이더리움 개발자들은 연구진이 기존 스마트 계약이 실패한 트랜잭션을 처리하는 방식에 영향을 줄 수 있는 가스 관련 보안 위험을 확인한 후, 후디 테스트넷에서 진행할 글램스터댐 하드포크를 연기했다.

이더리움 재단(EF)은 업그레이드가 당초 10월 26일로 예정돼 있었지만, 일부 제안이 이더리움에 배포된 스마트 계약과 어떻게 상호작용하는지 개발자들이 조사할 수 있도록 연기한다고 밝혔다. 

10월 13일 블록체인 보안 기업 체인시큐리티는 글램스터댐에 포함된 두 제안 EIP-8037과 EIP-8038이 ‘가스 부족 그리핑’이라는 공격 유형에 대한 보호 장치를 약화시킬 수 있다고 경고했다. 

이번 연기로 글램스터댐의 메인넷 일정은 불확실해졌다. 이더리움 개발자들은 12월 초를 검토해 왔으며, 후디 테스트가 성공하면 일정을 확정할 계획이었다. 

가스 변경, 기존 스마트 계약 안전장치 약화시킬 수 있어

체인시큐리티는 분석에서 새로운 규칙에 따라 작업이 실패한 후에도 가스가 계약으로 반환될 수 있어, 이전에는 중단됐을 계약이 계속 실행될 수 있다고 밝혔다. 연구진은 이번 변경이 트랜잭션 중 사용 가능한 가스의 양에 의존하는 기존 보안 점검을 방해할 수 있다고 말했다. 

‘가스 부족 그리핑’으로 알려진 공격에서는 악의적인 호출자가 정상적인 스마트 계약 작업이 성공하기에 너무 적은 가스를 의도적으로 제공한다. 체인시큐리티는 글램스터댐의 제안된 변경으로 이러한 공격에 대한 보호 장치가 약화될 수 있으며, 그 결과 계약이 실패한 작업을 영구적으로 기록할 수 있다고 경고했다. 

예를 들어 영향을 받은 계약이 사용자의 청구 권리를 제거하거나 재시도 옵션을 비활성화해, 사용자가 유효한 작업을 완료할 수 없게 될 수 있다.

체인시큐리티는 글램스터댐으로 모든 가스 관련 보안 점검이 신뢰할 수 없게 되는 것은 아니라고 밝혔다. 일부 보호 장치는 여전히 작동할 수 있지만, 개발자들은 업그레이드의 새로운 가스 규칙을 반영하는지 확인하기 위해 이를 검토해야 한다.

관련 기사: 이더리움 재단, 글램스터댐 업그레이드로 일부 도구가 중단될 수 있다고 경고

이번 발견은 이더리움 기여자들의 우려를 불러일으켰다. 가명 보안 연구원 pcaversaccio는 10월 21일 깃허브에 남긴 댓글에서 위험이 ‘심각하다’고 설명하며 하드포크를 재평가해야 한다고 촉구했다.  

금요일 체인시큐리티는 ‘실제 사례 13건’을 확인했으며 영향을 받은 프로젝트들과 책임 있는 공개를 조율하고 있다고 밝혔다. 이 보안 기업은 13건의 실제 사례에 대한 세부 내용이나 영향을 받은 프로젝트를 공개하지 않았다. 그러나 개발자들은 가능한 한 빨리 자신의 계약을 확인해야 한다고 말했다. 

이번 발견에 앞서 이더리움 재단은 글램스터댐의 가스 모델이 고정된 가정에 의존하는 지갑, 인덱서, 가스 추정기를 망가뜨릴 수 있다고경고했다. 이 업그레이드는 현재 연기된 후디 배포에 앞서 10월 6일 세폴리아에서 활성화됐다.

매거진: 비트코인을 보관할 레저의 대안 5가지