체인링크 CCIP 2.0 보안 업데이트, 해킹 이후 달라진 점

체인링크와 CCIP를 아주 쉽게 이해하기

블록체인은 서로 떨어진 섬입니다

이더리움, 솔라나 같은 블록체인은 각자 따로 돌아가는 섬과 같아서 기본적으로 서로 대화하지 못합니다. 토큰을 한 섬에서 다른 섬으로 옮기려면 다리, 즉 브릿지가 필요합니다.

체인링크는 다리이자 통역사입니다

체인링크는 원래 오라클 네트워크로 가장 잘 알려져 있습니다. 블록체인은 스스로 삼성전자 주가나 자산 가격 같은 바깥 세상의 정보를 알 수 없기 때문에, 체인링크가 그 정보를 믿을 수 있게 전달해 줍니다. LINK는 이 네트워크에서 쓰이는 코인입니다.

CCIP는 국제 택배 서비스입니다

CCIP(Cross-Chain Interoperability Protocol, 크로스체인 상호운용성 프로토콜)는 2023년에 처음 나온 서비스로, 서로 다른 블록체인 사이에서 메시지와 토큰을 보내 줍니다. 공식 개발자 문서는 CCIP가 하는 일을 세 가지로 설명합니다.

• 메시지 보내기: 다른 체인의 프로그램(스마트 컨트랙트)에 명령을 보냅니다. 국제 우편으로 편지를 보내는 것과 비슷합니다.
• 토큰 보내기: 출발 체인에서 토큰을 잠그거나 소각하고, 도착 체인에서 풀어 주거나 새로 발행합니다. 한국에서 돈을 맡기고 현지에서 같은 금액을 받는 환전소와 원리가 비슷합니다.
• 토큰과 명령 함께 보내기: 토큰을 대출 서비스에 담보로 넣고 빌린 자산을 돌려보내라는 식의 지시를 한 번에 보냅니다.

브릿지가 위험한 이유, 검증자의 역할

브릿지에는 검증자(verifier)라는 확인 담당자가 있습니다. 출발 체인에 돈이 정말 들어왔는지 확인해야 도착 체인에서 돈을 내줄 수 있기 때문입니다. 이 담당자가 속으면 실제로 입금되지 않은 돈이 빠져나갑니다.

자료들은 과거 부실한 브릿지가 해킹으로 수십억 달러를 잃었다고 공통으로 설명합니다. 은행 금고를 열쇠 하나로만 잠가 두었는데 그 열쇠를 복제당한 상황에 비유할 수 있습니다.

켈프 DAO 해킹, 업그레이드의 배경

올해 4월, 켈프 DAO가 약 2억 9,200만 달러 상당의 rsETH를 잃었습니다. 보도에 따르면 북한 라자루스 그룹과 연관된 것으로 알려진 공격자들이 켈프의 브리지를 속였습니다. 이 브리지는 체인링크의 경쟁사인 LayerZero 기반이었고, 검증자를 단 하나만 쓰는 설정이었습니다.

책임 공방은 아직 진행형입니다

LayerZero는 켈프가 여러 검증자 대신 하나만 썼다고 지적했습니다. 반면 켈프는 LayerZero 직원들이 그 설정을 검토하고도 이의를 제기하지 않았다고 반박했습니다. CoinGecko 데이터를 인용한 보도에서는 활성 LayerZero 앱의 거의 절반이 비슷한 단일 검증자 방식을 쓰고 있었다고 합니다. 양측 주장이 엇갈리므로 어느 한쪽의 이야기만 사실로 단정하지 않는 것이 좋습니다.

해킹 이후 자금 이동

이후 켈프는 rsETH를 체인링크로 옮기겠다고 밝혔고, 전문 매체들은 Kraken의 kBTC, Solv Protocol, BitGo, Mantle, Lombard, Aave 등도 비슷한 선택을 했다고 전했습니다. 체인링크는 최근 4개월 동안 150억 달러 이상의 토큰 가치가 CCIP로 옮겨 왔고, 여기에 BitGo의 WBTC 약 74억 달러, Coinbase의 cbBTC 약 61억 달러가 포함된다고 밝혔습니다. 다만 이 수치는 체인링크가 직접 밝힌 것이며 독립적으로 검증된 숫자는 아닙니다.

체인링크 CCIP 2.0의 핵심 기능

추가 검증자(CCV)로 보안 층 쌓기

가장 큰 변화는 크로스체인 검증자(Cross-Chain Verifier, CCV)입니다. 토큰 발행사나 기관이 자신만의 검증자를 직접 운영하거나 Infosys, Nethermind 같은 외부 업체에 맡길 수 있습니다. 추가 검증자가 서명해야만 도착 체인에서 송금이 실행되며, 기본 검증자도 계속 서명합니다. 결재 라인에 우리 팀장 결재를 한 단계 더 끼워 넣는 것과 같습니다.

기본 검증자는 독립된 노드 운영자 16곳으로 이뤄져 있고, 공식 문서에 따르면 16개 서명 가운데 최소 9개가 있어야 메시지가 검증됩니다. 보도자료에는 AWS와 Google Cloud용 시작 키트가 제공된다고 나옵니다. 또 검증자마다 수수료를 붙일 수 있는 열린 시장이 만들어진다는 설명도 있습니다.

