이더리움 재단은 10억 명의 사용자가 각 1,000달러를 보관해도 안전하게 보유할 수 있을 정도의 신뢰를 구축하기 위해 1조 달러 보안 이니셔티브를 발표했으며, 이 이니셔티브는 생태계 전반의 보안 취약점을 분석하고 해결하는 위협 요소 파악 - 문제 해결 - 커뮤니티 교육의 3단계 로드맵을 포함한다.
이더리움 재단의 이번 이니셔티브는 웹3의 매스 어돕션(Mass Adoption)에 가장 큰 걸림돌로 작용하던 사용자 보안 위협을 포괄적으로 해소하고자 하며, 그 효과는 이더리움 뿐만 아니라 웹3 생태계 전반에 작용할 것이다.
본 글은 이번 이니셔티브의 세부사항과 함께, 진정한 사용자 보안성을 달성하기 위해 추가적으로 고려되었으면 하는 사항들에 대해 제언한다.
Source: Ethereum Foundation
5월 14일 이더리움 재단은 “1조 달러 보안”이라는 이니셔티브(Initiative)를 발표했다. 이 계획은 10억 명의 사용자가 온체인에서 각 1,000달러를 보유하며 완전한 안전을 느낄 수 있는 보안 수준, 그리고 이들의 자금을 모두 모아 단일 스마트 컨트랙트에 예치해도 리스크가 없다고 느낄 수 있는 수준의 신뢰를 구축하는 것을 목표로 이더리움 생태계 전반을 재점검하고 개선하는 데에 목적을 두고 있다.
이더리움의 성장 과정에서 보안 문제는 끊임없이 이더리움을 괴롭혀왔다. 2016년의 The DAO 해킹 사건을 시작으로, 이더리움과 EVM 생태계는 웹3 생태계 보안사고 리더보드에서 거의 전부를 차지하며 보안 위협의 중심에 위치해왔다. 특히 북한의 라자루스(Lazarus) 그룹과 같이 국가의 지원을 기반으로 하는 해킹 조직의 공격은 이더리움 생태계에 심각한 위협으로 떠올랐다.
이러한 위협은 스마트 컨트랙트의 해킹을 통한 직접적인 자금 탈취에 국한되지 않고, 사용자 수준에서의 상호작용에 사용되는 온갖 웹2 구성요소들로까지 이어졌다. 초기에는 월렛 드레이너(Wallet Drainer)나 가짜 NFT를 민팅하게 하는 단순한 방식으로 사용자의 자금을 탈취했지만, 요즘에는 바이비트(Bybit) 사고와 같이 소셜 엔지니어링을 통해 써드파티 인프라 서비스를 공격하거나, DNS 하이재킹 등 인터넷 서비스 제공자를 공격해 서비스의 프론트엔드를 악의적으로 변경하는 등 복잡하고 사용자가 알아차리기 어려운 형태의 공격으로 공격의 방식이 진화하고 있다.
Source: Flicker
이더리움은 그동안 탈중앙 화폐로써의 ETH의 가능성을 주장해왔으나, 사용자 자금에 대한 보안 리스크가 큰 환경에서 이더리움이 은행의 역할을 대체할 수 있는가에 대한 의문이 이어져왔다. “Ethereum is a Dark Forest”라는 말이 등장한지 오랜 시간이 흘렀지만, 우리는 아직도 개인이 보안에 대한 우려를 온전히 안아야하는 부담을 갖고 있다. 우리는 과연 현재 옆집 김씨 할머니에게 이더리움으로 1천 달러를 옮겨서 디파이 파밍을 해보라고 자신있게 이야기할 수 있는 단계에 있는가? 필자는 절대 아니라고 생각한다.
이더리움은 이번 1조 달러 보안 이니셔티브를 통해 위의 예시와 같은 상황이 가능할 정도로 완전한 수준의 보안성을 확보하고, 이를 기반으로 이더리움의 높은 보안 속성을 외부에 알려 이더리움의 강력한 입지를 다지는 것을 목표로 하고 있다. 이번 이니셔티브를 달성하기 위해 이더리움 재단 측이 공개한 로드맵은 다음과 같이 세 단계로 구성되어 있다.
