이더리움(ETH) 개발진, 10월 19일 반려됐던 글램스터덤 예치 규칙 수정안 병합

글램스터덤을 앞두고 예치 규칙 재편

이더리움(ETH)의 다음 하드포크인 글램스터덤(Glamsterdam)에서 자금 탈취 경로가 될 뻔한 결함이 막혔다. 개발진이 예치 규칙 수정 패치를 병합하면서, 업그레이드를 준비 중인 클라이언트 팀들은 이제 수정된 규칙을 자사 소프트웨어에 반영하면 된다. 수정안은 10월 26일(월요일) 대기 중인 예치품의 정렬 방식을 다시 쓰는 풀 리퀘스트를 통해 합의 사양에 반영됐다. 새 규칙 아래에서 스테이킹 서비스가 검증인 활성화를 위해 보내는 자금을, 동일한 식별자를 빌더로 등록한 운영자가 가져갈 수 없게 된다. 결함의 위치는 글램스터덤이 아직 입금 처리 전인 예치품을 다루는 방식이었다. 운영자는 검증인이나 빌더에 묶인 식별자인 특정 공개키로 먼저 빌더 등록을 마칠 수 있다. 이어서 스테이킹 서비스가 같은 키로 검증인 시작을 위해 Ethereum (ETH)를 예치하면, 초안 규칙상 두 예치금 모두 빌더에게 귀속됐고 빌더는 프로토콜의 자금을 인출할 수 있었다. 검증인은 끝내 생성되지 않으므로 스테이킹 서비스는 돈을 회수하는 데 필요한 증명을 만들 도리가 없었다. 수정안은 예치품을 인출 자격 기준으로 정렬한다. 인출 자격은 예치금이 최종적으로 향할 곳을 정하는 설정으로, 같은 키를 빌더가 쓰고 있더라도 검증인 예치금은 검증인에게 남는다. 수정된 규칙은 이제 모든 클라이언트가 따르는 표준 사양의 일부다. 이번 위험은 이더리움 가격이나 기존 스테이킹 잔고에는 닿지 않았다. 초안 규칙 하에서 처리되는 예치품에 관한 문제였고, 보고된 손실도 없다.

결함의 문을 연 설계 선택은 글램스터덤의 핵심 그 자체다. 이번 업그레이드는 오늘날 하나의 역할에 묶여 있는 두 가지 일을 분리한다. 빌더는 거래 블록을 조립하고, 지분 증명 방식으로 ETH를 스테이킹해 네트워크를 지키는 검증인은 그 블록을 골라 확정한다. 양쪽 모두 ETH를 예치할 수 있고 자금은 별도로 추적되는 것이 원칙이며, 이것이 액상 스테이킹 제공사와 예치자의 자산을 지키는 장치다. 공격 시나리오는 연구원 avsetsin이 합의 사양 저장소의 이슈에서 공개했다. 그는 Lido, Origin, Rocket Pool이 받을 영향도 함께 살폈다. 노출 여부는 각 프로토콜이 예치금을 처리하는 방식에 달렸다. Lido의 깃허브 조직 멤버로 등록된 avsetsin은 이번 결과를 실제 악용이 확인된 사건이 아닌 조건부 코드 결함으로 규정했고, 이른 빌더 예치를 거부하는 기존 검증 절차가 실전에서 공격을 막을 수 있다고 덧붙였다. 핵심 사례에 대한 연구원의 요약은 뼈가 있었다. “운영자는 프로토콜의 자금을 인출할 수 있다.” 패치가 병합되기까지의 길은 순탄하지 않았다. 이더리움 합의 사양을 관리하는 Justin Traglia는 10월 19일 제안된 수정안을 닫았고, 당시엔 클라이언트 측 지원이 부족하다는 취지의 글을 남겼다. 클라이언트는 검증인이 네트워크에 참여하기 위해 실행하는 별개의 소프트웨어 프로그램이다. 풀 리퀘스트는 추가 검토 끝에 다시 열렸고, avsetsin이 10월 23일(금요일) 테스트를 보탰으며, Traglia는 첫 반려에서 정확히 일주일 뒤인 월요일 수정안을 병합했다.

클라이언트 작업과 후디 연기

무엇을 고쳤는지만큼 어떻게 반영됐는지도 중요하다. 글램스터덤은 이미 세폴리아 테스트넷에서 구동된 바 있다. 그러나 두 번째 테스트 네트워크인 후디(Hoodi)에서의 10월 26일 실행은 연기됐다. 예치 규칙 변경이 같은 날 사양에 들어간 점을 보면, 개발진은 알려진 예치 귀속 결함을 안고 업그레이드를 내보내는 대신, 연기를 활용해 또 다른 공개 리허설 전에 수정안을 안착시킨 것으로 읽힌다. 남은 과정은 구현이다. 합의 사양 병합은 목표치를 정한 것이고, 메인넷 일정을 논하려면 클라이언트 팀이 새 정렬 규칙을 자사 소프트웨어에 먼저 구축해야 한다. 수정된 예치 처리를 실은 클라이언트 릴리스가 나오기 전까지 글램스터덤의 일정은 클라이언트 개발자의 손에 있으며, 재조정되는 후디는 메인넷 앞에서 이 변경을 전체 네트워크 규모로 리허설할 기회를 준다.