블록스트림은 리퀴드 사이드체인을 탈취한 공격자들에게 대가를 지급하지 않기로 했습니다. 이같은 거절은 자칭 화이트햇 해커들에게 자신들이 빼앗은 일부를 인정해주는 암호화폐 업계의 관행과 결별하는 조치입니다.
리퀴드는 블록스트림이 구축한 네트워크입니다. 이용자가 비트코인(BTC)을 예치하면, 더 빠르게 전송할 수 있는 동일 수량의 토큰을 받습니다. 공격자들은 9월 6일 소프트웨어 결함을 이용해 약 4,000 BTC를 빼갔습니다.
화이트햇 해커들이 보상을 기대하게 된 이유
이 결함으로 공격자들은 실제 비트코인이 없는 리퀴드 토큰을 새로 만들었고, 이 토큰을 외부로 전환할 수 있었습니다. 연합 서명키는 탈취되지 않았습니다. 그래서 리퀴드에서 자금이 빠져나가는 거래는 정상적으로 승인되었습니다.
이후 블록스트림이 소프트웨어를 수정하자, 공격자들은 3,400 BTC를 반환했습니다. 그리고 과거 시점의 버그바운티(보상금)를 요구했습니다. 이들은 598.5 BTC, 즉 현재 비트코인 가격 기준 약 4,600만 달러 상당을 남겼습니다.
이 같은 요구는 업계의 시나리오를 따랐습니다. 2022년, 1억 9,000만 달러를 도난당한 다리 프로젝트 노마드는 해커들에게 남은 자금의 반환을 조건으로 10%를 공개 제안했습니다. 이후 여러 프로젝트가 이 방식을 따라 했습니다.
블록스트림: 화이트햇 범주에 해당하지 않는다
블록스트림은 공식 발표문에서 오픈소스 개발자가 네트워크에서 보유하고 있는 지분보다 훨씬 큰 금액을 보상으로 지급해서는 안 된다고 밝혔습니다.
“허가 없이 자산을 가져가고 반환을 미루는 것은 범죄입니다. 이는 책임 있는 정보 제공이 아닙니다. 화이트햇 활동이 아닙니다. 이것은 절도입니다.”
레저 최고기술책임자인 샤를 길레메는 며칠 전 화이트햇 주장에 의문을 제기했습니다. 그는 “브리지를 모두 비우고 이후 연락을 요구하는 공격자는 보안 연구를 하는 것이 아니다”라고 주장했습니다.
블록스트림만 거부한 것은 아닙니다. 크라켄은 2024년 보안 연구자들이 300만 달러를 빼내어 반환 조건으로 금액을 제시한 후 이들을 협박으로 고발했습니다.
비인크립토는 9월 7일 자금 일부가 반환되었음에도 약 600 BTC가 남아 있다고 보도했습니다. 이 차이는 해소되지 않았으며, 블록스트림은 만일 비트코인이 영영 돌아오지 않을 경우 누가 손실을 감당하는지 공개하지 않았습니다.
이제 회수 여부는 수사 기관, 거래소, 그리고 행위자를 찾기 위한 온체인 분석에 달렸습니다. 보상 거부가 끝까지 유지될지 여부는 다음 공격자가 무엇을 요구할지에 영향을 미칠 것입니다.
kr.beincrypto.com 에서 Lockridge Okoth의 원본 기사 블록스트림, 화이트햇 해커 기대 10% 거부 읽기