1단계 - 생태계 보안 위협 파악 및 리포트 작성: 이더리움 생태계 내 모든 보안 취약점을 체계적으로 분석하고 이를 포괄하는 보고서를 작성한다.
2단계 - 시급한 문제 해결: 리포트에서 도출된 가장 긴급한 보안 문제를 우선순위에 따라 해결한다.
3단계 - 보안을 이해하기 쉽게 만들기: 이더리움의 강화된 보안 속성을 누구나 쉽게 이해할 수 있도록 만들고, 이를 통해 커뮤니티가 이더리움이 다른 블록체인이나 전통 시스템에 비해 어떤 점에서 더 안전한지를 학습할 수 있도록 만든다.
필자는 이 중 특히 1단계를 주목할만 하다고 생각하는데, 이더리움 재단 측이 진정으로 웹3 프로젝트들에서 발생할 수 있는 거의 모든 구성 요소에 대한 보안 위협을 정립할 것으로 보이기 때문이다. 이번 이니셔티브와 관련해 이더리움 재단이 작성한 블로그 글은 아래와 같은 요소들을 공격 표면으로 포함시킬 것임을 밝히고 있다.
프론트엔드 보안과 서명 등 사용자 경험 관련 구성 요소
하드웨어 지갑들에 대한 펌웨어 및 라이브러리 공급망 보안
개발 툴과 표준 라이브러리에 대한 보안 재점검
클라우드와 개발 의존성 등 인프라 수준의 보안
DoS(Denial of Service, 서비스 거부 공격) 위험도, 스테이킹 지분 중앙화를 포함하는 합의 및 프로토콜 수준의 보안
DNS 등 인터넷 인프라에 대한 보안
프론트엔드 취약점이나 서명 시의 가시성 부족, 클라우드 환경의 해킹으로 인해 피해가 발생할 수 있다는 것에는 일반 사용자들도 이견이 없을 것이라고 생각한다. 하지만 그 외 라이브러리나 인터넷 인프라는 일반 사용자가 생각하기에 큰 위협요소가 아니라고 받아들여질 수 있는데, 이것이 왜 보안 위협으로 이어지는지에 대해 실제 웹3 생태계에서 발생한 사고들을 통해 설명해보도록 하겠다.
Source: Metamask
먼저 하드웨어 지갑의 라이브러리 공급망이 공격당한 실제 사례는 그리 멀지 않은 과거에 존재한다. 2023년 12월 렛저(Ledger) 지갑에 대해 발생한 공격이 그 경우인데, 렛저를 웹사이트에 연결하는 역할을 하는 커넥트 키트(ConnectKit)라는 라이브러리에 월렛 드레이너가 삽입되는 공격이 발생했다. 이 공격은 팬케이크스왑(PancakeSwap), 스시스왑(SushiSwap), 맨틀(Mantle) 등 생태계 전반에 걸쳐 다수의 사용자에 영향을 미쳤으며, 총 60만 달러의 피해를 발생시켰다. 사용자 입장에서는 이런 유형의 공격을 방어할 수 있는 방법이 없으며, 개발 프로세스 전반에 걸쳐 안전한 개발 운영(DevOps) 여부가 실시간으로 점검되어야 한다. 이번 이니셔티브를 통해 주로 사용되는 하드웨어 지갑들에 대한 개발 프로세스 보안을 전체적으로 재점검할 것을 요구할 것으로 예상된다.
