Base, Reth 상태 루트 패치 43시간 만에 노드 수정 v1.5.3 배포

Reth v2.10.0에 반영된 고우선순위 수정

Reth가 어떤 경우 블록체인 노드가 잘못된 상태 루트, 즉 체인 전체 상태를 하나로 요약하는 해시 값을 갖게 만들 수 있는 버그에 대한 고우선순위 수정을 배포했고, Base는 목요일까지 자체 패치 노드 릴리스를 운영자에게 안내했다. 상태 루트는 이더리움 방식 체인이 자체 장부 기록을 증명하는 수단이다. 클라이언트가 이를 잘못 계산하면 해당 클라이언트는 다른 피어들과 어긋나고, 이를 구동하는 검증자는 나머지 네트워크가 거부하는 블록을 제안하거나 승인할 수 있다. 실행 클라이언트는 트랜잭션을 처리하고 잔액을 추적하는 소프트웨어 계층으로, 스택 전체의 최하단에 있기 때문에 여기서 발생한 계산 오류는 파급력이 크다. 수정 사항은 v2.10.0에 반영됐으며, 유지보수진은 블록을 생성하는 노드와 검증만 하는 노드를 모두 아우르는 전 영역에 걸쳐 이 업그레이드를 높은 우선순위로 평가했다. 어떤 운영자 유형도 정기 업데이트 시기를 기다리라는 안내를 받지 않았다. 근본 변경 사항은 11월 3일 21:00 UTC에 병합된 풀 리퀘스트 #28264를 통해 들어갔다. 이 병합 시점과 Base의 상태 공지 시점 사이의 간격은 약 43시간이다. Base는 11월 4일에 버그를 발견하고 같은 날 새 블록을 조립하는 머신인 자사 블록 빌더 전체를 패치했다. 이어서 운영자들에게 자체 노드 릴리스인 v1.5.3을 가리켰다. 이 릴리스는 Base 검증자가 잘못된 상태 루트 때문에 멈추는 가능성을 제거하며, 적용에 재동기화가 필요하지 않다고 밝혔다. Base는 OP Stack 위에서 운영되고 Reth의 OP Stack 빌드인 op-reth에 의존하는데, 보고된 장애는 바로 여기서 표면화됐다. 이 안내의 두 요소는 각각 의미가 있다. 업그레이드는 결함을 닫고, 재동기화 면제는 적용 비용을 바쁜 운영자에게 거의 0에 가깝게 유지한다.

Base 상태 루트 확인, 디파이 측 예방 조치

목요일 게시된 Base의 상태 공지는 사용자에 대한 안심과 운영자에 대한 지침이라는 두 메시지를 동시에 담았다. 첫째로, 체인은 상태 루트를 다시 계산했고 정확하다는 결론을 내렸다. “현재 상태 루트가 정확함을 검증했으며 사용자는 영향을 받지 않았다”는 공지 문구는 이번 사건을 둘러싼 FUD를 차단하기 위한 것이다. Base는 이 주장을 아키텍처로 뒷받침했다. 자사 증명 시스템은 모든 상태 루트를 별도 구현과 대조해 검증하므로, 실제 불일치가 있었다면 표시됐을 것이다. 이 독립 검증이 전면 정상 판정의 근거다. 둘째로, Base는 v1.5.3으로 이동할 것을 반복 요청했고 재동기화가 필요 없음을 확인했다. 반응은 체인 밖으로도 번졌다. Frax Finance는 LayerZero가 “예방 조치로 일부 크로스체인 경로를 잠시 중단했으며 곧 재개할 것”이라고 밝히고, 이 조치를 op-reth에서 보고된 사건과 연결 지으며 자사 자산과 스마트 계약은 영향받지 않았다고 말했다. LayerZero는 체인 간 자산 이동을 담당하므로, 이 중단은 해당 경로를 오가던 토큰 이동을 잠시 막았다. 리스크 관리 회사 Gauntlet은 출금은 열어 둔 채 자사 V1 볼트로의 신규 예치를 제한하고 할당을 일시 중단했으며 LayerZero 브리지 자산에 대한 노출을 줄여 나갔다. 보고된 해킹 사례는 알지 못한다고 밝혔고, 이 조치를 설명하는 게시물은 이후 삭제됐다. 출금을 남겨 둔 채 예치를 제한하는 것은 아직 시스템을 완전히 모델링하지 못한 리스크 담당 부서의 표준 대응이다. 한 거래소 뉴스 피드에 실린 Blockaid 게시물 요약은 이 결함을 공격이 아니라 노드 내부의 계산 버그로 묘사했고, 알려진 자금 손실은 없다고 밝혔다. 기존 코드에 머물러 있는 클라이언트는 정지하거나 잘못된 상태 증명을 내놓을 수 있다고 경고했다. 예방적 중단 조치들은 Kelp DAO의 2억 9,200만 달러 규모 rsETH 브리지 해킹에서 6개월 이상 지난 시점에 나왔다. LayerZero는 그 공격을 북한 라자루스 그룹에 돌렸으나, Reth 버그와 해킹을 연결한 것은 없다.

이번 사건은 단일 클라이언트 의존에 대한 스트레스 테스트로 읽힌다. 가장 붐비는 레이어 2 중 하나인 Base는 실행을 위해 하나의 Rust 클라이언트에 기대고 있으며, 그 계층의 결함은 기록된 해킹이 없었음에도 몇 시간 안에 브리지 운영자와 리스크 관리자 쪽으로 리스크를 밀어냈다. 아키텍처는 버텼다. 증명 시스템의 독립적 재계산이 사용자 피해가 표면화되지 않은 이유이고, 수정이 체인 포크가 아니라 클라이언트 릴리스 형태로 도착했기 때문에 v1.5.3은 적용에 재동기화가 필요하지 않았다. 릴리스 노트는 변경 사항을 명명하고 모든 운영자 유형에 대해 높은 우선순위로 평가하며 나머지를 설명한다. 이 이야기를 관통하는 숫자는 43시간이다. 상류 패치가 병합된 시점과 운영자에게 이동을 알린 공개 공지 사이의 간격이다.