훔친 비트코인 4,000개 중 3,400개를 돌려준 해커, 블록체인 데이터에서 확인

비트코인을 훔친 해커가 대부분을 돌려줬는데, 그 과정이 전부 블록체인에 남았습니다. 해커와 회사가 주고받은 메시지, 돈이 오간 거래, 심지어 얼마를 떼고 돌려줬는지까지 누구나 열어볼 수 있습니다.

SNS에서는 “2026년 최고의 막장 드라마”라는 반응과 함께 반환 사실이 요약돼 돌았습니다. 블록 번호, 반환 금액, 협상 방식까지 구체적인데 그만큼 곧이곧대로 믿기 어렵습니다. 그래서 반환 거래를 직접 열어 하나씩 대조했습니다. 결론부터 말하면 핵심 내용은 대체로 맞습니다.

무슨 일이 있었나

2026년 9월 6일, Blockstream이 운영하는 Liquid 네트워크에서 비트코인 약 4,000개가 빠져나갔습니다. 당시 시세로 약 3억 2,000만 달러, 우리 돈 4천억 원이 넘습니다.

Liquid는 비트코인을 담보로 맡기면 같은 양의 L-BTC라는 토큰을 발행해 주는 서비스입니다. 비트코인 본체인보다 빠르고 저렴하게 송금하거나 거래할 수 있게 해주는 별도 네트워크입니다. L-BTC를 반납하면 맡겼던 비트코인을 돌려받습니다.

공격자는 Liquid를 돌리는 소프트웨어(Elements)의 허점을 파고들었습니다. 담보가 없는데도 L-BTC를 만들어 낸 뒤, 그것을 정상적인 반납 요청처럼 꾸며 진짜 비트코인으로 바꿔 간 것입니다. 준비금 지갑에는 200개 남짓만 남았습니다.

빠져나간 비트코인은 한 주소로 모였습니다. 이 주소를 거래 조회 사이트에서 열어보면 잔액이 한 번에 약 4,000개까지 치솟았다가, 3,400개를 돌려보낸 뒤 598개 수준으로 뚝 떨어진 흐름이 그대로 보입니다.

빠져나간 비트코인이 모인 공격자 주소. 잔액이 약 4,000개에서 598개로 떨어진 계단 모양이 반환 시점을 보여준다. 이미지 출처 : mempool.space

비트코인 자체가 뚫린 것은 아닙니다. 비트코인 본체인은 그대로입니다. 문제가 생긴 곳은 Liquid라는 별도 계층으로, 15곳의 운영 주체가 함께 서명해야 출금이 승인되는 구조입니다. 이번엔 서명 키를 훔친 게 아니라, 소프트웨어 버그 때문에 규칙상 유효해 보이는 가짜 거래가 만들어졌고 운영 주체들이 정상 출금으로 보고 서명해 버렸습니다. 이 소프트웨어가 2년 넘게 업데이트되지 않았다는 지적도 나왔습니다.

Liquid는 이상을 감지한 직후 네트워크를 멈췄고, 거래소들도 L-BTC 입출금을 막았습니다.

협상 창구는 블록체인이었다

공격자는 돈을 빼낸 직후 비트코인 거래에 메시지를 실어 보냈습니다. “우리는 화이트햇(선의의 해커)이다. 블록체인으로 연락하라”는 내용이었습니다.

이후 대화는 전부 비트코인 블록체인 위에서 오갔습니다. 비트코인 거래에는 짧은 메모를 붙일 수 있는 칸이 있는데(OP_RETURN), 여기에 문장을 적어 보내는 방식입니다. 이메일이나 메신저와 달리 누구나 볼 수 있고, 지울 수 없고, 보낸 사람을 속일 수 없다는 점 때문에 협상 채널로 쓰였습니다.

• Blockstream이 회사 보안팀 이메일 주소를 적어 보내며 대화를 시작했습니다.
• Blockstream이 보낸 메시지에는 모두 전자서명(PGP)이 붙었습니다. 사칭이 아니라 진짜 회사가 보낸 것임을 공격자가 확인할 수 있게 한 장치입니다.
• 일부 메시지는 지갑 프로그램 Electrum이 쓰는 방식으로 암호화해 주고받았습니다.
• 공격자가 “대부분을 특정 주소로 돌려보내는 중인데 괜찮으냐”고 묻자, Blockstream이 서명과 함께 “그렇다, 고맙다”고 답했습니다.
• 마지막으로 Blockstream이 “버그를 고쳤고 이제 돌려줘도 안전하다”는 서명 메시지를 올렸고, 곧 반환 거래가 실행됐습니다.

메시지가 정확히 몇 번 오갔는지 공식 집계는 없지만(SNS 요약은 11번이라고 셈), 갤럭시디지털의 애널리스트 알렉스 손 등이 시간 순서대로 정리해 공개했습니다.

반환 거래 확인하기

반환은 2026년 9월 7일 오후 4시 9분(세계표준시), 한국 시간으로 9월 8일 새벽 1시 9분에 블록 965950에 기록됐습니다.

반환 거래가 담긴 블록 965950. 채굴한 곳은 채굴 풀 Foundry USA다. 이미지 출처 : mempool.space

거래 상세를 열어보면 떠도는 숫자가 그대로 나옵니다.