Source: dYdX
인터넷 인프라에 대한 보안 공격 사례 또한 다수 존재한다. 통상 DNS 공격이라고 불리는 유형의 공격은 사용자가 입력하는 “www.xxx.com” 형식의 도메인 주소를 올바른 IP 주소의 서버로 연결시켜주는 역할을 하는 DNS 서비스 제공자를 대상으로 발생한다. DNS 공격은 사용자가 접속을 원하는 서버 대신 공격자가 악의적으로 변경시킨 서버로 사용자를 연결시키며, 대부분의 경우 똑같은 화면으로 위장한 월렛 드레이너 웹사이트로 사용자를 연결시킨다. 이러한 공격은 2023년 말과 2024년 3분기에 집중적으로 발생했는데, 피해를 입은 프로젝트로는 dYdX, Ethena Labs, Ether.Fi, Compound, Aerodrome, Velodrome, Balancer 등 유명 프로젝트들이 포함되어 있다. 인터넷 인프라를 통한 공격은 사용자 입장에서는 주소로 입력한 문자열, 즉 도메인 주소가 동일하기에 웹사이트의 소스코드를 매번 분석하는 사람이 아니라면 알아차리기 매우 어렵다. 이또한 프로젝트 측에서 실시간 보안 점검 프로세스를 구축해 추적하는 시스템이 필요한데, 이는 이더리움 재단에서 유명 프로젝트들의 웹사이트를 직접 모니터링하거나 개발을 지원해주는 방식을 사용할 것으로 예상된다.
Source: Anchain.AI
흔히 웹3 프로젝트의 보안을 스마트 컨트랙트에 한정된 것으로 생각하지만, 웹3 프로젝트는 블록체인과의 상호작용 이외에도 웹2 프로젝트와 거의 동일한 구성요소들을 포함하고 있다. 이는 완전한 웹3 보안을 위해서는 사용자 자금이 예치되는 블록체인 환경 외에도 웹2 구성요소에 대한 포괄적인 보안이 달성되어야 함을 의미하며, 이더리움 재단은 이를 재단 수준의 강력한 이니셔티브를 통해 현실로 만들려 하고 있다.
이번 이니셔티브를 실현하기 위해서는 보안 업계 전반에 걸친 협력과 연구를 필요로 하는데, 이더리움 재단은 이를 위해 보안 업계에서 가장 영향력이 큰 인물들을 어드바이저로 선보였다.
가장 먼저 전 패러다임 보안 어드바이저로 대중들에게도 잘 알려져 있는 샘씨즈선(Samczsun)이 어드바이저로 합류했다. 샘은 이번 이니셔티브 확장 과정에서 보안 업계 핵심 플레이어들의 단체인 SEAL Alliance의 설립자로써 탑티어 보안 리서쳐들의 협력을 이끌어내는 역할을 하게 될 것으로 보인다.
그 다음으로는 개인 오디터로 활동하며 역사적인 족적을 남긴 자크 오브론트(Zach O’Bront)가 언급되었으며, Ethrealize 공동설립자로써 이더리움 개발자 및 리서쳐들과 시너지를 낼 것으로 기대된다.
마지막으로 탑티어 보안회사 Sigma Prime의 공동설립자 메흐디 제로우알리(Mehdi Zerouali)가 어드바이저로 언급되었다. Sigma Prime은 이더리움 초기 보안 감사계 탑티어 팀으로써 활동하다가 현재는 프로덕트 개발에 집중하고 있는 팀이다. 이들의 이더리움 생태계에서의 대표적인 기여로는 현재 가장 많이 쓰이는 Rust 기반 이더리움 합의 클라이언트 중 하나인 라이트하우스(Lighthouse)를 오픈소스로 공개한 점을 들 수 있다. 이들은 각각 보안, 개발 업계에서 지대한 영향력을 갖고 있는 인물들이기에 빠른 속도의 혁신을 이루어내기 위한 생태계의 협조를 잘 이끌어낼만한 구성원으로 보인다.
이더리움 재단의 이번 이니셔티브는 이더리움 생태계 뿐만 아니라 웹3 생태계 전체의 보안성을 비약적으로 끌어올리는 방대한 규모의 계획이며, 필자는 웹3의 매스 어돕션(Mass Adoption)을 위해 패시브(Passive) 보안 시스템이 가장 중요한 요소라고 생각하고 있기에 반가운 발표가 아닐 수 없었다. 구성원만을 보더라도 이더리움 재단이 단순 말뿐만이 아니라 진심으로 이번 이니셔티브를 밀고 나갈 것이라고 생각되는데, 아직까지 이정도의 수준으로 생태계의 주요 구성원을 모아 보안 내러티브를 제시한 사례는 블록체인 역사에서 찾아볼 수 없었기 때문이다.
