사이버 공격자들 정조준...블록체인 브릿지들의 세계
학습 차원에서 틈틈이 해외 전문가들이 블로그나 미디어 그리고 책에서 쓴 글을 번역 또는 정리하고 있습니다. 이번 포스팅도 그중 하나고요. 거칠고 오역된 부분이 있을 수 있습니다. 제대로 번역되지 않은 부분은 확인 주시면 반영토록 하겠습니다. 이번 글은 디파이 전문 미디어 디파이언트에 올라온 글을 정리한 것입니다.
크립토 산업은 몇 몇 레이어1 블록체인들과 레이어2 확장성 솔루션들이 고유한 역량들과 트레이드 오프(trade-offs)를 갖고 상호 연결되는 생태계로 진화했다.
팬텀, 테라, 또는 아발란체 같은 네트워크들은 디파이 활동에서 번성했고 엑시 인피니티와 디파이 킹덤 같은 플레이 투 언(while play-to-earn: P2E) 디앱들은 로닌과 하모니 같은 전체 생태계를 지탱한다.
이들 블록체인들은 이더리움 가스 비와 상대적으로 느린 거래 시간에 진지한 대안들로 떠올랐다. 서로 다른 블록체인들에서 프로토콜들 사이에서 자산을 이동하는 쉬운 방법에 대한 필요성은 그 어느 때보다 중요해졌다.
이것이 블록체인 브릿지들이 들어오는 지점이다
멀티체인 시나리오 결과로 모든 디파이 디앱들에 걸쳐 TVL(Total Value Locked)이 급증했다. 이 산업 TVL은 2150억 달러 규모로 추정되고 있다. 2021년 3월 대비 156% 높은 수치다. 이들 디파이 디앱들에 묶여 있고 브릿지되는 가치 규모는 악의적인 해커들 관심을 불러일으켰다. 그리고 최근 트렌드는 공격자들은, 블록체인 브릿지들에서 취약한 링크를 찾았을 수 있음을 보여주고 있다.
Rekt 데이터베이스에 따르면 2022년 1분기 12억 달러 치 암호 자산이 도난당했다. 지금까지 도난당한 자금의 35.8%에 해당하는 수치다. 흥미롭게도 2022년 손실된 자산의 최소 80%가 브릿지를 통해 도난당했다.
가장 심각한 공격 중 하나는 2주 전 노닌 네트워크 브리지가 5억4000만 달러 규모 해킹을 당했을 때 일어났다. 그전에는 솔라나 웜홀과 BNB체인 큐빗 파이낸스 브릿지가 2022년 4억 달러 이상 취약점 공격을 당했다. 크립토 역사상 최대 규모 해킹은 도난당한 자금이 이후 반환되기는 했지만 2021년 8월 폴리 네트워크 브릿지가 6억1000만 달러 치 취약점 공격을 당했을 때였다.
브릿지는 이 산업에서 가장 가치 있는 도구들 중 하나다. 그러나 그들의 상호 운용성을 갖는 속성은 브릿지를 개발하는 프로젝트들을 위해 중요한 도전을 제시하고 있다.
블록체인 브릿지 이해하기(Understanding Blockchain Bridges)
맨해튼 다리와 유사하게 블록체인 브릿지들은 두 개 다른 네트워크들을 연결해 한 블록체인에서 다른 블록체인으로 자산과 전송의 크로스 체인 전송을 가능케 하는 플랫폼들이다.
이 방식으로 암호화폐들과 NFT들은 그들의 네이티브 체인에 사일로화되지 않고 다양한 블록체인들에 걸쳐 브릿지될 수 있다. 이를 통해 이들 자산을 활용할 수 있는 옵션을 몇 배로 키울 수 있다.
브릿지들 덕분에 비트코인은 디파이용 스마트 컨트랙트 기반 네트워크들에서 사용되거나 NFT 올데이 NFT(NFL All Day NFT)가 여러 개로 쪼개지거나 담보로 쓰일 수 있도록 플로우에서 이더리움으로 브릿지될 수 있다.
