Orchard 취약점에 대한 네 가지 질문

Shielded Labs의 Jason McGee와 Zooko Wilcox가 Orchard 취약점이 사용자에게 갖는 의미를 네 가지 질문으로 나눠 설명했다. 논의에서 서로 다른 쟁점이 뒤섞여 이해하기 어려웠다는 문제의식에서 나온 글이다. 질문은 취약점이 악용됐는가, 정당한 Orchard 자금을 되찾을 수 있는가, 공급량이 부풀려지지 않았음을 검증할 수 있는가, 다른 위조 취약점은 없는가이다.

악용 여부는 알 수 없지만 가능성이 낮다고 봤다. 수년간의 정밀 검토에도 발견되지 않았고, 발견 후 ZODL 팀이 채굴 풀과 조율해 Orchard 풀을 일시 동결하고 수정을 배포해 공격 기회를 줄였으며, 공격자가 위조 ZEC를 현금화하려면 터닌스타일을 통과해야 하는데 지금까지 증거가 나오지 않았다는 것이다. 악용이 없었다면 정당한 자금은 모두 회수 가능하다. 반대로 위조가 있었다면 터닌스타일이 인출 총량을 제한해 일부 사용자가 자금을 못 찾을 수 있다.

신중한 사용자는 Orchard에서 자금을 옮길 수 있지만 위험이 따른다. 투명 주소로 옮기면 금액과 시점이 공개되고 해당 주소와 연결된다. Sapling으로 옮기면 금액과 시점은 드러나지만 주소와 연결되지는 않고, 2018년 신뢰 설정에 의존한다. 글은 이 위험이 중간 수준이며 셀드 자가보관 지갑에 두는 것도 합리적이라고 평가했다.

공급량 검증은 오늘은 불가능하다고 인정했다. 제안된 업그레이드가 Orchard 풀을 봉인해 새 자금 유입과 풀 내 유통을 막고 기존 터닌스타일을 통한 인출만 허용하면, 위조 여부와 무관하게 노드 운영자가 올바른 공급량을 넘는 유통이 불가능함을 검증할 수 있다. 다른 위조 취약점은 아직 확인되지 않았고 여러 팀이 AI 도구까지 동원해 검토 중이며, Tachyon 프로젝트와 추가 보증도 준비하고 있다.