Zcash 재단, 기록적인 6억 5,100만 달러 해킹 달 이후 합의 치명적 버그 패치

오늘, 2026년 5월 2일, Zcash 재단은 Zebra 4.4.0을 출시했으며, 네트워크 합의를 분할할 수 있었던 여러 보안 결함을 포함하여 여러 보안 결함을 수정한 후 모든 노드 운영자에게 즉시 업그레이드를 촉구했습니다.

이 패치는 4월이 지금까지 암호화폐 공격이 가장 많았던 달 으로 마무리되는 시점에 나왔습니다. 블록체인 보안 기업 CertiK는 업계 전반에서 약 6억 5,100만 달러의 총 손실을 확인했습니다.

Zebra 4.4.0은 어떤 종류의 Zcash 결함을 수정합니까?

이 업데이트는 Zcash 재단이 구축한 Rust 기반 Zcash 노드 구현인 Zebra의 5가지 별도 취약점을 해결합니다. 버그 중 3가지는 합의 치명적이며, 공격자가 이를 악용하여 Zebra 노드가 기존 zcashd 클라이언트가 거부할 거래를 수락하도록 만들어 네트워크를 분할할 수 있음을 의미합니다.

가장 심각한 문제(GHSA-28xj-328h-72vm)는 원격 해커가 단 하나의 연결만으로 노드가 새 블록을 발견하는 것을 영구적으로 중단할 수 있게 했습니다. 이 공격은 Zebra가 정보를 공유하고 다운로드하는 방식의 세 가지 약점을 결합했습니다. 

Zcash 재단의 통지에 따르면, 이 악용은 “제로의 비정상 행동 점수, 제로의 차단, 제로의 연결 끊김”을 생성하여 표준 모니터링 도구에게 보이지 않게 만들었습니다.

두 번째 버그(GHSA-jv4h-j224-23cc)도 Zebra가 거래 블록 내 서명의 수를 세는 것을 잃게 만들었습니다(일반적으로 20,000개 서명 제한 블록보다 적게 세었습니다).

명백히, Zebra의 시스템은 블록 검증 중 두 가지 특정 유형의 스크립트(Coinbase 입력의 scriptSig 및 P2SH 서명)를 무시했습니다. 이로 인해 공격자는 두 가지 격차를 모두 악용하는 블록을 생성하여 Zebra의 검사는 통과하지만 zcashd에서는 실패하여 체인 분할을 만들 수 있었습니다.

세 번째 주요 문제(GHSA-gq4h-3grw-2rhv)는 이전의 서명 해시 수정으로 인해 Zebra의 C++ 외부 함수 인터페이스를 통해 읽을 수 있는 임시 저장 영역(버퍼)에 낡은 데이터가 남아 있었기 때문에 발생했습니다. 

따라서 공격자는 유효한 서명을 사용하여 버퍼를 올바른 정보로 채운 다음, 남은 데이터에 기반하여 검증을 통과하는 잘못된 해시 유형으로 두 번째 거래를 보낼 수 있습니다. 

이를 해결하기 위해 재단은 임시 수정을 적용하여 검사가 실패할 경우 버퍼를 무작위 바이트로 흩뜨려, 영구 수정이 배포될 때까지 시스템이 이전 정보를 재사용하지 못하게 했습니다.

마지막 두 버그는 시스템의 다른 부분들 간의 불일치를 초래했습니다. 하나의 버그는 메시지를 읽을 때 너무 많은 메모리를 사용하여 네트워크를 과부하시켰습니다(GHSA-438q-jx8f-cccv). 다른 하나는 Zebra가 특정 거래를 검증하는 방식의 경미한 코딩 불일치였습니다(GHSA-cwfq-rfcr-8hmp).

재단은 후자가 실제로 악용 가능하지는 않지만, zcashd 동작과 일치시키기 위해 패치했다고 밝혔습니다. 보안 연구원 Sangsoo-osec은 5가지 문제 중 3가지를 발견한 공로를 인정받았습니다.

출시가 더 좋은 시기에 있었을까요?

에 따르면 DeFiLlama, 2026년 4월은 사건 수 기준으로 암호화폐 역사상 가장 많이 해킹당한 달이었으며, 추산된 28~30건의 별도 공격을 겪었습니다. CertiK의 X 게시물 4월 30일 보고에 따르면 총 손실은 약 6억 5,100만 달러로, 2025년 2월의 Bybit 침해 사건을 제외하면 2022년 3월 이후 최고치입니다.

두 가지 사건이 대부분의 피해를 초래했습니다. 4월 1일, Drift Protocol은 북한 라자루스 그룹과 관련된 소셜 엔지니어링 작업으로 약 2억 8,500만 달러를 손실했습니다. 4월 18일까지 KelpDAO는 레이어제로 크로스체인 브리지 대상 메시지 스푸핑 악용으로 자체 2억 9,300만 달러의 피해를 입었으며, 크립토폴리탄(Cryptopolitan)에 따르면. 

특히, 4월의 어떤 공격도 Zcash를 직접 대상으로 하지 않았습니다. 그러나 체인 전반에 걸친 공격의 엄청난 양은 그 재단이 Zebra 업데이트를 “중요”로 분류하고 즉각적인 채택을 추진한 이유를 반영합니다.

Zcash 노드 운영자가 해야 할 일

재단은 보안 수정 외에도 다른 중요한 변경 사항이 없으므로 모든 운영자에게 즉시 Zebra 4.4.0으로 업그레이드할 것을 조언합니다. 

이전 버전을 실행 중인 노드 운영자는 모든 5가지 취약점에 여전히 노출되어 있으며, 여기서는 단일 악의적 연결만으로 실행 가능한 블록 발견 중지가 포함됩니다.

ZEC 주가는 $377.46에 거래되고 있습니다 작성 시점 기준, 코인마켓캡에 따르면 시가총액은 62억 8천만 달러입니다.