자산을 전송하는 것과 관련해서는 다양한 접근들이 있다. 이름이 시사하는 것처럼 록앤민트(Lock-and-Mint) 브릿지는 오리지널 자산을 보내는 쪽 스마트 컨트랙트 안에 잠가두고 받는 쪽 네트워크는 오리지널 토큰 복제본을 다른 쪽에서 발행한다. 이더가 이더리움에서 솔라나로 브릿지된다면, 솔라나에 있는 이더는 이더리움이 단지 랩으로 쌓인 것을 나타낸다. 실제 이더리움 자체가 아니다.
락 앤 민트(lock-and-mint) 접근은 가장 인기 있는 브릿지 방법이지만, 번 앤 민트(burn-and-mint)나 2개 네트워크들 사이에서 자산들을 상호 교환하기 위해 스마트 컨트랙트에 의해 자체 실행되는 오토믹 스왑(atomic swaps) 같은 자산 전송을 완성할 수 있는 다른 방법들도 있다. 커넥스트(Connext, 전에는 xPollinate)와 c브릿지(cBridge)는 오토믹 스왑에 의존하는 브릿지들이다.
보안 측면에서 보면 브릿지들은 2개 주요 그룹들로 분류될 수 있다. 트러스티드(trusted)와 트러스트리스(trustless)다. 트러스티드 브릿지들은 거래를 검증하기 위해, 그러나 그러나 보다 중요하게는 브릿지되는 자산들의 커스터디로 행동하기 위해 서드파티에 의존하는 플랫폼들이다.
트러스트티드 브릿지들 사례는 바이낸스 브릿지, 폴리곤 POS 브릿지, WBTC 브릿지, 아발란체 브릿지, 하모니 브릿지, 테라 셔틀 브릿지, 같은 거의 모든 블록체인 특화 브릿지들과 멀티체인(전에는 애니스왑) 또는 트론 저스트 크립토스 같은 특정 디앱들에서 찾을 수 있다.
반대로 자산들을 보관하기 위해 순수하게 스마트 컨트랙트와 알고리즘에서 의존하는 플랫폼들은 트러스트리스 브릿지들이다. 트러스트리스 브릿지들에서 보안 요소들은 자산들이 브릿지되는 기반 네트워크에 묶여 있다. 예를 들면 자산들이 묶여 있는 곳이다. 트러스트리스 브릿지들은 니어 레인보우 브릿지, 솔라나 웜홀, 폴카닷 스노우 브릿지, 코스모스 IBC, 홉(Hop), 커넥스트, 셀러(Celer)같은 플랫폼들에서 찾아볼 수 있다.
얼핏 보면 트러스트리스 브릿지들은 블록체인 간 자산 전송에 보다 안전한 옵션을 제공하는 것처럼 보일 수 있다. 그러나 트러스티드와 트러스트리스 브릿지들은 둘 다 다양한 도전들에 직면해 있다.
트러스티드와 트러스트리스 브릿지의 한계들(Limitations of Trusted and Trustless Bridges)
로닌 브릿지는 중앙화된 트러스티드 플랫폼으로서 돌아간다. 이 브릿지는 브릿지되는 자산들 보완을 위해 멀티시그(multisig) 월렛을 사용한다. 간단히 말해, 멀티시그 지갑은 거래를 승인하기 위해 2개 이상 암호학적인 서명들을 요구하는 한 주소다. 로닌의 경우, 이 사이드체인은 9개 밸리데이터들을 갖고 있다. 예치와 인출을 승인하기 위해서는 5개 다른 서명들을 필요로 한다.
다른 플랫폼들은 같은 접근을 사용한다. 그러나 리스크를 보다 잘 다양화한다. 예를 들어 폴리곤은 8개 밸리데이터들에 의존하고 5개 서명을 요구한다. 5개 서명은 각기 다른 이해 관계자들에 의해 통제된다.
