코어코인 보상 시스템 악용 사건(Reward Exploit)의 발생 원인부터 CoreRewardFix 업그레이드까지, 초보자도 이해할 수 있도록 쉽게 정리해드립니다.
리워드 익스플로잇(Reward Exploit)이란 “보상 시스템의 취약점을 악용한 행위·사건” 자체를 뜻합니다. 즉 공격자가 결함을 이용해 보상을 부당하게 앞당겨 받아낸 ‘사건’을 가리키는 말입니다.
코어코인 보상 시스템 악용 사건 개요
2026년 8월 28일부터 8월 31일 사이, 코어(CORE) 네트워크에서 검증인(Validator)에게 지급되는 블록 보상(Block Reward)을 계산하고 지급하는 시스템에 결함이 발견되었습니다. 이 결함으로 인해 원래는 나중에 순차적으로 풀려야 할 보상 물량이 예정보다 앞당겨 지급되는 문제가 발생했습니다.
여기서 중요한 점은, 코어 네트워크가 처음부터 정해둔 최대 발행량(2.1B, 즉 21억 개)의 한도를 넘어서서 새로운 코인이 추가로 찍혀 나온 것은 아니라는 사실입니다. 쉽게 말해 미래에 나올 예정이던 보상이 순서를 어기고 먼저 튀어나온 것이지, 존재하지 않던 코인이 새로 생겨난 것은 아니라는 뜻입니다.
이번 사고로 예정보다 앞당겨 지급된 물량은 약 2억 5,500만 CORE(255M CORE) 규모로 파악되었습니다.
코어코인 보상 시스템 악용 사건이 가능했던 이유
블록체인 네트워크는 새로운 블록이 생성될 때마다 그 블록을 만든 검증인에게 정해진 보상을 자동으로 지급하는 내부 로직을 가지고 있습니다. 이 로직은 일반 사용자가 접근할 수 없는, 프로토콜 내부에서만 작동하는 매우 민감한 영역입니다.
이번 사건은 특정한 계정 설정(계좌 위임 방식 중 하나인 EIP-7702 델리게이션과 관련된 조건)이 맞아떨어질 경우, 하나의 블록에 대한 보상 지급 절차가 의도치 않게 여러 번 반복 실행될 수 있었던 결함에서 비롯되었습니다. 쉽게 비유하면, 자동판매기에 동전을 한 번 넣었는데 특정 조작으로 인해 거스름돈이 여러 번 반복해서 나온 것과 비슷한 구조라고 이해하시면 됩니다.
이렇게 새어 나온 초과 보상은 정상적인 보상 정산 절차를 그대로 거쳐 지급되었기 때문에, 공격자의 지갑뿐 아니라 아무 잘못이 없는 정직한 검증인들의 계정에도 의도치 않게 더 많은 보상이 함께 흘러 들어가는 결과를 낳았습니다.
재단 측은 책임 있는 보안 공개 원칙(Responsible Disclosure)에 따라, 이 결함을 그대로 재현할 수 있는 세부적인 방법은 공개하지 않는다고 밝혔습니다. 다만 이를 고치기 위한 코드 변경 사항은 클라이언트 릴리즈를 통해 투명하게 공개되어 있습니다.
코어코인 보상 시스템 악용 사건 피해 규모
| 구분 | 금액 | 현재 상태 |
|---|---|---|
| 예정보다 앞당겨 지급된 전체 보상 | 약 255,000,000 CORE | 보상 풀에서 미리 당겨쓴 물량 |
| 공급량에서 영구 소각(제거)된 물량 | 약 186,153,491 CORE | 완료 |
| 업그레이드 전에 외부로 이동되어 회수 진행 중인 물량 | 약 69,000,000 CORE | 회수 진행 중 |
다행히 이번 사고로 인해 일반 사용자나 스테이킹 참여자(Staker)의 자산이 직접 피해를 입은 사례는 없었습니다. 이번 결함은 어디까지나 ‘보상 계산’ 로직에 국한된 문제였으며, 사용자가 위임(delegate)한 스테이킹 자산이나 지갑 잔액 자체는 한 번도 위험에 노출되지 않았습니다.