규제 준수 기능 연동

체인링크 CCIP 2.0은 체인링크의 자동 규제 준수 엔진(ACE)과 연결됩니다. 본인확인(KYC), 자금세탁 방지(AML), 제재 대상 확인, 허용 목록, 송금 한도 같은 규칙을 송금 과정에 코드로 심을 수 있습니다. 회사 발표문은 기존 레거시 브릿지 대부분이 이런 검사를 하지 못했다고 주장합니다.

속도 조절과 확정 전 빠른 전송

기본 설정은 출발 체인에서 거래가 완전히 확정될 때까지 기다리는 가장 안전한 방식입니다. 발행사는 소액 거래에는 짧은 확인 시간을, 거액 거래에는 더 강한 확인을 적용하도록 정할 수 있습니다. 택배로 치면 일반배송과 특급배송을 골라 쓰는 셈입니다.

이 선택 기능을 Faster Than Finality라고 부릅니다. 한 해설 글은 관련 구성 요소(보내는 쪽, 풀, 검증자, 실행자, 받는 쪽)의 설정이 서로 맞지 않으면 메시지나 토큰이 중간에 멈출 수 있다는 릴리스 노트의 경고를 전했습니다. 체인링크는 Aave, Maple, 재보험 플랫폼 Re가 이 빠른 옵션을 도입했다고 밝혔습니다. 이더리움의 빠른 확인 규칙이 출시되면 이를 지원할 계획도 있다고 합니다.

그 밖의 선택 기능

개발자 문서에는 실행 담당자를 기본값, 직접 만든 것, 누구나 실행하는 방식 중에서 고르는 기능과 토큰이나 검증자별 수수료 맞춤 설정도 소개되어 있습니다. 또 API, SDK, CLI가 새로 설계되어 개발 과정이 단순해졌다고 합니다.

위험 관리 네트워크에는 어떤 변화가 있었을까요

예전에는 위험 관리 네트워크(Risk Management Network)라는 별도의 노드 집단이 거래를 한 번 더 검토했습니다. CCIP 2.0에서는 이 조직이 그 역할을 하지 않으며, 체인링크는 같은 종류의 독립 확인을 선택형 검증자가 대신할 수 있다고 설명했습니다.

쉽게 비유하면, 예전에는 기본 자물쇠에 별도 감시팀까지 두 겹이었지만 이제는 기본 자물쇠만 남고 감시팀 역할은 원하는 회사가 직접 추가해야 하는 구조입니다.

다시 말해 아무것도 추가하지 않은 사용자는 예전에는 확인 조직이 두 개였는데 지금은 하나(16곳으로 구성된 네트워크)가 됩니다. 다만 켈프처럼 검증자 한 명에 의존하는 구조는 아닙니다.

체인링크 CCIP 2.0 검증자를 늘리면 정말 안전할까요

겉으로 두 개의 검증자처럼 보여도 같은 데이터 출처나 같은 운영자, 같은 오프체인 서비스에 의존한다면 그것이 고장 났을 때 두 검증자가 함께 같은 틀린 결론을 내릴 수 있습니다. 두 심사위원이 같은 사람의 말만 듣고 판단하는 것과 비슷합니다.

또 다른 보도는 체인링크의 16개 운영자가 하나의 네트워크로 함께 일하는 반면 추가 검증자는 그 바깥의 별도 확인이라는 점을 짚었습니다. 결국 중요한 것은 검증의 개수가 아니라 서로 다른 이유로 실패할 수 있는 검증인가 하는 점입니다.

그래서 발행사에게는 자유와 책임이 함께 주어집니다. 체인링크의 사전 승인 없이 추가 검증자를 만들고 쓸 수 있는 만큼, 어떤 검증자를 고를지에 대한 책임도 발행사가 집니다.

추가 검증자를 붙이면 해킹이 사라지나요

그렇지 않습니다. 검증자들이 같은 곳에 의존한다면 함께 실패할 수 있습니다. 서로 다른 이유로 실패하는 검증인지가 핵심입니다.

CCIP가 기본으로 갖춘 방어 장치

• 분산 검증: 단일 검증자나 단일 업체에 의존하지 않고 독립 운영자들이 기본으로 검증합니다.
• 속도 제한: 출발 체인과 도착 체인 양쪽에서 토큰 이동량에 상한을 두어 해킹 시 피해 규모를 줄입니다. 은행의 일일 이체 한도와 같은 개념이며, 빠른 전송과 일반 전송에 별도 한도를 둘 수 있습니다.
• 타임락 업그레이드: 보안상 중요한 변경은 검토 기간을 거쳐야 적용되고, 노드 운영자가 거부권을 행사할 수 있습니다. 한 사람이 몰래 악의적 변경을 밀어 넣기 어렵게 만든 장치입니다.

이는 설계가 그렇다는 설명일 뿐, 어떤 공격에도 안전하다는 보증은 아닙니다. 회사가 밝힌 ISO 27001과 SOC 2 Type 2 인증 역시 운영 체계를 외부 기관이 심사했다는 의미이지 해킹이 없다는 뜻이 아닙니다.