로닌의 경우, 스카이 마비스 팀 혼자서 4개 서명을 보유했다. 단일 실패 지점(single point of failure)으로 이어졌다. 해커가 4개 스카이 마비스 서명들을 한번에 통제할 수 있게 된 후. 자산 인출을 승인하려면 단지 하나의 서명만 더 있으면 됐다.
3월 23일, 공격자는 엑시 DAO의 서명에 대한 통제를 얻었다. 공격을 완성하기 위해 요구되는 마지막 조각이었다. 17만3600개 ETH와 2550만 달러 USDC가 로닌 커스터디언 컨트랙트(custodian contract)에서 2개의 각기 다른 거래를 통해 빠져 나갔다. 역사 두 번째로 큰 암호화폐 공격이었다.
스카이 마비스 팀이 공격을 거의 1주일 후에 알았다는 주목할만한 가치가 있다. 로닌 모니터링 메커니즘은 아주 적은 결함이 있었고, 이 신뢰할 수 있는 플랫폼에서 또 다른 결함을 드러냈다.
중앙화는 근본적인 결함이 있지만 트러스트리스 브릿지는 소프트웨어와 코딩에서 버그와 취약점들 때문에 악용하기 쉽다.
솔라나와 이더리움 사이에서 크로스 브릿지 거래들을 가능하게 하는 솔라나 웜홀(Solana Wormhole)은 2022년 2월 취약점 공격으로 고생했다. 3억2500만 달러가 솔라나 커스터디언 컨트랙트 버그 때문에 도난 당했다. 웜홀 컨트랙트에 있는 버그는 해커가 크로스 체인 밸리데이터들로 변장하는 것을 가능케 했다. 공격자는 전송 메시지들(transfer messages) 세트를 촉발하기 위해 0.1 ETH를 이더리움에서 솔라나로 보냈고 12만 ETH 예치로 여겨지게 승인하도록 프로그램을 속였다.
웜홀 해킹은 폴리 네트워크가 2021년 8월 컨트랙트 분류 체계(taxonomy)와 구조에 있는 결함들 때문에 취약점 공격을 당해 6억1000만 달러를 도난 당한 후에 일어났다.
이 디앱에서 크로스 체인 거래들은 키퍼들(keepers)로 불리는 중앙화된 노드 그룹들에 의해 승인됐고 받는 네트워크에서 게이트웨어 컨트래트에 의해 검증됐다. 이번 공격에서 공격자는 키퍼로서 특권을 얻을 수 있었다. 그 결과 자체 매개변수(parameters)들을 설정함으로서 게이트웨이를 속였다. 공격자는 보다 많은 자산들을 빼내기 위해 이 프로세스를 이더리움, 바이낸스, 네오, 그리고 다른 블록체인들에서 반복했다.
모든 브릿지들은 이더리움으로 이어진다(All Bridges Lead To Ethereum)
이더리움은 암호화폐 산업에서 가장 지배적인 디파이 생태계로 남아 있다. 디파이 산업 TVL에서 거의 60%를 차지하고 있다. 동시에 다양한 네트워크들이 이더리움 디파이 디앱들을 위한 대안들로 부상하면서, 블록체인 브릿지들 크로스 체인 활동들에 불을 붙였다.
암호화폐 산업에서 가장 큰 브릿지는 WBCT 브릿지다. 빗고, 카이버, 그리고 RenVM 뒤에 있는 팀인 리퍼블릭 프로토콜이 커스터디를 맡는다. 비트코인 토큰들은 기술 적으로 스마트 컨트랙트 기반 블록체인들과는 호환되지 않기 때문에 WBTC 브릿지는 네이티브 비트코인에 포장을 씌운(wraps) 후 브릿지 커스터디언 컨트랙트에 잠가놓고 그것의 ERC-20 버전을 이더리움에서 발행한다.
