ETH 맡기면 운영자가 ‘꿀꺽’?…이더리움 개발진, 글램스테르담 취약점 수정

본문

이더리움 개발진이 글램스테르담에서 검증자 예치금이 빌더 계정으로 잘못 귀속될 수 있는 취약점을 수정했다. [블록미디어 양원모 기자] 이더리움 개발진이 차기 네트워크 업그레이드 글램스테르담(Glamsterdam)에서 스테이킹 예치금이 잘못된 계정으로 넘어갈 수 있는 취약점을 수정했다. 특정 조건에서 검증자에게 배정돼야 할 이더(ETH)가 블록 빌더 계정으로 귀속될 수 있다는 문제가 제기된 데 따른 조치다. 27일(현지시각) 이더리움 합의 사양 깃허브 저장소에 따르면 개발진은 전날 검증자와 빌더의 예치금을 분리 처리하는 수정안(PR #5736)을 공식 사양에 병합했다. 해당 수정안은 지난 19일 한 차례 보류됐으나, 일주일 만에 재채택됐다. 연구원 avsetsin은 지난 12일 동일한 공개키 를 사용하는 빌더와 검증자의 예치금이 잘못 합산될 수 있다는 문제를 보고했다.

공격 시나리오에 따르면 악의적 운영자가 먼저 특정 공개키 로 빌더 등록용 예치금을 제출한 뒤, 스테이킹 서비스가 동일한 키로 신규 검증자를 생성하기 위해 ETH를 예치하면 기존 초안에서는 두 예치금이 모두 빌더 계정에 귀속될 수 있었다. 이 경우 검증자가 생성되지 않은 상태에서 운영자가 빌더 계정에 잘못 귀속된 자금을 인출할 수 있다. 저스틴 트라글리아 이더리움 합의 사양 관리자는 지난 19일 클라이언트 개발팀의 충분한 지지를 확보하지 못했다며 제안을 종결했다. 이후 업그레이드 일정이 변경되자 23일 논의가 재개됐고, 26일 최종 병합됐다. 글램스테르담은 지난 6일 세폴리아(Sepolia) 테스트넷 에서 활성화됐지만, 26일 예정됐던 후디(Hoodi) 테스트넷 적용은 연기됐다. 이더리움 재단은 22일 가스 비용 산정 방식에 관한 EIP-8037이 기존 스마트 컨트랙트에 미칠 영향을 추가 검토하기 위해 일정을 연기한다고 발표했다.