다만 사고 수습 기간 동안 스테이킹 보상 지급은 일시적으로 중단되었으며, 업그레이드가 완료된 이후 정상적으로 재개되었습니다.
최대 공급량(21억 개)은 변함이 없으나, 총공급량과 유통공급량의 개념은 사건 수습 과정(소각 및 회수)에 따라 변화가 발생합니다.
제시해주신 내용을 바탕으로 각 공급량 지표가 어떻게 달라지는지 정확히 정리해 드립니다.
1. 최대 공급량 (Max Supply)
결과: 변함없음 (21억 개 유지)
이유: 사고 원인이 신규 코인을 발행(Minting)해 한도를 늘린 것이 아니라, 미래의 보상 풀(Pool)에 묶여 있던 물량이 미리 튀어나온 것이기 때문입니다. 프로토콜의 상한선 자체는 건드리지 않았습니다.
2. 총공급량 (Total Supply)
결과: 변함 (실질적으로 감소)
이유: 앞당겨 지급된 2억 5,500만 개 중 약 1억 8,615만 CORE가 영구 소각(Burn/제거)되었습니다.
본래 보상 풀에 남아있어야 할 코인을 ‘소각’ 처리했기 때문에, 시장 및 블록체인상에 존재하는 전체 발행/존재 가능 물량(총공급량)은 소각된 양만큼 줄어들게 됩니다.
3. 유통공급량 (Circulating Supply)
결과: 변함 (일시적 증가 후 회수 경과에 따라 변동)
이유: 보상 풀(미유통 상태)에 잠겨 있던 코인이 검증인 및 외부 지갑으로 실제로 옮겨졌기 때문에, 사고 발생 직후 시장에 유통될 수 있는 물량(유통공급량)은 약 2억 5,500만 개만큼 급격히 늘어났습니다.
현재 상태: 소각된 1억 8,615만 개: 정산 과정에서 회수되어 영구 제거되었으므로 유통량에서 다시 차감됩니다.
외부 이동된 6,900만 개: 현재 ‘회수 진행 중’인 상태입니다. 이 물량은 이미 외부 지갑으로 이동했기 때문에 회수가 완전 완료되기 전까지는 실질적으로 유통공급량(또는 이동 가능한 상태)에 포함되어 있는 것으로 간주됩니다. 회수가 완료되어 소각되거나 동결되어야 유통량에서 정상 제외됩니다.
코어코인 보상 시스템 악용 사건 처리 타임라인
| 시점(UTC 기준) | 내용 |
|---|---|
| 2026-08-28 ~ 08-31 | 세 차례의 일일 정산 라운드에 걸쳐 앞당겨진 보상이 지급됨 (마지막 정산: 8월 31일 00:00) |
| 2026-08-31 06:17 | 거버넌스를 통해 온체인에서 인플레이션(추가 발행) 즉시 중단, 보상 관련 파라미터 값 변경 |
| 2026-09-01 00:09 | 누적된 초과 보상 물량을 정산 시점에 포착하여 재단 측에서 안전하게 확보 |
| 2026-09-02 | 수정 코드 개발 완료, 퍼블릭 테스트넷에서 리허설 진행 후 배포 |
| 2026-09-03 13:00 | CoreRewardFix 메인넷 활성화(블록 38,376,795). 취약점 완전 차단, 공급량 재조정, 네트워크 중단 없이 정상 운영 지속 |
CoreRewardFix 업그레이드 솔루션
재단은 클라이언트 v1.0.26 버전에 담긴 CoreRewardFix라는 업그레이드를 통해 문제를 근본적으로 해결했습니다. 이 업그레이드는 크게 두 가지 역할을 수행했습니다.
재발 방지를 위한 영구적인 안전장치 마련
- 하나의 블록에 대한 보상은 단 한 번만 지급되도록 막는 ‘블록당 1회 보상’ 가드(guard) 장치를 추가했습니다.