하지만 반대로, 이러한 이니셔티브가 왜 필요할 수 밖에 없었는지에 대해 비판적으로 생각해볼 필요가 있었고, 이를 통해 내린 결론은 다음과 같았다.
필자는 웹2 자본이 웹3로 넘어오기 어렵게 만드는 보안 위협의 형태가 웹사이트 변조 등 기존 웹2 서비스에서도 발생할 수 있는 공격이 아닌, 컨트랙트와 체인 수준의 취약점이라는 새로운 형태의 취약점에 가깝다고 생각한다. 또한 결국 사용자의 자본이 예치되어 관리되는 환경은 블록체인이기에, 안전한 형태의 블록체인을 설계하는 것이 그 무엇보다 중요하다고 생각한다.
하지만 이더리움과 이를 기반으로 하는 개발 환경은 너무나도 많은 보안 비용을 소모해왔다. 현재 컨트랙트 취약점에 의해 발생하는 사고들은 사실상 EVM 환경, 특히 솔리디티로 작성된 컨트랙트에서만 발생한다고 봐도 무방하다. Non-EVM 환경의 체인에서는 컨트랙트 보안 사고가 매우 드물게 발견되며, 솔라나, 앱토스 등에서 연간 1~2건 정도 발생하는 것이 전부이다.
과연 라자루스는 솔리디티 이외의 언어를 읽을 줄 몰라서 Non-EVM 체인을 공격하지 않는 것일까? 그것은 절대 아니라고 생각한다. 솔리디티는 언어 자체의 자유도가 높아 보안을 최우선에 두고 설계된 Rust 등 현대 언어에 비해 보안성이 떨어질 수밖에 없다. 하지만 {개발 난이도 & 사용성}과 보안의 맞교환은 어느정도 존재할 수 밖에 없고, 이더리움이 2세대 블록체인 중 자연선택된 이유에는 전자가 큰 역할을 했다고 생각하기도 한다.
하지만 아직까지도 매우 기본적인 유형의 취약점으로 수십~수백만 달러의 해킹이 발생하고 있는 것은 용납하기 어려운 현실이다. 지난 10년간 이더리움 생태계에서는 Slither 등 컨트랙트 내 취약점 탐지를 자동화 하고자 하는 노력이 더러 있었지만, 아직까지 명확한 효과를 보인 툴은 없는 것으로 보인다. 현재 Cyvers.AI, Anchain.ai 등 인공지능을 기반으로 보안 감사 서비스를 제공하는 회사들이 등장하고 있지만, 기본적인 취약점으로 인해 공격을 받는 프로젝트들은 보안 감사 비용을 감당하기 어렵다. 결국 사용자가 상호작용할만한 거의 모든 컨트랙트를 안전하게 만들기 위해서는 강력한 취약점 탐지 툴이 오픈소스의 형태로 재단의 후원을 기반으로 운영되어야한다는 것이 필자의 생각이며, 이번 보안 이니셔티브에서 고려되었으면 좋겠다고 생각하는 부분이다.
Source: SEAL Alliance
필자는 이번 이니셔티브의 어드바이저로 SEAL Alliance(이하 SEAL)의 샘이 포함된 것을 굉장히 고무적으로 생각하는데, 이는 SEAL이 이루고자하는 목표가 “보안의 표준화”이기 때문이다.