반환 거래 상세. 수수료를 아주 낮게 내고 보낸 뒤 mempool.space의 가속 서비스로 밀어 넣어 25분 만에 처리됐다. 이미지 출처 : mempool.space

수수료는 1,768 사토시, 미화로 2달러가 채 안 됩니다. 3억 달러를 옮기면서 수수료는 커피 한 잔 값도 안 낸 셈입니다. 대신 mempool.space가 운영하는 유료 가속 서비스에 692 사토시를 얹어 처리 순위를 올렸고, 25분 만에 블록에 들어갔습니다. 채굴한 곳은 Foundry USA입니다.

돈이 나간 곳은 두 군데입니다.

출금은 두 갈래로, 3,400개는 페더레이션 주소로 돌아갔고 598.49955894개는 공격자 주소에 남았다. 이미지 출처 : mempool.space

• 3,400개 : 공격자가 처음 돈을 빼낸 그 주소, 즉 Liquid 준비금 주소로 지목된 곳으로 반환.
• 598.49955894개 : 공격자 주소에 그대로 남김. 당시 시세로 약 4,700만 달러, 빼낸 돈의 약 15%.

둘을 합치면 약 3,998개로, 처음 빠져나간 양과 거의 같습니다.

떠도는 요약, 어디까지 맞나

SNS에 퍼진 내용	확인 결과
Foundry가 블록 965950을 채굴	맞음. mempool.space에서 채굴자 Foundry USA로 확인
준비금 주소로 3,400개 반환	맞음. 출금 내역에 정확히 3,400개
공격자가 598.5개 보유	맞음. 598.49955894개가 공격자 주소로
빼낸 뒤 27시간 만에 반환	대체로 맞음. 9월 6일 유출, 9월 7일 오후 반환. 하루하고 한두 시간
전자서명(PGP) 사용	맞음. Blockstream 메시지에 모두 서명
Electrum 방식 암호화	맞음. 일부 메시지에 사용
mempool.space 가속 서비스 사용	맞음. 가속 수수료 692 사토시
메시지 11번 왕복	일부만 확인. 여러 번 오간 건 맞지만 공식 집계는 없음

이 해커를 화이트햇이라 불러도 되나

SNS와 일부 기사는 공격자를 화이트햇이라고 부릅니다. 그런데 그 표현은 공격자가 스스로 메시지에 적은 것입니다.

Blockstream도 Liquid도 이번 일을 버그 신고 포상(버그 바운티)이라고 인정한 적이 없고, 사전에 허가된 보안 점검도 아니었습니다. 돈을 대부분 돌려준 건 다행이지만, 허락 없이 3억 달러를 빼돌린 뒤 15%를 떼고 돌려주면서 스스로 선의의 해커라고 부르는 것과, 남들이 그렇게 인정해 주는 것은 다릅니다.

남긴 598.5개가 비공식 수고비인지, 협상이 아직 안 끝난 것인지도 분명하지 않습니다.

아직 남은 문제

서비스 재개 : Blockstream은 버그를 고쳤다고 밝혔습니다. 돌아온 3,400개로 담보를 상당 부분 회복할 수 있지만, 빈 598.5개를 어떻게 채울지는 정해지지 않았습니다.

Liquid 구조의 약점 : 키를 훔친 게 아니라 소프트웨어 버그로 가짜 거래가 통과된 사건입니다. 여러 곳이 함께 서명하는 구조라도 코드에 구멍이 있으면 막지 못한다는 점, 그리고 그 코드가 오래 방치됐다는 점이 다시 지적됐습니다.

협상 방식의 선례 : 변호사도 법정도 없이 블록체인 메시지만으로 3억 달러 반환을 조율한 사례가 공개적으로 남았습니다. 비슷한 사건에서 참고될 가능성이 큽니다.

자주 묻는 질문

내 비트코인은 안전한가요?

이번 일은 Liquid 네트워크와 L-BTC에 한정됩니다. 일반 비트코인 지갑에 있는 비트코인은 영향받지 않습니다.

전액 돌아온 건가요?

아닙니다. 약 4,000개 중 3,400개가 돌아왔고, 598.5개는 공격자가 아직 갖고 있습니다.

협상 내용을 어떻게 다 볼 수 있나요?

비트코인 거래에 붙는 메모 칸에 메시지를 적어 주고받았기 때문입니다. 이 기록은 블록체인에 영구히 남아 누구나 거래 조회 사이트에서 확인할 수 있습니다.

화이트햇이면 처벌을 안 받나요?

허락 없이 남의 시스템에 침입하면 스스로 화이트햇이라 불러도 법적 책임을 피하기 어렵습니다. 돈을 돌려준 것과 형사 책임은 별개입니다.

정리

SNS에 퍼진 요약은 표현을 좀 걷어내면 사실관계가 맞습니다. 블록 965950, 3,400개 반환, 598.5개 잔류, 전자서명, 가속 서비스까지 모두 블록체인에서 그대로 확인됩니다.

다만 훈훈한 결말로 보기엔 이릅니다. 2년 넘게 방치됐던 코드, 여전히 공격자에게 있는 4,700만 달러, 재개 시점이 불투명한 서비스가 남아 있습니다.