.jpeg)
최근 Sepolia 테스트넷에서 진행된 Pectra 업그레이드가 알려지지 않은 공격자에 의해 취약점이 악용되면서 심각한 문제에 직면했습니다. 이 사건은 이더리움 개발자들 사이에서 업그레이드 프로세스의 보안과 향후 개발에 대한 우려를 불러일으켰습니다.
주요 내용
-
Pectra 업그레이드는 2025년 3월 5일 오전 7시 29분에 출시되었습니다.
-
공격자는 엣지 케이스를 악용하여 빈 블록을 채굴했습니다.
-
개발자들은 이를 공개하지 않고 문제를 완화하기 위한 비공식적인 수정 조치를 시행했습니다.
-
이 사건은 Sepolia 테스트넷에 국한되었으며, 메인넷에는 영향을 미치지 않았습니다.
사건 개요
2025년 3월 5일, 이더리움 개발팀은 Sepolia 테스트넷에서 Pectra 업그레이드를 론칭했습니다. 그러나 며칠 후, 개발자 Marius van der Wijden은 업그레이드가 오류로 가득 차 있다고 보고했습니다. 주로 예치 계약이 잘못된 이벤트를 트리거하여 빈 블록이 채굴되는 문제로 인해 네트워크의 기능이 심각하게 방해받았습니다.
초기 오류는 예치 계약에서 발생했으며, 이 계약이 예치 이벤트 대신 전송 이벤트를 잘못 트리거했습니다. 이 잘못된 구성으로 인해 알려지지 않은 공격자가 제로 토큰 전송을 예치 주소로 보내는 방식으로 상황을 악용하여 동일한 오류가 반복되도록 했습니다.
공격 세부사항
-
악용 방법: 공격자는 제로 토큰 전송을 허용하는 ERC-20 표준을 활용하여 새로 자금을 조달한 계정에서 거래를 보냈습니다.
-
영향: 이 공격으로 인해 빈 블록이 대량으로 채굴되어 네트워크 성능이 저하되었습니다.
-
개발자 대응: 팀은 처음에 신뢰할 수 있는 검증자의 실수를 의심했지만, 빠르게 거래의 출처가 외부 계정임을 확인했습니다.
완화 노력
공격에 대응하여 개발팀은 즉각적인 조치를 취했습니다:
-
비공식 수정 배포: 예치 계약과 상호작용하는 거래를 필터링하는 수정이 만들어졌습니다. 이 수정은 추가적인 악용을 방지하기 위해 선택된 DevOps 노드에 배포되었습니다.
-
통제된 업데이트: 개발자들은 공격자가 그들의 통신을 모니터링하고 있을 것이라고 의심하여 수정을 공개하지 않기로 결정했습니다. 대신, 그들이 통제하는 노드만 업데이트하여 네트워크를 안정화했습니다.
-
성공적인 해결: 같은 날 오후 2시까지 모든 노드가 업데이트되었고, 문제가 된 거래가 성공적으로 채굴되어 정상 운영이 복구되었습니다.
미래의 함의
Pectra 업그레이드 중에 직면한 도전에도 불구하고, 이더리움 팀은 메인넷이 영향을 받지 않았으며 사건 동안 최종화가 결코 손실되지 않았음을 확인했습니다. 그러나 개발자들은 시스템의 견고성을 보장하기 위해 추가 테스트가 진행될 때까지 Pectra 업그레이드를 연기하기로 결정했습니다.
이 사건은 블록체인 기술 내에서 지속적인 보안 문제와 업그레이드 배포 전에 철저한 테스트 및 검증 프로세스의 중요성을 강조합니다. 이더리움이 계속 발전함에 따라, 네트워크의 무결성과 보안을 유지하는 것이 성공과 사용자 신뢰에 있어 매우 중요할 것입니다.
출처
-
Sepolia에서 Pectra 업그레이드 중 발생한 알려지지 않은 공격자 문제, StartupNews.fyi.
-
Sepolia에서 Pectra 업그레이드 중 발생한 알려지지 않은 공격자 문제, Cointelegraph.