메가ETH 확장 할당량 시그니처 "우롱" 사고 철거

저자: MR.JC Block 박사; 출처: X, @blockphd7

이 업계에 오랫동안 머물다 보면 흥미로운 현상을 발견할 수 있습니다. 후광의 꼭대기, 수십억의 천왕급 프로젝트의 가치가 높아질수록 종종 가장 기본적인 거터에서 배를 뒤집기 쉽습니다.

어제, 많은 기대를 모았던 메가이더리움은 전체 네트워크가 지켜보는 가운데 비극을 연출했습니다. 원래 USDC 사전 예치금 확장 활동은 긴밀하게 계획되었지만 기술적 오류로 인해 할당량이 미리 '납치'되었고, 캡 한도가 2억 5천만에서 수동적으로 급상승하여 결국 긴급하게 녹여야 했습니다.

많은 사람들이 이 사건을 사탕발림으로 받아들이지만, 제가 본 것은 웹3의 어두운 숲 법칙에 대한 생생한 로드쇼였습니다. 무슨 일이 벌어지고 있는지 명확히 알기 위해 전체 기술적 논리를 검토하고 마인드맵을 만들었습니다(글 말미에 있는 이미지 참조).

1. 핵심적인 계산 착오: 블록체인을 중앙화된 서버로 취급

이번 메가이더리움 팀이 저지른 실수는 쉽게 말해 "그들은 수표에 수표에 서명하고 공원 벤치에 두고 은행에 가지 않는 한 돈이 움직이지 않을 것이라고 순진하게 생각했습니다."

원래 계획에서 확장 작업은 세 단계로 나뉘었습니다.

1. 멀티서명 지갑 사전 서명(서명).

2. 지정된 시간(16:00 UTC)까지 기다립니다.

3. 공식적으로 전송(브로드캐스팅)을 클릭합니다.

웹2의 서버 로직에서는 괜찮습니다. 권한이 있고 전송을 누를 때까지 요청이 실행되지 않습니다. 하지만 Web3의 기본 로직에서는 완전히 다른 문제입니다.

2. 기술적 분해: 서명은 전송과 다르지만 서명은 약속입니다

저는 다이어그램에서 서명과 브로드캐스팅을 구체적으로 분해했습니다. 제 다이어그램에서는 기존 인터넷에서 전환하는 많은 개발자가 간과하기 쉬운 인지적 차이인 '서명'과 '브로드캐스팅'의 차이점을 구체적으로 분석했습니다.

서명(스탬프): 개인 키로 거래 데이터를 암호화하여 보증하는 것을 말합니다. 수표에 도장을 찍는 것과 같습니다. 이 작업이 완료되면 데이터 문자열은 코드 수준에서 법적으로 유효합니다.

방송(전달): 마이너 노드에 데이터를 전송하는 것입니다. 우편함에 편지를 넣는 것과 같습니다.

이것이 핵심입니다: 블록체인 네트워크(우체국)는 우표를 진품으로 인식할 뿐 누가 넣었는지는 신경 쓰지 않습니다.

MegaETH의 실수는 편지에 미리 서명했고, 어떻게든(아마도 API 유출이나 테스트넷 동기화를 통해) '서명된 원시 거래 데이터'가 퍼블릭 네트워크에 노출되었다는 것입니다. 그래서 @chud_eth와 같은 최고의 스니퍼인 Degen이 이 '수표'를 포착했습니다. 그는 수표를 살펴보고 "이봐요, 다중 서명이 다 있네요? 보내지 않으시니 제가 대신 보내기를 클릭하겠습니다."라고 말했습니다.

결과는 공식적인 조치 없이 지나가던 사람이 프로젝트 측을 위해 직접 계약 상호 작용을 실행한 것입니다.

3. 거시적 시사점: 높은 가치에 가려진 운영 보안 문제

이것이 MegaETH에 의미하는 바는 무엇일까요?

작게는 운영상의 실수, 약간의 체면 손상, 갑작스러운 자금 흐름에 대처하기 위해 긴급하게 캡을 조정해야 한다는 점입니다. 더 크게 보면 팀의 운영 보안 수준이 아직 미숙하다는 것을 드러낸 것이기도 합니다.

실시간 블록체인, 10ms 미만의 지연 시간, 100,000 TPS, 일류 학벌과 비탈릭 부테린의 지지 등 메가이티의 이야기는 매우 거창합니다. 하지만 학문적 성취가 엔지니어링 실무 능력과 같지는 않습니다. 데이터를 통해 실행되는 실험실과 실제 전투에서 해커, 중재자로 가득한 "어두운 숲"에서의 전투는 두 가지 측면에서 완전히 다릅니다.

이번에는 @chud_eth가 운이 좋게도 유리한 고지를 선점했습니다. 왜냐하면 그는 허점을 이용해 자금을 훔치는 대신 공무원을 위해 미리 작전을 실행했기 때문입니다. 만약 핵심 시퀀서인 시퀀서 로직에서 이런 일이 발생했다면 어땠을까요?

투자자들에게 이것은 단순한 멜론이 아니라 신호입니다. 높은 FDV와 하이테크 내러티브를 쫓는 동안 프로젝트 측의 엔지니어링 착륙 능력을 항상 경계해야 한다는 것을 상기시켜 줍니다.

코드는 법이다는 말은 신념일 뿐만 아니라 잔인한 판단이기도 합니다. 사용자가 언제 시작하려고 '의도'했는지는 신경 쓰지 않고 보이는 대로 실행할 뿐입니다.

이번에도 메가이더스는 회비를 지불했습니다. 이를 계기로 온 마을의 희망을 담은 이 고성능 퍼블릭 체인이 메인 네트워크의 공식 출시 전에 시장과 기본 상식을 존중하는 법을 진정으로 배울 수 있기를 바랍니다.

첨부: 메가ETH 서명 사고 및 블록체인 거래 원리 해체 도표

최신 공식 발표 사항 핵심 사항은 다음과 같습니다::

좋은 의도가 잘못되었다: 11월 26일 00:00에 인출(최대 10억 달러)이 제때 이루어질 수 있도록 관계자들이 거래 데이터에 일찍 서명했습니다.

저수준 실수: 서명된 거래는 누구나 보낼 수 있다는 상식을 무시하고 서명된 데이터의 유출/감시를 초래했습니다.

소극적인 교활함: 체인 내 플레이어인 @chud_eth가 데이터를 미리 확보하고 이를 공식에게 방송하여 예정된 시간 전에 출금이 이뤄지게 했습니다.

 최종 상황: 쿼터가 미리 압수되었고, 관계자는 '기술적 전복' 사고를 인정하는 서한을 발행해야 했습니다.

한마디로 요약: "카드 포인트" 작업을 원하는 관계자는 "출발 총"의 결과가 출발 라인에 떨어졌고, 도로였습니다. 가장 먼저해야 할 일은 공을 굴리고 공을 굴리는 것입니다. 가장 먼저해야 할 일은 프로젝트 측이 땀을 흘리도록 할당량을 늘리고 자신을 지치게하고 싶지 않으므로 할당량을 늘리지 않는 것입니다.