- 메타 마스크 Lido는 인프라 일부에서 보안 문제를 발견한 후 예방 조치로 영향을 받는 이더리움 검증자들을 Lido에서 철수시키고 있습니다.
- 회사는 말한다 당장 위험 징후는 보이지 않음 MetaMask 지갑으로 전송되며 사용자에게 자금을 이동하라고 요청하지 않았습니다.
- 한 연구원이 발견했다 약 0.36 ETH 블록 보상이 예상치 못한 주소로 전송되었으며, 약 17,000명의 검증자와 523,000 ETH가 미확인 상태입니다.
- Lido는 마지막으로 영향을 받은 검증자들이 곧 종료될 것으로 예상합니다. 10월 7완전 인출 및 재진입에는 약 45일이 소요될 수 있습니다.
MetaMask는 이더리움 스테이킹 서비스 인프라의 일부에 영향을 미치는 보안 문제를 발견했으며, 안전 조치로 영향을 받는 검증자들을 오프라인으로 전환하기 시작했습니다. 지갑 제공업체는 이러한 조치가 예방 차원이라고 밝혔습니다. 공식 발표에 따르면, 일반 MetaMask 지갑에 즉각적인 위험을 초래하는 징후는 아직 발견되지 않았습니다. 이 점이 중요한 이유는 문제가 대부분의 사용자가 토큰을 보유하는 데 사용하는 지갑 소프트웨어가 아니라 스테이킹 운영 자체에 있기 때문입니다.
해당 회사는 수요일에 처음으로 상황을 설명하며, 외부 보안 파트너 및 자문가를 투입하는 동시에 내부적으로 진행 중인 위협에 대응하고 있다고 밝혔습니다. 침해당한 시스템의 이름이나 접근 경로, 관련된 검증자 수에 대해서는 구체적으로 밝히지 않았습니다. 현재로서는 사용자들에게 자금을 이체하거나 설정을 변경하라는 요청은 없었다는 것이 가장 중요한 메시지입니다 . 이러한 차분한 안내는 유용하지만, 동시에 많은 기술적인 질문들을 남겨두고 있습니다.
MetaMask는 지갑이 당장 위험에 처한 것은 아니라고 밝혔습니다.
메타마스크는 업데이트를 통해 이번 사건이 사용자 지갑이 아닌 자사 인프라 일부에 영향을 미친 것이라고 밝혔습니다. 또한, 메타마스크 지갑에 대한 즉각적인 위협은 발견되지 않았다고 여러 보도에서 반복적으로 강조했습니다. 하지만 동시에 사건이 완전히 종결되었다고는 언급하지 않았습니다. 조사는 여전히 진행 중이며, 회사 측에서 사건 경위를 파악하는 대로 더 자세한 내용을 발표할 예정입니다.
해당 표현은 미묘한 뉘앙스를 남깁니다. 주요 지갑 제공업체에서 발생한 보안 사고는 불안감을 조성할 수 있지만, 위험도는 어떤 시스템이 영향을 받았는지에 따라 달라집니다. MetaMask는 자사의 스테이킹 서비스가 비수탁형이며 고객이 위임한 ETH의 출금 키를 관리하지 않는다고 강조해 왔습니다. 쉽게 말해, MetaMask는 거래 검증 시스템을 운영할 수는 있지만, 사용자는 스테이킹된 코인을 어디에서 출금할지 별도로 관리합니다. 이러한 분리가 바로 MetaMask가 지갑이 당장 위협에 직면해 있지 않다고 주장하는 핵심 이유입니다.
하지만 자세한 내용이 부족하여 상황을 명확히 알고 싶어하는 사람들은 답답함을 느끼고 있습니다. MetaMask는 이번 문제가 취약점 때문인지, 무단 접근 때문인지, 아니면 다른 유형의 운영 오류 때문인지 밝히지 않았습니다. 또한 얼마나 많은 검증자가 영향을 받았는지, 사용자 데이터가 유출되었는지 여부도 확인하지 않았습니다 . 사용자들에게 실질적인 조언은 간단합니다. 공식 채널을 이용하고, 시드 구문을 요구하는 긴급 메시지는 무시하며, 소셜 미디어의 루머는 주의해서 받아들이십시오. 피싱 시도는 실제 보안 뉴스 이후에 발생하는 경우가 많으므로, 근거 없는 경고는 실제 사건 만큼이나 위험 할 수 있습니다.
