이더리움, 보안 리스크로 인해 Glamsterdam Hoodi 테스트넷 출시 연기

이더리움 개발자들이 기존 스마트 컨트랙트가 실패한 트랜잭션을 처리하는 방식에 영향을 줄 수 있는 가스 관련 보안 리스크를 연구원들이 식별함에 따라 Hoodi 테스트넷의 Glamsterdam 하드포크를 연기했습니다.

이더리움 재단(EF)은 원래 10월 26일로 예정되었던 업그레이드가 일부 제안들이 이더리움에 배포된 스마트 컨트랙트와 어떻게 상호작용하는지 개발자들이 조사할 수 있도록 연기될 것이라고 밝혔습니다. 

10월 13일, 블록체인 보안 기업 ChainSecurity는 Glamsterdam에 포함된 두 가지 제안인 EIP-8037 및 EIP-8038이 가스 부족 그리핑(insufficient gas griefing)이라 불리는 유형의 공격에 대한 보호 장치를 약화시킬 수 있다고 경고했습니다. 

이번 연기로 인해 Glamsterdam의 메인넷 일정에 대한 불확실성이 커졌습니다. 이더리움 개발자들은 12월 초를 고려해 왔으며, 성공적인 Hoodi 테스트 이후 일정을 확정할 계획이었습니다. 

가스 변경 사항이 기존 스마트 컨트랙트 보호 장치를 약화시킬 수 있음

ChainSecurity는 분석을 통해 새로운 규칙 하에서는 작업이 실패한 후 가스가 컨트랙트로 반환되어, 이전에는 중단되었을 상황에서도 계속 실행될 수 있다고 설명했습니다. 연구원들은 이러한 변경 사항이 트랜잭션 중 사용 가능한 잔여 가스량에 의존하는 기존 보안 점검을 방해할 수 있다고 말했습니다. 

가스 부족 그리핑으로 알려진 공격에서는 악의적인 호출자가 정당한 스마트 컨트랙트 작업이 성공하지 못하도록 의도적으로 너무 적은 가스를 제공합니다. ChainSecurity는 Glamsterdam의 제안된 변경 사항이 이러한 공격에 대한 보호 장치를 약화시켜, 잠재적으로 컨트랙트가 실패한 작업을 영구적으로 기록하도록 허용할 수 있다고 경고했습니다. 

예를 들어, 영향을 받는 컨트랙트는 사용자의 청구를 삭제하거나 재시도 옵션을 비활성화하여, 사용자가 정상적인 작업을 완료하지 못하게 만들 수 있습니다.

ChainSecurity는 Glamsterdam이 모든 가스 관련 보안 점검을 신뢰할 수 없게 만드는 것은 아니라고 덧붙였습니다. 일부 보호 장치는 여전히 작동할 수 있지만, 개발자들은 업그레이드의 새로운 가스 규칙을 반영하고 있는지 확인하기 위해 이를 검토해야 합니다.

관련 기사: 이더리움 재단, Glamsterdam 업그레이드로 일부 도구가 손상될 수 있다고 경고

이러한 결과는 이더리움 기여자들 사이에서 우려를 불러일으켰습니다. 10월 21일 GitHub 댓글에서 익명의 보안 연구원 pcaversaccio는 해당 리스크를 “심각한” 것으로 묘사하며 하드포크의 재평가를 요구했습니다.  

금요일에 ChainSecurity는 “13개의 실제 사례”를 식별했으며 영향을 받는 프로젝트들과 책임 있는 공개(responsible disclosure) 절차를 조율 중이라고 밝혔습니다. 이 보안 기업은 13개 실제 사례에 대한 세부 정보나 영향을 받은 프로젝트를 밝히지는 않았습니다. 하지만 회사는 개발자들이 가능한 한 빨리 자신의 컨트랙트를 점검해야 한다고 말했습니다. 

이번 발견은 Glamsterdam의 가스 모델이 고정된 가정에 의존하는 지갑, 인덱서 및 가스 추정기를 손상시킬 수 있다는 이전 이더리움 재단의 경고에 뒤이은 것입니다. 이 업그레이드는 현재 연기된 Hoodi 배포에 앞서 10월 6일 Sepolia에서 활성화된 바 있습니다.

매거진: 비트코인을 보관하기 위해 Ledger를 대체할 5가지 대안