242 읽음
토르체인 10개 체인 중단, 이더리움 환불 버그 발생 원인
위키트리
0
THORChain이 10월 31일(현지시각) 10개 블록체인에서 스왑을 멈춘 직접 계기는 이더리움 블록 재구성(reorg)이 부른 10 ETH 환불 버그였다. 이미 입금으로 반영한 10 ETH가 이더리움 쪽에서 사라졌는데도 환불이 나갔고, 이 초과 지급을 자동 안전장치가 감지해 프로토콜을 멈춰 세웠다. 바이낸스 해킹에 대한 대응이 아니라 기술적 결함이 낳은 중단이었다.
수신자가 초과분 10 ETH를 돌려줘 금고 잔액은 복구됐다. 하지만 THORChain은 같은 허점이 다른 체인의 재구성 때도 반복될 수 있다고 직접 경고했다. 결함이 고쳐지기 전까지 재개 시점은 정해지지 않았다.
THORChain 설명에 따르면 사고는 10월 31일 협정세계시(UTC) 11시 34분에 시작됐다. 한국시간으로는 같은 날 오후 8시 34분이다. 이더리움에서 한 개 블록이 다른 블록으로 교체되는 재구성이 일어나면서 THORChain이 이미 입금으로 처리한 10 ETH가 이더리움 기록에서 지워졌다. 블록 재구성은 네트워크가 최근 블록을 경쟁 블록으로 바꾸는 현상이다.
문제는 그다음이다. 해당 스왑은 가격 한도를 맞추지 못해 실패했고 프로토콜은 환불 절차에 들어갔다. 그런데 환불 대상 입금은 이더리움에 더는 존재하지 않았다. THORChain의 금고는 받지도 않은 10 ETH를 내보낸 셈이다. 크립토티커는 이 금액이 당시 이더 가격 약 2,307달러 기준으로 2만 3,000달러 정도라고 전했다.
여기에 보낸 사람의 실제 입금분도 별도로 환불되면서 10 ETH가 한 번 더 나갔다. 금고에는 대응하는 유입 없이 10 ETH가 빠져나간 구멍이 생겼다. 자동 지급능력 점검 장치가 이 차이를 포착해 이더 스왑부터 멈췄다.
크립토닷뉴스에 따르면 약 2분 안에 노드 운영자들이 이더리움 출금 거래 서명을 중단해 해당 금고에서 추가 인출이 나가지 않게 했다. 이후 다른 연결 체인으로 정지가 번졌다. 정지된 곳은 비트코인·이더리움·솔라나·트론·BNB 스마트체인·코스모스·비트코인캐시·도지코인·라이트코인·지캐시 등 10개 네트워크다. 아발란체·베이스·XRP 레저는 거래가 계속됐다.
10 ETH는 63억 달러 규모로 알려진 바이낸스 해킹과 비교하면 미미한 금액이다. 그러나 THORChain이 경계한 것은 액수가 아니라 작동 방식이다. 확정한 입금이 나중에 사라질 수 있다면 같은 순서를 되풀이해 금고를 비울 수도 있기 때문이다.
THORChain 팀은 공지에서 이렇게 밝혔다. “이 사실이 공개된 이상 외부 체인에서 블록 재구성이 일어날 때마다 악의적 행위자가 같은 논스(nonce)로 새 거래를 만들어 THORChain 금고에서 자금을 받아 갈 수 있다.” 논스는 거래 순번을 가리키는 값이다.
크립토닷뉴스는 개발진이 폐기된 거래를 완료된 입금으로 취급하지 않도록 환불 절차를 고치는 변경을 준비 중이라고 전했다. 각 체인을 언제 다시 열지는 노드 운영자가 안전하다고 판단할 때 스스로 결정하며 날짜는 없다고 크립토티커는 정리했다. THORChain은 “노드가 안전하다고 판단하는 대로 체인을 다시 활성화할 것”이라고 밝혔다.
정지 범위를 두고는 보도마다 숫자가 엇갈린다. 속보들은 10개 체인이라고 적었다. 코인텔레그래프 매거진은 9개 체인이 정지 상태라고 썼다.