검증자들은 예방 차원에서 리도를 통해 나갑니다.
스테이킹 측면에서 대응이 더욱 분명해집니다. 여러 노드 운영자와 협력하는 유동성 스테이킹 프로토콜인 리도(Lido)는 메타마스크 스테이킹(MetaMask Staking)이 자사가 운영하는 이더리움 검증인에 연결된 고객 자산을 보호하기 위한 예방 조치를 시작했다고 밝혔습니다. 해당 검증인들은 수요일부터 리도 시스템에서 이탈하기 시작했습니다. 메타마스크 포트폴리오(MetaMask Portfolio)는 리도와 로켓 풀(Rocket Pool)을 통해 풀 스테이킹, 검증인 스테이킹, 유동성 스테이킹을 제공하므로, 이번 조치는 모든 스테이킹 경로를 일괄적으로 중단하는 것이 아니라 영향을 받는 특정 운영에 대한 것입니다. 따라서 이번 조치는 이더리움 전체를 겨냥한 것이 아니라 메타마스크가 운영하는 검증인들을 대상으로 합니다.
리도 측은 영향을 받는 마지막 검증자들이 10월 7일까지 스테이킹에서 완전히 빠져나올 것이라고 밝혔지만, 이 날짜가 이더리움이 즉시 다시 사용 가능해진다는 것을 의미하는 것은 아닙니다. 전체 과정은 스테이킹에서 빠져나오고, 이더리움에서 돈을 인출하고, 다시 스테이킹에 참여하는 것을 포함합니다. 이더리움은 새로운 검증자를 위한 대기열이 있기 때문에 이 왕복 과정은 약 45일이 걸릴 수 있습니다. 리도 파이낸스의 개발자인 윌 섀넌은 메타마스크를 사용하는 검증자의 이더리움이 각 검증자가 과정을 완료함에 따라 점진적으로 프로토콜로 돌아올 것이라고 설명했습니다. 이 기간 동안 영향을 받는 검증자는 정상적인 스테이킹 보상을 지급하지 않습니다.
검증자가 퇴출 절차가 완료되기 전에 오프라인 상태가 되면 페널티를 받을 위험이 있습니다. 하지만 이는 슬래싱 이벤트가 발생했다는 의미는 아닙니다. 슬래싱은 검증자가 합의 규칙을 위반했을 때, 예를 들어 상충되는 블록에 서명했을 때 적용되는 훨씬 더 강력한 처벌입니다. 메타마스크와 리도는 슬래싱이 발생했다고 보고한 적이 없습니다. 그들이 설명한 것은 예방적 퇴출과 검증자가 서비스를 중단하는 동안 발생하는 일시적인 수익 손실입니다. 여기서 손실된 보상과 손실된 원금의 차이를 이해하는 것이 중요합니다.
소액 보상 유용, 대규모 미확인 추정치
Kaden이라는 연구원은 온체인 활동을 분석하여 이 사건을 더욱 구체적으로 밝혀냈습니다. 분석에 따르면, MetaMask를 사용하는 검증자 19명 중 블록 생성 보상을 받은 18명이 예상치 못한 주소로 보상을 보냈습니다. 보상액은 약 0.36 ETH로 추정되는데, 이는 스테이킹 규모에 비하면 미미한 금액입니다. 하지만 이 발견은 금액 자체보다 더 중요한 의미를 지닙니다. 누군가가 검증자 보상 과 관련된 설정을 변경할 수 있었다는 점을 시사하기 때문입니다. 이러한 접근 권한은 스테이킹된 원금을 건드리지 않고도 수익을 다른 곳으로 전용할 수 있게 해줍니다.
이러한 기술적 차이점은 지금까지 보고된 피해가 제한적인 이유를 설명하는 데 도움이 됩니다. 이더리움은 운영자가 거래 수수료와 블록 보상을 받을 수신자 주소를 설정할 수 있도록 하며, 이는 스테이킹된 ETH 자체를 제어하는 출금 자격 증명과는 별개입니다. 공격자가 수수료 수신자만 변경하면 진행 중인 보상을 가로챌 수 있습니다. 하지만 원래 스테이킹 금액 자체를 이동시킬 수는 없습니다. 더 심각한 시나리오는 서명 키를 이용하는 것인데, 악의적인 공격자가 이를 통해 상충되는 인증을 강제하고 슬래싱을 유발할 수 있습니다. 하지만 현재까지 그러한 결과는 확인되지 않았습니다. 지금까지 공개된 증거는 예치금 도난이 아닌 보상 유용을 가리키고 있습니다.
