iOS 탈옥 개발자, 치명적인 낙관주의 취약점 발견으로 200만 달러 받기

이더리움 레이어 2 스케일링 프로젝트인 Optimism의 개발자들은 이달 초 "치명적인 버그"가 발견되어 이후 패치되었다고 발표했습니다.

해커가 Optimism 계정 잔액에서 가능한 한 많은 "ETH"를 생성할 수 있게 해주는 이 버그는 원래 White Hat 해커이자 iOS 탈옥 Cydia 개발자 Jay Freeman이 발견했습니다.

심층 블로그 게시물에서 Freeman은 이 취약점으로 인해 "공격자가 go-ethereum의 'OVM 2.0' 포크를 사용하여 모든 체인에서 자금을 복제할 수 있습니다"라고 설명했습니다. 그의 노력으로 Freeman은 총 $2,000,042의 보상으로 지금까지 가장 큰 버그 바운티 중 하나를 받았습니다.

Optimism 팀에 따르면 "이 버그는 ETH 잔액을 보유한 계약에서 SELFDESTRUCT opcode를 반복적으로 트리거하여 Optimism에서 ETH를 생성할 수 있도록 했습니다."

Optimism 팀은 블로그 게시물에서 이더리움 데이터 스타트업 Etherscan의 작업자가 우발적으로 취약점을 활성화한 것(이로 인해 추가 익스플로잇이 사용 가능하지 않음)을 제외하고는 이 취약점이 악용되지 않았음을 체인 히스토리가 보여준다고 언급했습니다.

팀은 Infura, QuickNode 및 Alchemy의 신속한 대응에 대해 "이 문제에 대한 수정 사항을 테스트하고 확인 후 몇 시간 내에 Optimism의 Kovan 및 Mainnet 네트워크(모든 인프라 제공업체 포함)에 배포했습니다."라고 말했습니다.

"우리는 또한 여러 취약한 Optimism 포크 및 브리지 공급자에게 문제의 존재를 경고하고 있습니다. 이 프로젝트는 모두 필요한 수정 사항을 적용했습니다."

작년 말에 Optimism은 화이트리스트를 제거했습니다(모든 개발자가 Optimism 네트워크에서 프로젝트 구축을 시작할 수 있음). 이전에는 Uniswap 및 Synthetix와 같은 특정 프로젝트에서만 네트워크를 사용할 수 있었습니다. 이러한 제한으로 인해 개발자는 잠재적인 취약성을 더 쉽게 감지하고 해결할 수 있습니다.

Optimism은 이더리움 블록체인 외부의 트랜잭션을 집계하기 위해 "낙관적 롤업"을 사용하는 이더리움 네트워크용 레이어 2 스케일링 솔루션입니다.

이는 슬리피지 감소, 거래 비용 감소 및 거래 속도 대폭 증가라는 이점을 제공합니다. 그러나 이 버그에서 알 수 있듯이 레이어 2 프로토콜이 효율성을 향상시키는 반면 진행 중인 개발 중 보안은 여전히 일반적인 관심사로 남아 있습니다.

현상금은 지금까지 지급된 것 중 가장 큰 금액이지만 MakerDAO는 스마트 계약에서 심각한 보안 위협을 지적할 수 있는 사람에게 최대 1,000만 달러를 제공할 것이라고 방금 발표했습니다. 이것은 버그 바운티 플랫폼 Immunefi에서 호스팅되는 현재까지 가장 큰 버그 바운티 시리즈입니다.