Radix Weekly
지난 호: Weft Finance oracle exploit로 약 27M XRD가 유출되었고, RAC가 Charter 비준이 완료되었음을 발표했으며, 커뮤니티는 DAO 전환과 함께 adoption 작업을 병행할 수 있는지에 대해 논쟁했습니다.
이번 주는 Radix 최근 역사상 가장 힘든 한 주였습니다. Radix Engine 자체의 치명적인 버그로 인해 공격자가 사용자 지갑의 브릿지된 hAssets를 권한 없이 인출할 수 있었고, validator들은 전체 네트워크를 중단할 수밖에 없었습니다. RAC가 패치를 조정하고, 커뮤니티 멤버들이 공격을 역추적하며, 보상·신뢰·생존의 문제를 놓고 고군분투하는 동안 mainnet은 일주일 내내 중단된 상태로 있었습니다.
Radix Engine exploit로 인한 네트워크 중단
Radix Engine의 치명적인 버그로 인해 공격자가 Hyperlane으로 브릿지된 hAssets를 사용자 지갑에서 권한 없이 인출할 수 있었습니다. Validator들이 피해 확산을 막기 위해 네트워크를 중단했습니다. projectShift는 체인 롤백은 선택지가 아니라고 확인했고, Timan은 어떤 자산 유형도 공격 대상이 될 수 있었지만 hAssets만 인출되었다고 덧붙였습니다.
vault reference validation에서 근본 원인 발견
커뮤니티 멤버 L이 공격을 역추적하여 근본 원인을 파악했습니다: system_callback.rs의 vault reference validation이 manifest에 명명된 모든 vault에 대해 소유권을 검증하지 않고 직접 접근 참조를 부여하여, 누구나 다른 사람의 vault에서 take()를 호출할 수 있었습니다. projectShift는 L과 협력하여 관계자들에게 조사 결과를 공유했습니다…
DAO 거버넌스 1단계 완료 선언
projectShift가 DAO 1단계가 완료되었다고 발표했습니다 — 법인 설립, charter, 거버넌스 프레임워크 비준까지 포함됩니다. 커뮤니티는 이미 Stokenet을 가동 중이며 팀을 구성하고 있습니다. 네트워크가 중단된 상태임에도 이는 Foundation에서 커뮤니티 거버넌스로의 공식적인 전환을 의미합니다.
hack 피해자 보상 문제로 커뮤니티 분열
Seböööl과 David는 소각된 XRD 수수료를 피해자 보상 기금으로 전환해야 한다고 제안하며, DAO가 신뢰를 유지하려면 책임을 져야 한다고 주장했습니다. talifern, btw, Yeahmad는 강하게 반발하며, Radix는 구제(bailout)를 감당할 수 없고, 수수료 전환은 validator에게 피해를 주며, 네트워크가 살아나기 전에 무언가를 약속하는 것은 시기상조라고 맞섰습니다. 결론은 나지 않았습니다.
Hyperscale 개발자가 Radix grant 거절
Radoshi Lazymoto가 더 이상 Radix와의 제안, grant, 지속적인 협력을 추구하지 않겠다고 발표했습니다. foxylady는 flightofthefox가 공식적인 연계 없이 자유롭게 Hyperscale을 구축하고 싶어 하지만, 여전히 Babylon의 ledger state 마이그레이션을 지원할 의향이 있으며, 올해 안에 testnet을 준비할 수도 있다고 설명했습니다.
실패 트랜잭션 수수료 논쟁
flightofthefox와 projectShift는 Radix가 악의적 실패와 정상적 실패를 안정적으로 구분할 수 없으므로, griefing 및 서비스 거부 공격을 방지하기 위해 모든 트랜잭션 비용을 청구해야 한다고 주장했습니다. Dezza는 Algorand의 실패 트랜잭션 무과금 모델이 가능성을 증명하며, 규모가 커지면 비용은 무시할 수 있다고 반론했습니다.
- GENKIPOOL이 2년 이상된 staking 주소를 기반으로 한 주소 기반 투표 시스템으로 token-weighted voting을 대체하자고 제안했으나, flightofthefox와 projectShift가 token-weighte
- L이 OTER이 Radix DAO 앱과 경쟁 대신 보완하도록 피벗했다고 발표했습니다. bond 기능을 갖춘 독립적인 투표 집계 시스템으로 역할할 예정입니다.
- Vlad B는 코드를 GPT Astra로 검토할 것을 제안했고, Punk는 공격 시뮬레이션을 설계하고 TLA+를 사용해 알고리즘 버그와 구현 버그를 구분할 것을 권장했습니다.
- Yeahmad와 Radix Superfan은 예전 mod 팀이 Xi'an 진행에 대한 정당한 질문을 'FUD' 혐의로 묵살한 것을 비판하며 '싸구려 gaslighting'이라고 불렀습니다.
- Blind5ight는 scaling만으로는 의미가 없으며 실질적 가치를 창출하는 dApp을 누군가 구축해야 한다고 주장했고, foxylady는 NFT 기반 티켓팅을 실용적 사례로 제안했습니다.
- @Andy.XRD는 경찰이 exploit 신고를 접수했으며 포렌식이 진행 중이라고 전했고, 수사 보호를 위해 추가 정보는 공유되지 않았습니다.
일주일 내내 네트워크 중단 대응을 조정하며 매일 업데이트를 공유하고, 패치가 진행 중이지만 아직 구현되지 않았음을 확인했습니다. DAO 1단계가 완료되었음을 발표하고, 패치가 준비되는 동안 커뮤니티에 추측을 자제해 달라고 촉구하며,模倣 공격자가…
네트워크 수정에 최소 며칠이 더 필요하며, 해당 버그가 런칭부터 존재했을 가능성은 낮다고 확인했습니다. 지갑 오류를 겪는 멤버들을 직접 도왔습니다.
신분 기반 투표보다 token-weighted governance를 강력히 옹호하고, griefing 방지를 위해 모든 트랜잭션에 수수료를 부과해야 한다고 주장했으며, engine 버그는 Hacken의 원본 감사 이후에 도입되었을 가능성이 높다고 추정했습니다. 더 이상 Radix grant를 추구하지 않지만 여전히…
아니요 — 네트워크는 epoch 단위로 진행되며 stake 보상은 epoch마다 지급되므로, epoch가 진행되지 않으면 보상도 지급되지 않습니다.
개발자 채널은 engine exploit로 가득했습니다. 커뮤니티 멤버 L이 vault reference가 소유권 검사 없이 검증되는 system_callback.rs에서 근본 원인을 파앬했고, 0xOmarA의 공격자가 손으로 작성한 WAT 코드에 대한 포렌식 분석은 정교하고 신중한…
분위기: 뿌리째 흔들렸지만 무너지지는 않았습니다 — 커뮤니티는 engine 레벨의 치명적인 exploit과 일주일간의 네트워크 중단을 비탄과 좌절, 그리고 이를 헤쳐 나가겠다는 강한 결의로 감당해 냈습니다.