Paradigm CTO, 이더리움(ETH) 상태 루트 버그 수정한 Reth v2.10.0 배포

Reth v2.10.0, 상태 루트 결함 수정

투자회사 Paradigm의 최고기술책임자 Georgios Konstantopoulos가 자신의 팀이 유지보수하는 이더리움(ETH) 실행 클라이언트 Reth의 버그 수정분을 공개했다. 그는 11월 5일 게시한 공지에서 수정 프로그램이 Reth 생태계 전반에 배포됐다고 밝히고, 해당 클라이언트에 의존하는 모든 운영자에게 지체 없이 Reth v2.10.0, OP Reth v2.8.1 또는 Base 변형판 v1.5.3으로 업그레이드할 것을 요청했다. 결함은 Tempo 팀의 퍼징 과정에서 드러났다. 퍼징은 예상치 못한 입력을 소프트웨어에 계속 던져 고장이 나는 지점을 찾아내는 자동화 테스트 방식이며, Tempo 자체 체인 역시 패치를 마쳤다. 공지는 이더리움 가격에 대해서는 언급하지 않았고, 이 버그로 인한 자금 손실도 확인되지 않았다.

결함은 Reth의 구형 상태 루트 코드에 있었다. 상태 루트는 블록체인의 현재 상태를 암호학적 지문처럼 담아내는 값으로, 잔액, 스마트 컨트랙트 저장소와 노드가 추적하는 나머지 상태 전체를 포괄한다. 특정 저장소 배치에서는 정교하게 조작된 트랜잭션이 이 구형 계산기에 잘못된 결과를 내게 만들 수 있었다. 노출 범위는 한정적이었다. Reth의 블록 빌더는 저사양 하드웨어와, 레이어 2 프레임워크인 OP Stack으로 구축된 체인에서 여전히 구형 트라이 계산기를 돌리며, 바로 이 환경이 위험에 열려 있었다. Konstantopoulos는 표현을 완곡하지 않게 했다. 그는 Reth가 EVM 생태계 전체의 핵심 인프라이며 Paradigm은 그 책임을 진지하게 받아들인다고 쓰고, 운영자들이 빠르게 패치에 움직인 점에 감사를 보내며 혼란에 대해 사과했다.

Base는 11월 4일 빌더 패치 완료

Reth는 트랜잭션을 처리하고 체인 상태를 보관하는 여러 이더리움 클라이언트 가운데 하나로, 네트워크의 지분증명 합의 계층과 함께 작동한다. 이번 공개는 하나의 공유 의존성이 얼마나 멀리 뻗어 있는지를 보여줬다. 노드, 브리지 프로토콜과 상태증명 기반 시스템이 생태계 전반에서 같은 코드에 기대고 있다. 공지는 피해 범위도 꼼꼼히 그렸다. Base를 포함한 OP Stack 네트워크는 인출 시스템을 통해서는 노출되지 않았다. 버그가 그 메커니즘에는 닿을 수 없기 때문이다. 브리지도 안전하다고 그는 설명했다. 브리지는 상태 루트를 검증하지 않고 영수증 루트나 다중서명에 의존하며, 결함이 있는 코드 경로는 둘 다 건드리지 않는다. 이번 사건의 구조적 교훈은 여기에 있다. 여러 네트워크가 하나의 클라이언트에서 배포를 받으면 단일 결함이 코드를 따라 그들 모두로 이동할 수 있다.

Base 자체의 대응은 별도 일정으로 진행됐다. Base는 11월 4일 문제를 인지했고 같은 날 자체 블록 빌더를 수정했으며, 현재는 정확한 상태 루트를 보고하면서 사용자 영향은 없었다고 밝힌다. 수정본은 Reth v2.10.0, OP Reth v2.8.1, Base v1.5.3으로 배포됐고, 블록 생산자를 포함한 노드 운영자에게 업데이트를 최우선 과제로 다룰 것을 요청했다. 잘못 계산된 루트가 실무에서 문제가 되는 이유는 단순하다. 어떤 블록이 유효한지에 대해 노드 간 의견이 갈라질 수 있고, 이는 네트워크 전반의 트랜잭션 처리와 동기화를 흔든다. 남은 공백은 기술이 아니라 운영 쪽이다. 수정본이 공개됐어도 개별 운영 노드가 업데이트를 끝냈다고 단정할 수 없으며, 공지는 이 점을 열어두었다. 체인 상태를 직접 확인하고 싶은 독자는 이더리움 블록체인을 전문가처럼 읽는 방법을 담은 Etherscan 리뷰에서 출발할 수 있다.

하나의 클라이언트, 여러 네트워크

우리의 해석은 이번 사건이 단일 버그보다 집중 구조의 문제에 가깝다는 것이다. Reth가 노드, 브리지, 상태증명 시스템에 미치는 범위를 생각하면 공유 코드의 단일 엣지 케이스는 어느 개별 체인의 사건보다 멀리 간다. 반면 대응 속도는 생태계가 설계대로 작동한 모습이었다. Tempo의 퍼징 발견, Base의 당일 빌더 수정, 세 개 빌드에 걸친 배포가 그것이다. 이 작업이 입증하지 못한 부분도 똑같이 중요하다. 실제 운영 환경에서 잘못된 상태 루트를 낸 트랜잭션은 확인되지 않았고, 악용 흔적도 식별되지 않았으며, 운영자의 업데이트 비율은 검증되지 않았다. 잔여 리스크는 아직 v2.10.0으로 옮기지 않은 이들에게 남아 있다. 시장 구조는 이 과정에서 차분하게 유지됐다. 이더리움은 청산 폭탄 이후 2,200달러 지지선을 지켜냈고, 클라이언트 인프라는 별도의 일정표를 가진다. Hoodi의 Glamsterdam 포크 연기가 그 예다. 스테이킹 인프라 역시 최근 다른 실수를 겪었는데, 검증인 보상으로 0.385 Ethereum (ETH)가 이동된 MetaMask 스테이킹 침해 사건이 그 사례다.