Intersect, 카르다노(ADA) 풀 운영자에 9.8등급 리눅스 취약점 경고

Intersect, 스테이크 풀 운영자에게 긴급 경고

카르다노(ADA) 거버넌스를 조율하는 단체 Intersect는 10월 30일 금요일, 스테이크 풀 운영자들에게 심각한 리눅스 취약점에 대한 경고를 발령했다. 이 결함은 카르다노 블록을 생산하는 서버를 다운시키거나, 일부 설정에서는 서버 장악까지 허용할 수 있다. 취약점 코드는 CVE-2026-98432이며, CVSS 10점 만점에 9.8점을 받았고, 4.4 버전까지 거슬러 올라가는 커널에 영향을 준다. Intersect의 주간 업데이트에 따른 것이다. 리눅스는 블록체인을 구동하는 수많은 서버의 기반이다. 이번 결함은 특수하게 조작된 인터넷 요청으로 서버의 메모리 처리 방식을 교란하는 방식으로 작동한다. 공격에 성공하면 서버가 그대로 다운되거나, 특정 구성에서는 비밀번호 없이도 외부인이 전체 접근 권한을 얻는다. CVSS 9.8점은 원격에서 낮은 난이도로 악용 가능한 결함에만 부여되는 최고 심각도 등급이다.

이 경고는 Anthropic이 10월 27일 화요일 발표한 연구에 뒤이어 나왔다. 동사는 자사 AI 시스템 Claude가 여러 경로를 동시에 오가는 하나의 연결을 허용하는 네트워크 기능, 멀티패스 TCP를 사용하는 서버를 대상으로 이 유형의 공격을 스스로 개발했다고 밝혔다. 자동화 테스트는 실제 작동하는 익스플로잇을 53분 만에 만들어냈다고 해당 연구 게시물은 명시한다. 이후 공개된 테스트 코드는 서버 완전 장악까지는 보여주지 못했다. 카르다노 풀 인프라에 대한 실제 공격은 아직 보고된 바 없고, 시장 데이터에서도 카르다노 가격에 대한 직접적 영향은 확인되지 않는다. 대다수 카르다노 블록 생산자가 리눅스 서버에서 운영되기에 공지는 일반 보유자가 아닌 운영자에게 전달됐다. 문제는 원장 계층이 아닌 인프라 계층에 있지만, Intersect는 주간 조율 업데이트 안에 이를 담을 만큼 긴급하다고 판단했고, 네트워크의 블록 생산은 바로 이 결함이 겨냥하는 종류의 리눅스 머신 위에서 돌아간다.

위임 구조와 패치 지연

이번 노출은 스테이킹 구조를 통해 확대된다. 카르다노의 지분증명 설계에서 보유자는 블록을 생산하고 보상을 받는 풀에 자산을 위임하며, 현재 약 215억 Cardano (ADA), 즉 네트워크 유통량의 약 58%가 위임 상태로 놓여 있다. 이 체계에서 코인은 소유자 지갑을 떠나지 않으며, 카르다노 공식 문서는 위임된 ADA가 언제든 사용 가능한 상태로 유지된다고 분명히 명시한다. 따라서 풀이 해킹당해도 공격자가 위임자의 코인 소유권을 넘겨받는 일은 없다. 문제는 풀이 다운될 때다. 같은 문서는 풀 성능이 나쁘면 풀과 참여자의 보상이 줄어든다고 적고 있어, 이 결함으로 서버가 마비되면 원금에 닿기 전에 보상부터 타격을 입는다. 위임 규모가 이만하니 경고가 운영자에게 먼저 간 것이다. 이 결함의 피해 지점은 보유자의 지갑 보안이 아니라 운영자의 가동률이다.

패치는 운영자들이 실제로 쓰는 배포판마다 속도가 달랐다. 상류 리눅스에는 10월 5일 월요일 수정 사항이 반영됐다. Ubuntu는 10월 30일 기준 여전히 취약한 상태로 수정이 진행 중이었고, Red Hat Enterprise Linux는 수정이 대기 중으로 표시됐으며, AlmaLinux는 패치가 적용된 커널이 아직 테스트 중이었다. 운영자들이 단일 표준 이미지를 쓰지 않는 만큼 이 편차는 중요하다. 같은 결함이 서버마다 다른 수준의 노출 상태로 남아 있다. Intersect는 자신이 쓰는 배포판이 이미 대응됐으리라 가정하지 말고 서버를 점검하고 업데이트를 적용한 뒤 재부팅하라고 요구했다. 이 사태는 지난 11월의 사건을 떠올리게 한다. 당시 별개의 결함으로 카르다노가 두 체인으로 잠시 갈라졌지만, 이 사고 역시 사용자 자금 피해 없이 종료됐다. 이번 결함과 연결된 도난 자금이나 보상 손실은 아직 없으며, 관심은 카르다노 풀 인프라 전반에 수정 사항이 얼마나 빨리 배포되는지로 옮겨갔다. 위임 총량을 고려하면 가동률은 곧 경제적 문제다. 설정을 점검하는 운영자와 위임자는 카르다노 스테이크 풀 선택 가이드를 참고할 수 있다.

열린 질문은 실제 노출 규모이며, 기록 어디에도 이를 확정하는 내용은 없다. 상류 커널 수정은 10월 5일에 반영됐지만, 10월 30일 기준 Ubuntu와 Red Hat 패키지는 아직 패치되지 않아 잔여 위험은 해당 배포판을 쓰는 운영자에게 집중된다. 몇 개의 카르다노 블록 생산자가 수정을 적용했는지에 대한 공개 집계도 없다. 공지의 존재와 공격 부재가 지금까지는 동시에 성립한다. 이 사태가 분명히 해주는 것은 위험의 형태다. 풀 서버에서 무슨 일이 생기든 위임자의 코인은 자기 지갑에 있으므로 위험의 결은 보관이 아니라 보상과 가동률이다. 최근 메인넷에서 최초로 115,172 ADA를 재무고에 반환한 Intersect는 이번엔 다른 종류의 조율 시험에 직면했다.