SEAL의 등장 이전에는 해킹 발생시의 프로세스가 전혀 표준화되어있지 않았다. 실제로 해킹 사고가 발생하면 법적인 문제 해소, 해킹 자금 추적, 사고 원인 분석, 사후보고서(postmortem) 작성, 책임요소 식별, 거래소와의 협업 등 프로젝트 측에서 동시다발적으로 처리해야하는 일이 급증하며, 이때문에 사고가 발생시 대처가 적재적소에 이루어지지 않는 경우가 너무나도 많았다. 이에 samczsun, pcaversaccio 등 보안 업계 핵심 플레이어이 프로젝트 사고 발생시 연락할 수 있는 핫라인으로 텔레그램 채널을 개설한 것이 SEAL 911이며, 이것이 현재 SEAL Alliance라는 보안 협력체의 시초이다. 현재 SEAL Alliance에는 0xc0ffeebabe.eth 등 화이트햇 밸리데이터부터 보안 업계의 핵심 플레이어들, 그리고 수이 재단의 Alex 등 생태계 주요 인력들이 포함되어 있다.
현재 SEAL Alliance는 단순히 사고의 대처에 일정 인원이 투입되어 대처하는 것을 넘어서서 사고 발생시의 대처 프로세스를 표준화해 오픈소스로 배포하고, 스트레스 테스트를 필요로 하는 대형 프로젝트들에 대해서는 사고 상황을 재현하는 훈련 프로그램을 제공하고 있다. 이에 더해 SEAL은 Safe Harbor 프로그램을 통해 해킹 사고로 인해 발생하는 법적 어려움 또한 해소하려 하고 있다. 프로젝트에 취약점이 사전 발견되거나 사후 대처를 위해 화이트햇 해킹을 통한 자금 이동을 수행하기 위해서는 Safe Harbor라고 불리는 법적 합의를 필요로 하는데, 적절한 기관의 지원을 받지 못하는 소형 프로젝트들은 이를 수행하기 매우 어려웠다. SEAL은 미리 Safe Harbor 동의를 체결하거나, 사고 발생시 즉시 프로젝트와 연결해 합의에 착수할 수 있도록 하는 방식으로 프로그램을 운영하고 있다. 이렇듯 SEAL은 사고에 대한 빠르고 적절한 대응, 그리고 프로세스의 표준화를 위한 거의 모든 면에서의 노력을 기하고 있다.
그러나 SEAL이 생태계에 제공하는 높은 기여도에도 불구하고, 지금까지 그 인지도와 지원이 너무 적었다. 이번 이니셔티브를 통해 SEAL은 최소 이더리움 생태계 보안을 책임지는 연합체로써 모든 프로젝트로부터 인지도를 가질만큼 성장해야할 것이다.
이번 이니셔티브를 통해 지금까지 불안요소로 작용하던 많은 위협 요소들이 해소된다고 하더라도, 필자는 사용자나 기관 측에서 진정 안심하고 자본을 예치하기 위해 온체인 자산에 대한 보험이 반드시 활성화되어야 한다고 생각한다.
보험 상품은 그 설계와 보상을 위한 판단의 어려움때문에 적용의 어려움을 받아왔다. 현재까지 온체인 보험 상품 중 가장 유의미한 지표를 낸 것은 넥서스 뮤추얼(Nexus Mutual)이라는 완전 온체인 보험 프로토콜로, 프로토콜과 밸리데이터들에 대해 해킹이나 슬래싱으로 인해 발생하는 자금 손실에 대해 일부분을 보상하고 있다. 넥서스 뮤추얼은 2019년 출시 이후 57.8억 달러의 커버리지를 제공, 1800만 달러를 보상금으로 지불하는 등 유의미한 성과를 냈다.
하지만 넥서스 뮤추얼의 상품은 리테일이 아닌 프로젝트를 대상으로 하고 있었기에 이번 이니셔티브가 제시하는 개인의 완전한 보안적 안정감을 제공하기에는 한계가 있었다. 현재 온체인 보험을 제공하고 있는 프로젝트들로 포켓 유니버스(Pocket Universe), 페어사이드(Fairside) 등이 있는데, 필자는 이와 같은 온체인 사용자에 대한 보험이 널리 적용되어야한다는 생각을 갖고 있다. 기존 온체인 보험 상품은 사고에 대한 손해사정의 어려움이 가장 크게 작용했으나, 현재 페어사이드 등의 프로젝트에 체이널리시스(Chainalysis) 등 수사기관이 협력하며 이를 해소하고 있다. 가장 큰 문제는 보험료에 대한 사용자의 거부감인데, 이를 해소할 수 있도록 생태계의 다양한 지원이 필요하다고 생각된다.
