Liquid Network 익스플로잇으로 약 4,000 BTC 유출

Liquid Network는 2026년 9월 6일 심각한 보안 익스플로잇을 겪었으며, 공격자는 이를 통해 약 4,000개의 담보 없는 LBTC를 생성할 수 있었습니다. Elements의 기밀 트랜잭션 range-proof 캐시 취약점으로 인해 유효하지 않은 트랜잭션이 Liquid의 15개 functionary 노드에서 합의 검사를 통과했습니다. 공격자는 SideSwap의 표준 peg-out 절차를 사용해 약 3,996 BTC를 인출했습니다. 추가 인출로 Liquid의 준비금은 약 4,205 BTC에서 197 BTC로 줄었고, 이후 브리지 노드가 중단되었습니다. 이 익스플로잇에는 불완전한 캐시 키와 길이 접두사를 누락한 후속 패치가 관련되어 있었으며, 이로 인해 조작된 바이트 충돌이 가능해졌습니다. Blockstream은 긴급 수정 사항을 배포하고 Elements v23.3.4를 출시했습니다. Liquid는 유효하지 않은 체인 기록을 제거한 뒤 9월 9일 통제된 블록 생성을 재개했지만, 복구 기간 동안 peg 작업은 계속 중단되었습니다. 협상 후 공격자는 3,400 BTC를 반환했으며, 약 602 BTC가 미회수 상태로 남았습니다. USDt와 DePix는 직접적인 침해를 받지 않았지만, 송금과 거래가 일시적으로 중단되었습니다. SideSwap의 온라인 서명 키, 자동 인출, 그리고 인출 한도·속도 제어·수동 검토의 부재는 브리지와 수탁 관리에 관한 추가 위험을 드러냈습니다. 이번 Liquid Network 사건은 LBTC 유동성, 크로스체인 결제 및 시장 신뢰에 계속 압력을 가할 수 있습니다.