솔라나, 주요 암호화 결함의 비공개 패치 후 scrutiny(감시)에 직면

솔라나 재단은 네트워크에서 토큰-2022 코인의 무제한 미ント 및 인출을 허용할 수 있는 잠재적 취약점을 수정했다고 발표했다. 재단은 오늘 4월에 문제를 수정했다고 확인했다.

발표에 따르면, 솔라나 소프트웨어 개발사 안자(Anza)는 4월 16일 취약성에 대한 보고를 처음 받았으며, 즉시 네트워크의 다른 주요 개발사인 지토(Jito)와 파이어더서(Firedancer)와 협력하여 취약성 보고서를 평가했다.

실제 문제임을 확인한 후, 팀들은 이 문제를 해결하기 위한 패치를 개발했다. 보고에 따르면 Ottersec, Asymmetric Research, Neodyme와 같은 블록체인 보안 기업들도 지원을 제공했으며 배포 전 패치를 검토했다.

흥미롭게도, 팀은 초기 문제를 해결하려고 시도하는 동안 코드베이스의 다른 부분에서 유사한 버그를 발견했으며, 이를 수정하기 위해 또 다른 패치를 개발해야 했다.

지연에도 불구하고, 솔라나 재단과 안자 팀은 4월 17일까지 검증인들에게 연락을 시작하고 패치를 배포하여 업그레이드를 가능하게 했다. 4월 18일 UTC 20:00까지 스테이크의 과반수가 패치를 채택했으며, 재단은 이를 디스코드에서 공개적으로 발표할 수 있었다.

취약점은 무엇인가?

취약점을 수정하기 위한 은밀한 접근 방식은 네트워크에 대한 잠재적 심각성에 대한 의문을 제기했다. 재단에 따르면, 이 버그는 기술적 전문 지식을 가진 누구나 ZK EIGamal Proof 프로그램이 유효한 것으로 받아들이는 임의의 증명서를 생성할 수 있게 한다.

이 프로그램은 토큰-2022 기밀 전송을 실행하는 데 중요한 역할을 하며, 거래 및 계정의 암호화된 잔액 유효성을 인증하는 영지식 증명(zero-knowledge proofs)이 올바른지 검증한다.

거래소는 다음과 같이 밝혔습니다.

“정교한 공격자는 이러한 해시되지 않은 구성 요소를 사용하여 검증 통과를 위한 무단 행동의 위조 증명서를 개발할 수 있다.”

그러나 이 취약성은 솔라나에서 일반적이지 않은 토큰 표준인 토큰-22(Token-22) 기밀 토큰에만 영향을 미친다. 코인게코에 따르면 솔라나의 토큰-2022 코인의 시가총액은 1,650만 달러에 불과하다. 그럼에도 불구하고 이 버그는 공격자가 무제한의 토큰-2022 코인을 미ント하거나(any) 계정에서 이 유형의 코인을 인출할 수 있게 했을 것이다. 다행히도 이 버그의 악용 보고는 없다.

암호화폐 사용자들, 솔라나의 은밀한 수정 비판

한편, 솔라나 재단이 공개적으로 발표하기 전에 문제를 비공개로 수정한 결정은 솔라나가 얼마나 탈중앙화되어 있는지에 대한 논쟁을 촉발시켰다. 익명의 ETH Strategy 창립자 Cloutedmind은 이 사건에 대해 불만을 표명하며 다음과 같이 말했다.

“내가 잘못 들은 건가? 솔라나 메인넷에 제로데이 취약점이 있었고, >70%의 검증인들이 공개되기 전에 사적으로 결탁하여 중요한 버그를 업그레이드하고 패치했다.”

다른 일부 사용자들도 비슷한 견해를 공유하는 것으로 보이며, 한 X 계정은 검증인들이 사용자의 동의 없이 자산을 가져갈 수 있다고 주장하기도 했다.

그러나 많은 솔라나 이해관계자와 암호화폐 사용자들은 이 견해를 비판하며, 이는 모든 탈중앙화 네트워크가 작동하는 방식이라고 지적했다. 헬리우스 랩스(Helius Labs) CEO Mert Mumtaz은 이 놀라움을 터무니없다고 묘사했다.

솔라나 공동 창립자 Anatoly Yakovenko도 이더리움의 검증인들도 동일한 절차를 따르며, 이더리움에서는 더 오래 걸릴 수 있다고 덧붙였다.

그가 말했습니다:

“형, 이더리움에서 70%에 도달하는 사람들이 똑같아. 모든 리도 검증인들(chorus one, p2p 등), 바이낸스, 코인베이스, 크레이켄. geth가 패치를 푸시해야 한다면, 나는 그들을 위해 조정하는 것을 기꺼이 할 것이다.”

흥미롭게도, 암호화폐 커뮤니티의 다른 사람들은 솔라나 재단이 문제를 발견한 직후 즉각 수정한 선제적 조치에 찬사를 보냈으며, 한 사용자는 비트코인 개발자들이 버그를 비공개로 수정한 뉴스 링크를 공유했다.