이더리움 재단, 글램스터담 업그레이드 시 깨질 불변식 8개 경고

EIP-8037과 EIP-8038, 가스 요금 분리

이더리움 재단은 11월 6일, 다음 대형 업그레이드 글램스터담의 규격 변경이 자신들의 프로젝트에 미치는 영향을 검증해 달라고 배포자와 감사자들에게 직접 요청했다. 요청을 뒷받침하기 위해 재단은 참고 자료도 함께 공개했다. 이 자료는 규격 변경으로 무효화되는 여덟 개의 불변식, 즉 실행 중인 코드가 암묵적으로 전제하는 조건을 목록화하고, 각 항목마다 조건이 무엇인지, 왜 더 이상 성립하지 않는지, 실무에서 그 전제가 어디에 나타나는지를 짚어준다. 쟁점은 두 개의 이더리움 개선 제안으로 좁혀진다. EIP-8037은 체인에 새로운 상태를 생성할 때의 가스 비용을 바꾸고, EIP-8038은 이미 존재하는 상태에 접근하는 비용을 조정한다. 여기서 상태란 계정 정보와 저장된 스마트 컨트랙트가 보유한 데이터 전부를 뜻한다. 이더리움에서 가스 수수료는 트랜잭션이나 컨트랙트 실행이 소모하는 연산 자원을 측정하는 척도다. 단순 송금부터 중첩된 컨트랙트 호출까지, 네트워크의 모든 연산은 이 예산 안에서 지출된다. EIP-8037의 변화는 단순한 요금 재조정을 넘어선다. 지금은 하나의 통합 한도에서 끌어 쓰는 가스를, 상태 생성에 쓰는 가스와 일반 처리에 쓰는 가스로 분리해 별도의 계량 버킷을 도입한다. 요컨대 지금 하나의 숫자가 커버하던 두 자원을 각각 가격을 매기는 셈이다. 따라서 이번 변경은 연산에 필요한 가스량과, 실행 도중 실패했을 때 남는 가스량 양쪽 모두를 흔들 수 있다. 위험은 바로 이 두 번째 효과에서 실행 중인 코드에 닿는다. 자료의 초점은 이미 배포된 컨트랙트다. 바뀐 규칙은 초안이 아니라 실제 가동 중인 코드에 적용되기 때문이다. 여덟 가지 조건 중 하나에 의존하는 부분을 발견한 개발자와 감사자는 재단에 직접 연락하라는 안내를 받았다. 이 요청이 나온 시점에 이더리움(ETH) 가격은 지난 24시간 동안 5.1% 하락했지만, 접촉의 배경은 시장 방향이 아니라 업그레이드 일정 자체다.

보안 업체 ChainSecurity는 이미 위험을 추적한 바 있다. 이 회사가 10월 13일 화요일에 공개한 기술 분석은 특정 불변식이 유지된다고 전제하는 프로젝트 여럿을, 바뀐 규격 아래 취약해질 수 있는 대상으로 지목했다. 구체적인 실패 양상은 외부 호출, 즉 조합 가능한 시스템이 상호작용할 때 의존하는 메커니즘에서 나온다. 지금은 외부 컨트랙트 호출이 가스 부족으로 실패하면 이어지는 연산도 완료되지 못하고 트랜잭션 전체가 되돌려진다. 그러나 제안된 규격에서는 실패한 호출이 재시도 불가능한 상태로 남은 채, 이후 연산이 완료될 수 있다. 결과적으로 컨트랙트는 작성자가 계획한 적 없는 상태에 놓인다. 재단이 새로 만든 저장소는 글램스터담이 깨뜨릴 여덟 개의 불변식을 기록하고, 각 항목에 설명과 실제 예시, 자신의 프로젝트를 점검할 때 돌려볼 수 있는 체크 항목을 함께 실었다. 한편 테스트넷 후디에서의 글램스터담 지연은 새로운 소식이 아니다. 10월 22일 목요일, 재단은 EIP-8037이 메인넷 컨트랙트와 상호작용하는 방식에 대한 추가 검토가 필요하다는 이유로, 10월 26일 월요일로 처음 정해졌던 활성화를 연기했다. 대체 일정은 아직 없으며, 미해결 질문이 정리될 때까지 업그레이드는 보류된 상태다. 영향 검토는 ChainSecurity와 감사 업체 Dedaub의 지원으로 진행되고, 두 업체는 바뀐 규칙이 기존 배포물에 어떻게 작용하는지 살펴보고 있다. 재단의 내부 감사도 함께 이뤄지지만, 재단 스스로 모든 프로젝트를 조사할 수는 없다고 인정했다. 특히 온체인 컨트랙트와 짝을 이루는 오프체인 코드가 사각지대다. 결정은 AllCoreDevs 개발자 콜이 내린다. 그 전에 활성화 이후 무엇이 멈출지, 그리고 이를 막을 수 있는 규격 대안이 무엇인지 목록화가 먼저 필요하다. 재단은 그 콜이 결론을 내리기 전까지는 규격의 어떤 것도 확정된 바 없다고 강조했다. 글램스터담 다음 업그레이드인 헤고타 작업은 병행되고 있으며 영향을 받지 않는다.

AllCoreDevs 결정 기점

EIP-8037의 핵심인 가스 분리는 가상 머신 자체의 회계 방식 변경이다. 재단이 이를 일상적인 파라미터 조정이 아니라 프로토콜 수준의 위험으로 다루는 이유다. 배포자 입장에서는 여덟 개의 불변식을 담은 저장소가 추상적인 논쟁을 점검 목록으로 바꿔준다. 팀은 판정을 기다리는 대신, 이름이 붙은 여덟 가지 조건에 자신들의 전제를 대조해볼 수 있다. 한계는 커버리지다. 재단 스스로 인정하듯 온체인과 오프체인 코드 전부를 샅샅이 훑는 것은 불가능하다. 다음 고정점은 AllCoreDevs 회의다. 거기서 결정이 나오려면 파손 목록과 규격 대안이 모두 상의에 올라야 한다.