이 브릿지는 디파이 섬머(DeFi Summer)에서 크게 인기를 얻었고 이제 125억 달러 규모 가치 비트코인을 보관하고 있다. WBTC는 BTC가 아베, 컴파운드, 메이커 같은 디앱들에서 담보로 사용될 수 있게 하거나, 이자 농사 또는 복수 디파이 프로토콜들에서 이자를 벌 수 있게 한다.
전에는 애니스왑(Anyswap)으로 알려진 멀티체인은 빌트인 브릿지로 40개 이상 블록체인들에 크로스 체인 거래들을 제공하는 디앱이다. 멀티체인은 모든 연결된 네트워크들에 걸쳐 65억 달러를 보관하고 있다. 그러나 이더리움에서 팬덤 브릿지(the Fantom bridge to Ethereum)는 지 35억 달러가 감겨 있는 단연코 가장 큰 풀(pool)이다. 2021년 하반기 이 지분증명(Proof-of-Stake: PoS) 네트워크는 스스로 FTM, 다양한 스테이블코인들 또는 스푸키스왑에서 볼 수 있는 것 같은 wETH를 포함해 매력적인 이자 농사를 갖춘 인기 있는 디파이 목적지를 구축했다.
팬텀과 달리 대부분의 L1 블록체인들은 독립적인 다이렉트 브릿지를 네트워크들에 연결하기 위해 사용한다. 아발란체 브릿지는 대체로, 아발란체 재단이 커스터디를 담당하고, 가장 큰 L1<>L1 브릿지다. 아발란체는 트레이더 조(Trader Joe), 아베, 커브, 플라티푸스 파이낸스(Platypus Finance) 같은 디앱들을 갖추고 가장 강력한 디파이 풍경들 중 하나를 뽑내고 있다.
바이낸스 브릿지도 눈에 띈다. 45억 달러 규모 자산을 두고 있다. 그 뒤를 38억 달러 규모인 솔라나 웜홀이 바짝 추격하고 있다. 테라의 셔틀 브릿지는 TVL 기준으로 2위 블록체인임에도 단지 14억 달러를 보호하고 있다.
이와 유사하게 폴리곤, 아비트럼, 그리고 옵티미즘 같은 스케일링 솔루션들 또한 묶여 있는 자산들 기준으로 가장 중요한 브릿지들이다. 이더리움과 이더리움 사이드체인 간 주요 진입 지점인 폴리곤 POS 브릿지는 세 번째로 큰 브릿지다. 거의 60억 달러를 수탁하고 있다. 반면 아비트럼과 옵티미즘 같은 유명 L2 플랫폼들 브릿지들 유동성 또한 상승세다.
언급할 가치가 있는 또 다른 브릿지는 니어 레인보우 브릿지다. 이 브릿지는 유명한 상호 호환성 트릴레마(interoperability trilemma)를 푸는 것을 목표로 하고 있다. 니어와 오로라를 이더리움과 연결하는 이 플랫폼은 트러스트리스 브릿지들에서 보안을 달성하는데 가치 있는 기회를 제공할 수 있다.
크로스 체인 보안 개선하기(Improving Cross-Chain Security)
연결되는 자산들을 수탁하기 위한 두 가지 접근인 러스티드와 트러스트리스 브릿지들 모두 근본적으로 그리고 기술적인 약점이 있다. 여전히, 블록체인 브릿지들을 겨냥한 악의적인 공격자들에 의해 발생하는 충격을 방지하고 약화하기 위한 방법들이 있다.
트러스티드 브릿지들의 경우 다양한 지갑들에 분산돼 있는 멀티시그 또한 유지하면서 요구되는 서명자들(signers) 비율을 늘리는 것이 필요한 것은 분명하다. 그리고 트러스트리스 브릿지들은 중앙화 관련 리스크를 제거함에도, 솔라나 웜홀 또는 큐빗 파이낸스(Qubit Finance) 취약점 공격에서 보듯 버그들과 다른 기술적인 제약들이 위험한 상황을 몰고 올 수 있다. 따라서 크로스 체인 플랫폼들을 가능한 많이 보호하려면 오프체인 행동들을 수행하는 것이 필수적이다.
