이 그룹은 3,400 BTC를 반환했다.

하지만 약 598.5 BTC는 돌려주지 않았다. 바로 그 지점에서 이야기는 완전히 궤도를 이탈했다.

10%의 현상금이 최후통첩으로 변모하다

이 단체는 나머지 비트코인을 단순히 반환하는 대신, 블록스트림이 자체 자금을 사용하여 10%의 현상금을 지급할 것을 요구했습니다. 또한 이 요구를 거부할 경우 리퀴드(Liquid) 보유자들이 15%의 손실을 입을 수 있다고 경고했습니다. 이를 단순한 취약점 공개라고 부르기는 점점 더 어려워졌습니다.

화이트햇 연구원들은 일반적으로 보안 결함을 발견해 보고하고, 정해진 절차를 통해 보상금을 협상합니다. 그러나 이번 사건에서는 약 600 BTC가 억류된 채로 지불이 요구되고 있었습니다. 블록스트림은 이제 이 두 가지 상황을 완전히 다르게 인식하고 있음을 분명히 밝혔습니다.

“블록스트림은 도난당한 자금을 되찾기 위해 몸값을 지불하지 않을 것”이라고 회사는 9월 11일 X를 통해 강조했다. “허가 없이 자산을 빼앗고 반환을 거부하는 것은 범죄이지, 책임 있는 공개가 아니다.”

블록스트림, “비트코인 보유자들이 비용을 부담하지 않을 것”

이 회사는 또한 리퀴드(Liquid) 사용자들이 요구를 충족시키기 위해 손실을 감수해야 한다는 주장도 일축했다. “비트코인은 실물 화폐이며 비용 없이 발행될 수 없으며, 비트코인은 몸값을 지불하기 위해 사용자에게 손실을 전가하지 않는다”고 블록스트림은 밝혔다. 이 문장은 분쟁의 재정적 핵심을 짚고 있다. 결국 반환되지 않은 약 600 BTC에 대한 책임을 누군가는 져야 한다. 블록스트림의 입장은 사용자들이 이를 빼앗아 간 사람들에게 지급되는 몸값을 사실상 부담해서는 안 된다는 것이다. 이 회사는 이전 협상이 해커들의 조건을 수용했기 때문이 아니라 사용자 자금을 회수하기 위해 선의로 진행되었다고 밝혔다.

보안 경고가 사태에 또 다른 변수를 더하다

이 사건에는 또 다른 복잡한 문제가 얽혀 있다. 비트코인 레드팀(Bitcoin Red Team)의 공동 리더인 칼레(Calle)는 자신의 팀이 공격이 발생하기 전에 블록스트림에 해당 취약점에 대해 경고했다고 주장하며, “레드팀의 이메일을 무시하는 데 600 BTC가 들었나 보다”라고 비꼬았다.

전 블록스트림 최고 보안 책임자(CSO)인 삼손 모우는 이메일을 무시한 적이 없다고 반박했다. 상반된 주장은 아직 완전히 조율되지 않았으며, 비트코인 레드 팀은 블록스트림이 사후 분석 보고서를 발표한 후 공개 절차에 대한 자체 입장을 공개할 계획이라고 밝혔다.

따라서 블록스트림은 현재 두 가지 논쟁을 동시에 치르고 있다. 하나는 공격 발생 전의 상황이고, 다른 하나는 그 이후 비트코인의 향방이다. 약 600 BTC의 손실 외에도, 이 회사는 이번 사건 전체로 인한 평판 악화와 맞서야 했으며, 이는 순식간에 대외 홍보 재앙으로 번졌다.

한 X 사용자는 블록스트림의 최근 요구에 대해 “질 낮은 코드를 작성하면 심각한 문제가 발생한다”고 답글을 남겼다. “비트코인은 설계상 허가 없이 누구나 참여할 수 있다. 이제 와서 엉터리 코드로 일을 그르쳤다고 당국에 울며 호소하지 마라,"라고 해당 계정은 덧붙였습니다. "블록스트림은 자신들에게 3,400 BTC를 준 사람을 배신함으로써 스스로 발등을 찍고 있다,"라고 또 다른 X 계정이 썼습니다. 이 사용자는 다음과 같이 덧붙였습니다:

“다음에 리퀴드(Liquid) 자금이 고갈되면, 그들은 코인의 100%를 가져갈 것이다. 그렇게 인색하게 굴지 말고 너희가 저지른 망친 일에 대해 책임을 져라.”

블록스트림, 훨씬 더 대규모 사냥을 예고

블록스트림의 최근 메시지는 두 번째 질문에 대해 거의 의심의 여지를 남기지 않습니다.

자금이 반환되지 않을 경우, 회사는 법 집행 기관, 거래소, 서비스 제공업체, 포렌식 전문가 등과 협력하여 비트코인의 행방을 추적하고 책임자를 규명할 계획이라고 밝혔다. 또한 회사는 600 BTC에 가까운 금액을 사라지게 하려는 이들에게 불리한 한 가지 특징을 지적했다. 바로 비트코인 거래는 영구적인 공개 기록을 남긴다는 점이다.

원래 스스로를 ‘화이트 햇(White Hat)’이라고 칭했던 그룹에게 있어, 이 상황은 단순한 버그 보고 단계에서 한참 멀어져 버렸다. 약 4,000 BTC가 사라졌다. 대부분은 돌아왔지만, 수백 BTC는 돌아오지 않았다. 그리고 남은 요구에 대한 블록스트림의 답변은 이제 단 네 단어로 요약된다:

“비트코인을 반환하라.”