이더리움 개발자들, 연구진 보안 위험 지적에 후디서 글램스터담 하드포크 연기

연구진이 기존 계약의 실패한 거래 처리 방식에 영향을 주는 가스 관련 보안 위험을 확인한 뒤 이더리움 개발자들이 후디(Hoodi) 테스트넷의 글램스터담(Glamsterdam) 하드포크를 연기했다. 이더리움 재단은 배포가 10월 26일로 예정돼 있었다고 밝혔다. 재단은 이번 연기로 개발자들이 일부 업그레이드 제안과 이더리움에 이미 배포된 스마트계약 간 상호작용을 조사할 시간을 확보하게 된다고 밝혔다.

체인시큐리티(ChainSecurity)는 10월 13일 글램스터담에 포함된 EIP-8037과 EIP-8038이 가스 부족 그리핑 공격에 대한 보호를 약화할 수 있다고 경고했다. 체인시큐리티는 제안된 규칙이 작업 실패 후 계약에 가스를 돌려줘 계약 실행이 중단되지 않고 계속되도록 할 수 있다고 밝혔다. 연구진은 이 변경으로 거래 중 남은 가스량을 기준으로 하는 보안 검사가 방해받을 수 있다고 말했다.

가스 부족 그리핑 공격을 하는 공격자는 정상적인 계약 작업이 성공하지 못하도록 의도적으로 가스를 너무 적게 제공한다. 체인시큐리티는 글램스터담으로 보호 장치가 약화되면 계약이 실패한 작업을 영구적으로 기록할 수 있다고 경고했다. 영향을 받는 계약은 예를 들어 사용자의 청구 권리를 지우거나 재시도를 막아, 그 밖에는 유효한 작업을 완료할 수 없게 만들 수 있다. 체인시큐리티는 글램스터담이 가스 관련 보안 검사를 모두 무효화하지는 않을 것이라고 밝혔다. 일부 보호 장치는 계속 효과가 있을 수 있지만, 개발자들은 새로운 가스 규칙과의 호환성을 확인해야 한다고 덧붙였다.

이 발견은 이더리움 기여자들 사이에서 우려를 불러일으켰다. 가명을 쓰는 보안 연구자 pcaversaccio는 10월 21일 깃허브 댓글에서 위험이 "심각하다"고 평가하고 개발자들에게 하드포크를 재고하라고 촉구했다. 체인시큐리티는 금요일 잠재적으로 영향을 받을 수 있는 실제 사례 13건을 발견했으며, 영향을 받는 프로젝트들과 책임 있는 공개 절차를 조율하고 있다고 밝혔다. 체인시큐리티는 사례의 세부 내용이나 영향을 받는 프로젝트의 이름은 공개하지 않았다. 다만 개발자들에게 가능한 한 빨리 자신들의 계약을 점검하라고 촉구했다.

이번 연기로 글램스터담이 언제 메인넷에 적용될지 불확실해졌다. 이더리움 개발자들은 12월 초를 검토해 왔으며, 후디에서 테스트가 성공적으로 끝난 뒤 일정을 확정할 계획이었다. 글램스터담은 후디 배포 계획에 앞서 10월 6일 세폴리아에서 이미 활성화됐다. 이더리움 재단은 앞서 글램스터담의 가스 모델이 고정된 가정을 바탕으로 구축된 지갑, 인덱서, 가스 추정기를 방해할 수 있다고 경고한 바 있다.