코어다오, 검증인 초과 CORE 보상 사태에 긴급 하드포크는 롤백 아닌 전진 업그레이드

코어다오(Core DAO)가 일부 검증인(validator)이 프로토콜이 의도한 것보다 많은 CORE 토큰 보상을 받아간 사건을 계기로 긴급 하드포크(hard fork, 블록체인 규칙을 강제로 변경하는 업그레이드)를 준비하고 있다. 코어다오는 사건이 이미 봉쇄됐으며 문제를 일으킨 “악의적 검증인”은 더 이상 초과 보상을 받을 수 없는 상태라고 밝혔다. 이번 포크는 네트워크를 되돌리는 방식이 아니라 앞으로 나아가는 업그레이드(forward upgrade)이며, 기존에 확정된 거래를 뒤집지는 않는다는 설명이다. 사건 소식이 알려진 직후 코인베이스, 빗썸, 코인원, 비트겟, LBank 등 주요 거래소들이 CORE 입출금을 제한하며 대응에 나섰다.

무슨 일이 있었나

코어다오는 월요일(현지시각) 낸 상태 업데이트에서 소수의 검증인이 프로토콜이 의도한 발행량보다 훨씬 많은 보상을 축적했다고 밝혔다. 이 사건은 보상 발행(reward issuance) 영역에 국한된 것으로, 사용자 자산은 안전하다고 강조했다. 코어다오는 추가로 기술적 사후 분석 보고서(포스트모템)를 발표하겠다고 덧붙였다.

이후 나온 후속 업데이트에서 코어다오는 사건이 완전히 봉쇄됐다고 재확인했다. “악의적 검증인”이 더 이상 초과 보상을 끌어낼 수 없게 됐다는 것이다. 다만 코어다오는 실제로 얼마나 많은 CORE가 초과 발행됐는지, 그 행위가 얼마나 오랫동안 지속됐는지, 발행된 토큰 일부가 실제 유통 시장에 흘러들어갔는지는 공개하지 않았다. 검증인들이 어떤 취약점을 이용해 초과 보상을 얻어낼 수 있었는지에 대한 설명도 아직 나오지 않았다. 코어다오는 이 부분을 포스트모템에서 다루겠다고만 밝혔다.

거래소들, CORE 입출금 잇달아 제한

사건이 알려지면서 여러 거래소가 CORE 관련 거래를 일시적으로 제한했다. 코인베이스는 코어(Core) 네트워크를 통한 송금과 수신을 모두 중단했다. 빗썸과 코인원은 보안 우려가 의심되거나 확인됐다는 이유로 CORE 입출금을 중단했다.

비트겟도 CORE 입출금을 중단했는데, 이유로는 월렛 유지보수를 들었다. LBank는 프로젝트 측 요구사항이라고 설명하며 입금을 중단했다. 한국계 거래소인 빗썸·코인원이 보안 우려를 직접 언급한 반면 비트겟·LBank는 운영상의 이유를 내세운 셈이어서, 각 거래소가 사건을 받아들인 무게감에는 차이가 있어 보인다.

코어다오의 대응 방식과 남은 물음표

코어다오가 택한 대응 방식은 눈에 띈다. 네트워크 전체를 과거 특정 시점으로 되돌리는 롤백이나 이미 확정된 거래를 취소하는 방식이 아니라, 앞으로의 규칙을 바꿔 문제를 차단하는 포워드 업그레이드를 선택했다. 이는 일반 사용자들이 이미 처리한 거래 내역에는 영향을 주지 않는다는 뜻이다. 코어다오는 사용자 자산이 안전하다는 점을 거듭 강조하며 이 사건이 보상 발행 로직에 한정된 문제였다고 선을 그었다.

그러나 핵심 정보들은 여전히 베일에 가려 있다. 초과 발행된 CORE의 정확한 규모, 사건이 발생한 기간, 문제가 된 토큰이 실제 시장에 유통됐는지 여부, 검증인들이 악용한 구체적인 취약점의 성격 등이 모두 공개되지 않은 상태다. 코인텔레그래프(Cointelegraph)는 추가 정보를 요청하며 코어다오에 연락했으나 보도 시점까지 답변을 받지 못했다고 전했다. 코어다오가 예고한 기술 포스트모템이 언제, 어떤 내용으로 나올지가 이번 사건의 실체를 파악할 다음 열쇠가 될 것으로 보인다.

거래소 대응이 남긴 신호

이번 사건에서 눈여겨볼 부분은 대형 거래소들의 즉각적인 대응 속도다. 코인베이스처럼 글로벌 대형 거래소부터 빗썸·코인원 같은 국내 거래소, 비트겟·LBank 같은 중소형 거래소까지 짧은 시간 안에 나란히 CORE 관련 서비스를 제한했다는 점은 검증인 보상 시스템의 오류가 얼마나 민감하게 받아들여졌는지를 보여준다.

보상 발행 메커니즘의 결함은 토큰 발행량 자체에 영향을 줄 수 있는 문제라 거래소들이 선제적으로 리스크를 차단하려 한 것으로 풀이할 수 있다. 다만 이는 거래소 각자의 판단에 따른 조치였을 뿐, 코어다오가 공식적으로 거래소들에 조치를 요청했는지는 소스에서 확인되지 않는다. 코어다오가 예고한 포스트모템 발표와 함께 거래소들의 서비스 재개 시점도 향후 관전할 대목이다.