이번에 이더리움이 발표한 보안 관련 이니셔티브는, 그동안 제기되어 온 보안 문제를 직시하고 이를 진정성 있게 해결하려는 시도로 보여 매우 고무적이다. 이더리움, 더 정확히는 이더리움 가상 머신(EVM)이 보안 위협에 노출되어 있는 주된 이유는 그 기반 기술이 비교적 오래된 구조에 있기 때문이다.
일각에서는 이더리움이 애초에 EVM보다 더 발전된 기술을 선택했어야 한다고 주장한다. 그러나 이는 기술 발전의 흐름과 맥락을 간과한 시각이다. 솔라나의 러스트(Rust)나 수이의 무브 가상 머신(moveVM)과 같은 대안 기술들은 모두 이더리움 이후에 등장한 것으로, EVM의 한계를 분석하고 이를 보완하기 위해 설계된 결과물이다. 다시 말해, 이더리움이 없었다면 이후 블록체인 생태계의 기술적 발전 방향 자체가 달라졌을 수도 있다.
또한 현재라도 이러한 기술로 전환해야 한다는 주장에 대해서는, 이더리움이 시간의 흐름과 함께 시스템적 규모와 복잡성이 기하급수적으로 커졌다는 점을 생각해야 한다. 지금 이 시점에서 전면적인 기술 전환을 시도하는 것은 현실적으로 매우 어려운 과제다. 이러한 상황은 역사가 깊고 오랜 시간 동안 살아남은 모든 시스템이 겪는 숙명과도 같다. 바로 “왕관의 무게”를 견뎌야 하는 것이다.
그럼에도 불구하고, 이번 이니셔티브 발표를 포함하여 최근 이더리움의 행보는 이더리움이 그 무게에 짓눌리기보다, 오히려 그것을 이겨내기 위한 노력을 지속하고 있다는 인상을 받는다. 예를 들어, 이더리움 재단의 공동 상무이사(Co-Executive Director) 선임을 통한 조직 정비, 비탈릭 부테린의 연구자로서의 복귀, 커뮤니티와의 접점을 확대하며 이더리움 재단의 방향성과 로드맵을 설파하려는 노력 등은 이더리움의 자정 노력을 다방면으로 보여주는 좋은 사례들이다.
그동안 이더리움은 성능과 보안 측면에서 더 뛰어난 L1 블록체인의 등장, 로드맵에서 제시한 롤업의 파편화 문제, 그리고 $ETH의 본질적 가치에 대한 비판 등 다양한 도전에 직면해 왔다. 이와 같은 상황에서 가장 치명적인 태도는 문제를 인식하고도 이를 인정하지 않는 것인데, 그런 점에서 이더리움은 적어도 문제를 회피하지 않고, 이를 인정하며 해결하려는 의지를 보여주고 있다는 점에서 의미가 크다. 물론, 제시된 방향성과 이니셔티브가 실제로 구체적인 성과로 이어져야만 진정한 평가가 가능할 것이다. 하지만 지금까지의 흐름을 살펴보면, 이더리움은 단순한 보여주기식 대응이 아니라, 구조적 개선을 위한 진정성 있는 시도를 하고 있다는 인상을 준다.
앞으로도 이더리움 재단이 자아성찰의 긴 터널을 지나 다시금 부활의 신호탄을 쏘아 올리는 과정을 지켜보는 일은 크립토 및 블록체인 산업계, 그리고 웹3 생태계 전반에 큰 의미를 가질 것이다. “살아남는 자가 강한 것이다”라는 말을 이더리움이 앞으로도 증명해 낼 수 있을까?
관련 아티클, 뉴스, 트윗 등 :