블록체인 분석업체 체이널리시스(Chainalysis)는 일요일 이번 중단이 바이낸스에서 탈취한 자금의 세탁을 의도치 않게 늦췄다고 밝혔다. 체이널리시스는 비상 정지가 북한 자금세탁 조직을 포함한 모든 이용자의 크로스체인 스왑을 막고 있다고 설명했다. 서비스가 복구되기 전에는 해커든 일반 이용자든 THORChain 브리지 대부분을 쓸 수 없다는 것이다.
이 해킹은 10월 29일 발생했고 FBI는 북한 연계 조직 트레이더트레이터(TraderTraitor)의 소행으로 지목했다. FBI는 아직 근거를 공개하지 않았다.
더 블록(The Block)이 인용한 온체인 분석가 소마XBT의 분석은 정지 직전 상황을 보여 준다. 공격자들은 트론에서 약 6억 2,800만 달러를 가져갔고 이 중 테더가 3억 7,870만 USDT를 동결했다. 이틀 사이 약 2억 4,200만 달러가 세탁됐으며 약 1억 9,400만 달러가 브리지와 스왑 서비스를 거쳐 트론 밖으로 나갔다.
경로별 금액은 릴레이 4,800만 달러, THORChain 4,400만 달러, 체인플립 3,210만 달러, 심바이오시스 1,600만 달러 순이었다. 약 2,600만 달러는 트론에 남았고 약 2,200만 달러는 수수료·슬리피지·가격 변동으로 사라졌다. THORChain은 정지 효력이 나타나기 전 이더 1만 7,019개를 170개 주소에, 비트코인 53.25개를 20개 주소에 지급했다.
코인텔레그래프 매거진은 룩온체인을 인용해 공격자들이 릴레이를 통해 약 9,590만 달러어치 솔라나 중 절반가량을 비트코인으로 바꾸고 있다고 전했다. 정지된 체인을 피해 다른 경로로 옮겨 가는 움직임이 이미 있다는 얘기다.
FBI는 비밀경호국, 국토안보부 산하 IRS 범죄수사국과 함께 이더리움 주소 608개, 비트코인 주소 19개, 솔라나 주소 1개를 공개했다. 트론 주소는 목록에 없다. FBI는 THORNode 운영자·RPC 노드 운영자·즉시 교환 서비스·디파이 서비스 등에 이 주소들과의 거래를 막으라고 요구했다. THORChain이 응할지는 아직 밝혀지지 않았다.
THORChain 공동창업자 채드 바라포드는 X에서 노드 운영자들이 이미 공개된 것 외의 정보를 갖고 있지 않다고 말했다. 이번 정지가 소프트웨어 결함에서 비롯됐을 뿐 운영자들의 결정이 아니라는 점도 분명해졌다. 바라포드의 팟캐스트 발언에 따르면 노드 100개를 약 50명이 운영한다.
운영자 3분의 1에 한 명을 더한 수가 찬성하면 활동을 멈출 수 있고 노드가 네트워크를 떠날 수도 있다. THORChain은 노드 4개만으로도 돌아갈 수 있다. 운영자들이 차단 요구를 거부할 경우 기소될 수 있다는 관측도 나온다.
THORChain은 3분기 보고서에서 압박에도 중립적이고 허가가 필요 없는 인프라라는 입장을 유지한다고 밝혔다. 창립자 존폴 토르뵈른센은 “THORNode들이 다음 주 프로토콜을 내리기로 결정한다면 그 실험은 끝”이라며 “검열 없는 중립적 결제의 마지막 보루가 사라지는 것”이라고 말했다. 그가 더는 관여하지 않는다는 주장도 나온다.
시장에서는 RUNE 가격이 해킹 직후 수수료 기대감에 13% 올랐다가 정지 후 24시간 동안 18% 넘게 떨어졌다. 이는 각각 해킹 직후와 정지 이후 시점의 변동폭이다. 크립토닷뉴스는 9월 비트겟이 3억 8,750만 달러 규모 보안 침해 뒤 해커 주소 차단을 요청했던 선례도 언급했다.