Lido 엔지니어, Glamsterdam에서 스테이킹 예치금 탈취 위험 경고

Lido 공식 브랜드 마크(lido.fi)

디마 구사코프는 제안된 사양 수정이 계획되지 않음으로 종료된 후, 악의적인 노드 운영자가 포크 전환 중에 스테이커의 ETH를 다른 곳으로 돌릴 수 있다고 말했다

2026년 10월 20일 화요일 · 03:53 EDT · 3분 읽기

DeFi에서

이더리움의 차기 대형 업그레이드는 네트워크를 더 나아지게 할 것으로 기대된다. 리도의 엔지니어링 책임자는 그것이 잠시 동안 스테이커들의 ETH를 훔치기 더 쉽게 만들 수도 있다고 생각한다.

2026년 10월 20일, Lido Finance의 엔지니어링 책임자인 Dima Gusakov는 잠재적인 프런트러닝 공격 가능성을 공개적으로 지적했다. 이 위험은 Glamsterdam 하드 포크로의 전환 과정에서 위임 스테이킹 프로토콜을 겨냥한다. 그 기회의 창은 좁지만, 리퀴드 스테이킹을 작동하게 만드는 예치금이 걸려 있다.

공격은 어떻게 작동할까

Glamsterdam은 0xB0 접두사로 표시된 특정 유형의 출금 자격 증명을 사용하는 빌더 예치금을 도입합니다. 출금 자격 증명은 기본적으로 네트워크에 스테이킹된 ETH의 소유자가 누구이며 최종적으로 어디로 가는지를 알려줍니다.

Gusakov의 경고에 따르면, 포크 전후로 빌더 예치금과 검증자 예치금이 공유 예치 대기열을 통해 처리된다. 이러한 중복이 허점을 만든다. 적절한 접근 권한을 가진 악의적인 노드 운영자는 스테이커의 검증자에게 배정된 ETH를 선점적으로 청구하는 빌더 예치금을 제출할 수 있다.

공격이 성공할 경우의 결과는 다음과 같다. 예치금이 공격자의 빌더 계정에 입금된다. 스테이커가 자금을 지원하던 검증인은 활성화되지 않는다. 이 취약점은 포크 이전 단계에만 해당한다. 앞으로 이더리움 설계에 영구적으로 내재된 결함이 아니다. 규칙이 바뀌는 시점과 관련된 타이밍 문제다.

채택되지 않은 수정 사항

해당 문제는 GitHub의 이더리움 합의 사양(consensus-specs) 저장소에 이슈 #5735로 제기되었다. 제안은 예치금이 수락되기 전에 조건을 검증하는 방법인 사전 예치금 확인(pre-deposit checks)을 요구했다. 해당 이슈는 "계획되지 않음(not planned)"으로 종료되었다.

매일 아침, 당신에게 꼭 필요한 암호화폐와 시장 뉴스.

매일. 무료. 암호화폐, 금융, 정책 분야의 34,000명 이상 독자와 함께하세요.

귀하의 개인정보를 존중합니다. 언제든지 구독을 취소하실 수 있습니다.

따라서 프로토콜 수준의 패치는 적어도 당분간은 논의에서 제외됩니다. 구사코프의 답변은 예치 전 점검을 방어 수단으로 지목하며, 그 부담이 핵심 사양이 아닌 스테이킹 프로토콜 자체로 옮겨가게 됩니다.

Glamsterdam은 두 가지 변경 사항 집합을 합친 이름이다. Gloas는 합의 계층을 다루고, Amsterdam은 실행 계층을 담당한다. 이 업그레이드는 구사코프의 경고가 있은 지 불과 6일 후인 2026년 10월 26일 Hoodi 테스트넷에서 활성화될 예정이다. 메인넷 출시 날짜는 아직 정해지지 않았으나, 출시는 2026년 4분기를 목표로 하고 있다.

리도는 이 영화를 전에 본 적이 있다

이는 리도가 예치금 선행매매와 마주한 첫 번째 사례가 아니다. 2021년 취약점이 드러난 후, 프로토콜은 예치금을 감독하기 위해 가디언 위원회와 함께 예치 보안 모듈을 구축했다.

예치가 처리되기 전에 가디언 그룹이 그보다 앞서 의심스러운 것이 끼어들지 않았는지 확인합니다. 새로운 문제는 해당 인프라와 다른 스테이킹 제공업체들의 동등한 인프라가 새로운 0xB0 빌더 자격 증명과 포크 경계에서의 공유 대기열 역학을 고려하고 있는지 여부입니다.

스테이커와 프로토콜에 이것이 의미하는 바

실질적인 위험은 개별 프로토콜이 예치금을 어떻게 처리하느냐에 크게 달려 있습니다. 리도가 이미 운영 중인 가디언 모델처럼 예치 전 검증을 철저히 갖춘 제공업체가 더 유리한 위치에 있는 것으로 보입니다. 이에 준하는 검증이 없는 소규모 또는 신생 스테이킹 서비스는 메인넷 활성화 전에 신속히 대응해야 할 수 있습니다.

이슈 #5735의 "계획되지 않음" 폐쇄는 핵심 개발자들이 이 특정 방어를 애플리케이션 계층에 맡기고 있음을 시사한다. 이는 책임이 프로토콜 수준에서 처리되는 것이 아니라 스테이킹 제공자들에게 분산된다는 것을 의미한다.

Hoodi 테스트넷 활성화는 최초의 실제 검증 무대를 제공한다. 스테이킹 팀은 이를 활용해 자신들의 예치 파이프라인이 검증자 자금을 청구하려는 빌더 예치를 올바르게 탐지하고 차단하는지 테스트할 수 있다.

공개: 이 기사는 Estefano Gomez가 편집했습니다. 콘텐츠 제작 및 검토 방식에 대한 자세한 내용은 편집 정책을 참조하세요.