10월 6일 세폴리아 시험…가짜 빌더 경고

이더리움(ETH) 차기 업그레이드 글램스테르담이 10월 6일 세폴리아 테스트넷에서 시험된다. 무료 테스트 ETH와 반복 생성 가능한 신원을 악용한 '가짜 빌더'가 블록 경매를 낙찰받은 뒤 거래 데이터를 공개하지 않을 가능성이 제기됐다.

이더리움 공식 로드맵은 세폴리아 포크 일정을 10월 6일로 제시하고 있다. 메인넷 적용 시기는 2026년 4분기로 안내됐지만 구체적인 날짜는 정해지지 않았다. 앞서 본지도 글램스테르담의 공개 테스트넷 검증 절차를 전한 바 있다.

글램스테르담은 검증자와 블록 빌더의 역할을 이더리움 프로토콜 안에서 직접 다루는 구조를 포함한다. 빌더는 거래를 모아 블록을 구성하고, 검증자는 경매에서 제시된 조건을 바탕으로 블록을 선택한다.

낙찰된 빌더는 약속한 블록의 거래 데이터인 페이로드를 정해진 시간 안에 공개해야 한다. 이 구조는 블록 제안자와 빌더의 역할을 프로토콜에 편입하는 ePBS와 연결된다.

문제는 세폴리아의 운영 환경이다. 테스트 ETH에는 경제적 가치가 없고 빌더 신원도 새로 만들 수 있어, 공격자가 여러 신원을 만든 뒤 정상 빌더보다 높은 가격을 제시할 수 있다.

공격자는 경매를 반복해서 따낸 뒤 페이로드를 공개하지 않는 방식으로 테스트넷의 블록 생성을 방해할 수 있다. 이 경우 블록이 끊기거나 거래 데이터가 사라져 업그레이드 오류와 악의적인 개입을 구분하기 어려워진다.

포터즈(Potuz) 이더리움 합의 레이어 개발자는 핵심 개발자 회의에서 “수천 개의 빌더를 순식간에 만들고 번갈아가며 매우 높은 가격을 제시한 뒤 페이로드를 만들지 않을 수 있다. 어떤 청소년이라도 할 수 있는 일”이라고 말했다. 무료 자원과 가짜 신원을 이용하면 공격 비용이 낮다는 점을 지적한 발언이다.

이번 공격 가능성은 세폴리아 테스트넷에 한정된다. 세폴리아에서 쓰이는 테스트 ETH에는 실질적인 가치가 없어 이더리움 메인넷의 자금이나 거래가 직접 영향을 받지는 않는다.

다만 테스트넷에서 이상 현상이 반복되면 개발자들이 원인을 파악하는 데 시간이 걸릴 수 있다. 테스트넷의 중단이 업그레이드 자체의 결함인지, 악성 빌더의 개입 때문인지 구분해야 하기 때문이다.

현재 보호 장치는 여러 차례 페이로드가 사라진 뒤 검증자가 직접 블록을 만드는 예비 모드로 전환하는 방식이다. 개발자들은 전환 전 공백만으로도 테스트 흐름이 멈출 수 있다고 보고 있다.

클라이언트가 문제를 일으킨 빌더를 식별하고 거부하는 기능도 과제로 제시됐다. 공격자가 새 신원으로 재접속하면 같은 방식의 경매 방해를 반복할 수 있기 때문이다.

일정은 촘촘하게 잡혔다. 각 클라이언트 팀은 9월 29일까지 글램스테르담을 지원하는 세폴리아용 버전을 내야 하며, 소프트웨어 배포부터 포크 가동까지 기간은 7일이다.

이는 이더리움의 일반적인 업그레이드 과정에서 보안 검토와 버그바운티에 배정하는 14일의 절반이다. 개발자들은 세폴리아가 상대적으로 중앙화돼 있어 문제가 발생해도 복구가 쉽다는 점을 일정 단축의 배경으로 들었다.

후디 테스트넷의 후속 시험은 10월 27일로 잠정 논의됐다. 세폴리아 시험 결과에 따라 일정이 바뀔 수 있으며, 메인넷 적용 날짜는 아직 정해지지 않았다.

이번 시험은 블록당 처리 용량 확대뿐 아니라 프로토콜에 편입된 빌더 경매 구조가 저비용 공격 환경에서도 작동하는지를 점검하는 절차다. 세폴리아 포크 결과와 클라이언트 팀의 대응이 다음 테스트 일정에 영향을 줄 예정이다.