비트코인 기반 자산 교환 서비스 사이드스왑(SideSwap)이 약 4,000 BTC 규모의 리퀴드 네트워크 자산 유출 사건과 관련해 자체 시스템 침해가 아닌 기반 소프트웨어 결함에서 비롯된 사고라고 밝혔다.

사이드스왑 설명에 따르면 한 이용자가 L-BTC를 비트코인으로 전환하는 페그아웃을 요청했고 시스템은 요청된 L-BTC를 정상적으로 소각한 뒤 비트코인 메인넷에서 3996 BTC를 지급했다. 당시 절차상으로는 유효한 L-BTC를 소각한 정상 출금 요청으로 인식됐다는 설명이다.

하지만 이후 블록스트림과 리퀴드 네트워크 관계자들이 거래를 확인한 결과, 출금에 사용된 L-BTC는 정상적인 비트코인 예치 과정을 거쳐 발행된 자산이 아니라 리퀴드 기반 소프트웨어인 엘리멘츠(Elements)의 결함을 이용해 비정상적으로 생성된 물량으로 파악됐다.

L-BTC는 비트코인과 1대 1로 연동되는 리퀴드 네트워크의 자산이다. 일반적으로 이용자가 비트코인을 리퀴드로 옮기면 이에 상응하는 L-BTC가 발행되고 다시 비트코인 메인넷으로 출금할 때는 L-BTC가 소각된다.

이번에는 실제 비트코인 담보 없이 생성된 것으로 추정되는 L-BTC가 정상 자산처럼 페그아웃 절차에 투입되면서 준비금에서 실제 BTC가 지급된 것으로 보인다.

사이드스왑은 리퀴드의 페그아웃 승인 키인 PAK(Peg-out Authorization Key)가 탈취되거나 유출된 것은 아니라고 강조했다.

사이드스왑 서버나 내부 시스템에 침입한 흔적도 발견되지 않았으며, 문제가 된 L-BTC는 사이드스왑이 아닌 엘리멘츠 소프트웨어의 결함을 통해 만들어졌다는 입장이다.

다만 이번 발표는 현재까지 확인된 내용을 토대로 한 사이드스왑 측의 설명이다. 결함이 발생한 구체적인 코드와 공격 방식, 비정상 L-BTC의 생성 시점, 3,996 BTC의 이동 경로와 회수 가능성 등에 대해서는 추가적인 기술 조사 결과가 나와야 한다.

사이드스왑은 비수탁형 서비스로 운영되기 때문에 이용자 지갑의 개인키를 직접 보관하지 않는다.

이에 따라 회사는 이용자가 개인키로 관리하는 지갑 자산에는 이번 사고의 직접적인 영향이 없다고 설명했다.

사이드스왑 공식 홈페이지 역시 이용자가 자신의 키를 직접 통제하는 비수탁형 지갑 구조를 안내하고 있다. 사이드스왑 공식 홈페이지

현재 리퀴드 네트워크는 추가적인 자산 유출을 방지하고 원인을 조사하기 위해 페더레이션 운영진에 의해 가동이 일시 중단된 상태다.

리퀴드는 블록 생성자와 비트코인 준비금 관리 주체로 구성된 페더레이션 방식으로 운영되며, 기반 소프트웨어로 엘리멘츠를 사용한다.

사이드스왑은 네트워크 중단으로 처리되지 않은 거래에 대해서는 전용 이메일을 통해 접수하면 별도로 대응하겠다고 밝혔다.

아울러 리퀴드 네트워크와 관련 서비스가 정상화되기 전까지 신규 입금과 출금 시도를 자제해 달라고 이용자들에게 당부했다.

이번 사고는 사이드스왑의 일반적인 서버 해킹이나 사용자 개인키 탈취 사건과는 성격이 다르다. 그러나 리퀴드에서 실제 비트코인과 1대 1로 교환될 수 있는 L-BTC가 담보 없이 생성됐다는 설명이 사실로 확인될 경우 사이드체인의 자산 발행 검증과 페그아웃 안전장치 전반에 대한 점검이 불가피할 전망이다.