프로토콜 들간 협력도 필요하다. 웹3 공간은 유대감 있는 커뮤니티가 특징이다. 따라서, 이 공간을 보다 안전한 장소로 만들기 위해 산업에서 함께 일하는 밝은 지성을 갖는 것은 완벽한 시나리오일 수 있다. 애니모카 브랜즈, 바이낸스, 그리고 다른 웹3 브랜드들은 스카이 마비스가 로닌 네트워크 브릿지 해킹 충격을 줄이는 것을 돕기 위해 1억5000만 달러를 모았다.
멀티체인 미래를 위해 함께 일하는 것은 상호 운용성을 다음 수준으로 밀고 갈 수 있다. 마찬가지로 체인 분석 플랫폼들 그리고 중앙화된 거래소들과의 협력은 도난당한 토큰들을 추적하고 표시하는데 유용하다. 이 조건은 중기적으로 범죄자들 인센티브를 약화할 수 있다. 암호화폐를 법정 화폐로 현금화하기 위한 게이트웨이는 중앙화 거래소들이 구축한 고객신원확인(KYC) 절차에 의해 통제를 받을 수 밖에 없다.
지난달 20세 한 커플이 NFT 공간에서 사람들을 속인 후에 법적으로 재재를 받았다. 같은 조치를 확인된 해커들에게 요구하는 것은 마땅하다.
감사와 버그 바운티들은 어느 웹3 플랫폼 건강을 개선하기 위한 또 다른 방법이다. 서틱Certik), 체인세이프Chainsafe), 블록섹(Blocksec) 그리고 몇몇 다른 곳들 같은 인증된 조직들은 웹3 상호 작용들을 안전하게 만드는데 도움을 준다. 활동하는 모든 브릿지들은 최소 하나의 인증된 조직에 의해 감사를 받아야 한다.
반면 버그 바운티 프로그램은 프로젝트와 그것의 커뮤니티 사이에 시너지를 만들어낸다. 화이트 해커들은 악의적인 공격자들이 하기 전에 취약점을 확인하는데 필수적인 역할을 한다. 예를 들어 스카이 마비스는 최근 자사 생태계를 강화하기 위해 100만 달러 버그 바운티 프로그램을 시작했다.
결론(Conclusion)
전체적인 블록체인 생태계들로서 이더리움 블록체인에 도전하는 L1과 L2 솔루션 급증은 네트워크들간 자산을 옮기기 위해 크로스 체인 플랫폼에 대한 필요성을 탄생시켰다. 이것은 퉵3 기둥들중 하나인 상호 운용성의 본질이다.
그럼에도, 현재 상호 운용성에 대한 시나리오는 멀티체인 접근 보다는 크로스 체인 프로토콜들에 의존한다. 멀티체인 접근은 비탈릭이 연초 경고의 말을 완화했던 것에 대한 시나리오다. 이 공간에서 상호 운용성에 대한 필요는 명백한 것 이상이다. 그럼에도 이 플랫폼 유형들에서 보다 강력한 보안 조치들이 필요하다.
불운하게도 도전은, 쉽게 극복되지 않을 것이다. 트러스티드, 그리고 트러스트리스 플랫폼 둘 다 그들의 디자인에서 결함들을 보여준다. 이들 고유한 크로스 체인 결함들은 분명해졌다. 2022년 해킹으로 잃어버린 12억 달러 중 80%는 취약점 공격 된 브릿지들을 통했다.
이와 함게 산업에서 가치가 증가하면서 해커들 또한 보다 진화하고 있다. 소셜 엔지니어링 그리고 피싱 공격 같은 전통적인 사이버 공격은 웹3 서사에도 적용되고 있다.
모든 토큰 버전들이 각 블록체인에 네이티브인 멀티체인 접근은 여전히 갈 길이 멀다. 따라서 크로스 체인 플랫폼들은 이전 사건들에서 배우고 성공적인 공격들 수를 가능한 많이 줄이기 위한 프로세스들을 강화해야 한다.
