블록체인/레벨 VIII · 밈코인 시대/8.1 솔라나 이야기/수업 3
웜홀과 브리지 해킹
코드에 오류가 발생할 때 끊어지는 보관 체인
준비물2022년 2월의 웜홀 사건 보고서체인애널리시스 크립토 범죄 보고서(2023)의 크로스체인 브리지 해킹 관련 섹션이더리움 또는 솔라나의 워프드 토큰 계약을 추적할 수 있는 블록 탐색기 인터페이스
호기심
- 랩드 자산이란 브리지의 보관 및 코드에 대한 권리 주장이 아닌가요?
- 서명 검증 버그는 공격자가 담보 없이 토큰을 발행하도록 어떻게 허용하는가?
- 왜 다중 체인 세계에서는 브리지가 가장 많이 공격받는 부분일까요?
탐구
- 브리지는 한 체인에서는 코인을 보유하고 다른 체인에서는 토큰을 발행합니다. 래핑된 자산은 원본 코인이 아니라, 브리지의 관리 및 코드에 대한 권리를 나타냅니다. 만약 코드에 문제가 생기면 그 권리는 가치를 잃게 됩니다. 이 메커니즘은 여러 체인에 걸쳐 유동성을 분산시키지만, 사용자는 브리지의 운영자와 코드가 실패하거나 위협받지 않을 것이라고 신뢰해야 하는 중요한 의존성이 생깁니다.
- 2022년 2월 2일, 한 공격자가 Wormhole의 Solana 계약에 존재하는 서명 검증 버그를 악용했습니다. 이 버그 덕분에 담보 없이 12만 개의 워프된 ETH가 발행될 수 있었으며, 그 가치는 약 3억 2천만 달러에 달했습니다. Wormhole의 후원사인 Jump Crypto는 생태계의 신뢰를 유지하기 위해 해당 자금을 대체해 주었습니다. 이 사건은 단 한 줄의 오류 있는 코드만으로도 브리지의 모든 지원 자금이 소진될 수 있음을 보여주었습니다.
- 2022년에 가장 많이 발생한 암호화폐 해킹 유형은 브리지 관련 해킹이었습니다. 3월에는 로닌 브리지가 약 6억 달러의 손실을 입었으며, 10월에는 BNB 토큰 허브도 자금을 잃었습니다. 이러한 사건들은 멀티체인 구조가 복잡해질수록 공격 가능성도 증가한다는 것을 보여주었습니다. 브리지는 여러 체인의 유동성을 단일 실패 지점에 집중시키기 때문에 고가치의 표적이 됩니다.
- 브리지의 보안 모델은 그 신뢰 가정에 따라 달라집니다. 일부 브리지는 자금을 훔치거나 거래를 검열하기 위해 공모할 수 있는 신뢰할 수 있는 운영자를 사용합니다. 다른 브리지들은 속도와 보안 사이의 타협으로 경량 클라이언트 인증이나 낙관적 검증 방식을 사용합니다. 선택하는 메커니즘에 따라 위험 수준이 결정되는데, 더 높은 탈중앙화 수준은 보통 더 느린 최종 확정 속도와 더 복잡한 구현 과정을 의미합니다.
- 사용자들은 계약에 자산을 예치함으로써 브리지와 상호작용하고, 다른 체인에서 워프된 토큰을 받습니다. 이 과정에서 브리지 계약에 승인 권한이 부여되며, 사용자가 해당 권한을 취소하지 않으면 지속적으로 위험에 노출됩니다. 워프된 토큰을 장기간 보유하면 그러한 위험 상태는 계속 유지됩니다. 여기서는 체인 간 접근의 편리성과 여러 관리 계층을 운영해야 하는 보안상의 부담 사이의 타협이 필요합니다.
- 이 아키텍처를 확인하려면 주요 체인의 블록 엑스플로러를 엽니다. 래핑된 토큰 거래를 찾은 다음, 해당 거래를 발행한 컨트랙트 주소를 추적합니다. 그 브리지와 관련된 감사 보고서 및 보안 평가 결과도 확인해야 합니다. 거래 승인에 필요한 운영자나 검증자의 수도 기록해 둡니다. 이러한 점검을 통해 해당 자산의 가치를 뒷받침하는 구체적인 신뢰 전제들을 알아볼 수 있습니다.
핵심 사실
- 랩된 자산이란 원본 코인이 아닌, 브리지의 보관 및 코드에 대한 권리를 의미합니다.
- 2022년 2월에 발생한 웜홀 악용 사건으로 담보 없이 약 3억 2천만 달러 상당의 12만 개의 랩된 ETH가 생성되었습니다.
- 점프 크립토는 생태계의 신뢰를 유지하기 위해 웜홀 해킹으로 인해 손실된 자금을 대체했습니다.
- 2022년에는 Ronin과 BNB Token Hub를 포함한 브리지 해킹이 가장 큰 규모의 암호화폐 해킹 유형이었습니다.
- 신뢰할 수 있는 브리지들은 운영자들이 이론적으로 공모하거나 거래를 검열할 수 있어 상대방 위험을 안고 있습니다.
- 포장된 토큰을 장기간 보유하면 브리지의 코드와 운영자에 대한 노출이 지속됩니다.
연습 아홉, 여섯, 셋, 하나
9모으기스마트 컨트랙트 버그, 운영자 공모, 검열 등과 같이 크로스체인 브리지를 사용할 때 발생할 수 있는 9가지 고유한 위험을 나열하십시오. 각 위험에 대해 자금 손실이나 접근 불가능 상태가 발생하는 구체적인 메커니즘을 기재하십시오.
6묶기9가지 위험 요소를 그 원인에 따라 코드 결함, 인적 오류, 악의적 의도, 시스템적 실패, 경제적 인센티브, 사용자 행동의 6개 범주로 분류합니다.
3추리기6가지 범주를 브리지 관련 위험을 줄이는 3가지 핵심 설계 원칙으로 축소합니다. 신뢰에 대한 가정을 최소화하고, 운영자와는 별개로 보안이 독립적으로 검증되도록 하는 데 중점을 둡니다.
1결정화패키징된 자산의 가치는 그 기반이 되는 브리지 코드와 연산자들의 무결성에 전적으로 의존하기 때문입니다.
팩트 체크
날짜, 수치 및 주장은 아래에 명시된 출처들을 통해 확인되었습니다.
- Wormhole Foundation, Wormhole Incident Report (February 2022)
- Chainalysis, Crypto Crime Report (2023)
- Ethereum.org, Documentation on Bridge Risks
- L2Beat, Bridges Risk Assessment