Kaden은 예방적 이탈로 약 17,000명의 검증인과 약 523,000 ETH가 영향을 받았을 것으로 추정했습니다. MetaMask는 이 수치를 공식적으로 확인하지 않았습니다. 따라서 이는 공식적인 회사 수치가 아닌, 공개된 네트워크 데이터를 기반으로 한 외부 추정치로 간주하는 것이 가장 좋습니다. 하지만 그 규모는 여전히 주목할 만합니다. MetaMask 웹사이트에 따르면, 자사 인프라를 통해 3억 달러 이상의 ETH 스테이킹을 관리하고 있으며, 이는 이더리움 스테이킹에 투자하려는 사용자들에게 중요한 관문입니다. MetaMask가 더 자세한 정보를 제공할 때까지 영향을 받은 정확한 규모는 불확실합니다.
이는 사용자와 stETH 보유자에게 어떤 의미를 갖는가?
Lido를 통해 스테이킹된 ETH와 누적 보상을 나타내는 토큰인 stETH 보유자에게 Lido는 명확한 메시지를 전달했습니다. 즉, 아무런 조치도 필요하지 않다는 것입니다. 프로토콜은 스테이킹을 여러 운영사에 분산시키기 때문에 특정 운영사의 검증자에 대한 노출은 해당 운영사에 직접 투자하는 것과는 다릅니다. 영향을 받는 검증자에 묶여 있는 ETH는 출금, 인출 및 재진입 과정이 진행됨에 따라 점진적으로 반환될 것으로 예상됩니다. stETH 보유자는 아무것도 상환하거나 이동할 필요가 없다는 안내를 받았습니다.
일반 MetaMask 지갑 사용자에게 있어 회사의 입장은 변함이 없습니다. MetaMask는 지갑에 대한 즉각적인 위협을 발견하지 못했으며 사용자에게 자산을 다른 곳으로 옮기라고 요청하지도 않았다고 밝혔습니다. 하지만 그렇다고 해서 이번 사건이 무의미해지는 것은 아닙니다. 이번 사건은 이더리움 스테이킹 경제의 상당 부분이 블록체인의 핵심 규칙 밖에 있는 운영 인프라에 의존하고 있음을 보여줍니다. 제공업체는 출금 키를 직접 관리하지 않더라도 이상 징후를 감지하면 검증자의 활동을 일시 중지할 수 있습니다. 스테이킹의 보안은 프로토콜 자체뿐만 아니라 이를 운영하는 데 사용되는 시스템과 자격 증명에도 달려 있습니다.
다음으로 중요한 이정표는 10월 7일경 완료될 검증자 이탈과 실제 인출 및 재진입 주기의 소요 기간입니다. 이 과정이 예상 기간인 45일 이내에 완료된다면, 당장의 손실은 주로 보상 손실과 운영 중단에 그칠 것입니다. 새로운 정보가 공개되어 더 자세한 접근 권한이 밝혀지면 평가가 달라질 수 있습니다. 현재로서는 공개된 기록에 따르면 신중한 대응, 확인된 소량의 보상 유용, 그리고 상당수(확인되지 않음)의 검증자 이탈 추정치가 나타나고 있습니다. 현재까지 사용자 지갑이나 스테이킹 원금의 손실은 확인되지 않았습니다.
이번 사건은 대형 스테이킹 서비스 업체들이 전체적인 상황이 명확해지기 전에도 인프라에 의심스러운 정황이 포착되면 신속하게 대응할 수 있다는 점을 다시 한번 상기시켜 줍니다. 메타마스크는 확실한 상황을 기다리기보다는 영향을 받는 검증인들을 철수시키고 다운타임을 감수하는 방식을 택했습니다. 리도는 stETH 보유자들에게 개입을 요구하지 않고 상황을 지속적으로 알렸습니다. 현재까지는 한 연구원의 온체인 분석 결과가 가장 구체적인 증거를 제시하고 있지만, 메타마스크 측의 설명은 여전히 불완전합니다. 사용자들은 공식 업데이트를 계속해서 주시할 수 있지만, 현재로서는 패닉에 빠질 이유는 없어 보입니다. 핵심 쟁점은 스테이킹 인프라의 보안 문제와 일반 메타마스크 지갑의 안전성 사이의 차이입니다.