- 이번 악용의 원인이 되었던 계정 설정 방식(코인베이스 계정에 EIP-7702 델리게이션이 걸린 경우)을 가진 블록 자체를 아예 거부하도록 변경했습니다.
- 비정상적인 무가스(zero-gas) 거래를 추가로 걸러내는 보완 장치를 마련했습니다. 다만 정상적으로 필요한 프로토콜 시스템 거래는 이 조치의 영향을 받지 않습니다.
단 한 번 진행된 공급량 재조정(Reconciliation)
- 공격자가 통제하던 지갑에 쌓인 부당 취득 물량은 잔액을 0으로 처리했습니다.
- 영향을 받은 정직한 검증인들의 계정은 ‘사고 발생 이전 잔액 + 검증인 본인의 정상적인 보상 3회분’을 공정한 기준선으로 정하고, 그 기준선을 넘는 초과분만 정리했습니다. 기준선 이하의 잔액을 가진 계정은 전혀 건드리지 않았고, 어떤 계정의 잔액도 이 공정 기준선 아래로 깎이지 않았습니다.
즉, 이번 조치의 핵심은 ‘악의적으로 부당이득을 취한 물량은 걷어내되, 성실하게 네트워크를 운영한 검증인들이 정당하게 받은 보상은 절대 건드리지 않는다’는 원칙에 있습니다.
이 내용을 어떻게 직접 검증할 수 있나요?
이번 업그레이드와 관련된 모든 처리 결과는 업그레이드가 적용된 블록(38,376,795번)을 기준으로 누구나 온체인에서 직접 확인할 수 있도록 공개되어 있습니다.
- 보상 관련 스마트 컨트랙트가 감사(Audit)를 거친, 안전장치가 적용된 버전으로 정상 업그레이드되었는지 여부
- 공급량 재조정 결과가 사전에 공지된 예상치와 정확히 일치하는지 여부
- 업그레이드 전후로 네트워크가 블록 생성과 정산을 중단 없이 이어갔는지 여부
- 재조정 로직이 모든 노드에서 동일하게 단 한 번만 적용되었고, 어떤 계정 잔액도 공정 기준선 아래로 내려가는 오류(언더플로우)가 발생하지 않았는지에 대한 검토 결과
회수되지 않은 CORE는 어떻게 되나요?
업그레이드를 통해 온체인 상에서 직접 걷어낼 수 있었던 약 1억 8,600만 CORE는 특정 주소로 옮기는 방식이 아니라, 상태 데이터베이스 상의 잔액 자체를 직접 줄이는 방식으로 영구히 소각 처리되었습니다.
문제는 업그레이드가 적용되기 전, 공격자가 이미 다수의 외부 지갑으로 잘게 쪼개어 흩뿌려 놓은 약 6,900만 CORE입니다. 이 물량은 온체인 조정 로직만으로는 되돌릴 수 없는 영역으로 빠져나간 상태입니다. 재단 측은 이에 대해 관련 파트너 및 여러 국가의 사법기관과 긴밀히 협력하여 자금 회수와 책임자 특정, 신병 확보를 위한 절차를 진행 중이라고 밝혔습니다. 다행히 모든 이동 경로가 온체인에 기록으로 남아 있어, 완전한 증거 추적이 가능한 상태입니다.
코어코인 보상 시스템 악용 사건이 남긴 교훈
- 보상 로직의 단순화: 이번에 적용한 핵심 방어 장치가 안정적으로 작동함을 확인한 만큼, 앞으로는 관련 검증 로직을 통합하고 단순화하는 후속 업데이트를 진행할 예정입니다.
- 독립 보안 감사 강화: 보상 계산 및 분배 관련 로직 전반에 대해 보안 감사 전문 기업인 Halborn을 통한 추가적인 독립 검토가 이루어졌습니다.
마무리하며
이번 사건은 결과적으로 사용자와 스테이킹 참여자의 자산에는 아무런 손실이 없었고, 네트워크 다운타임도 전혀 발생하지 않았다는 점에서 비교적 매끄럽게 마무리된 사례라고 볼 수 있습니다. 다만 아직 회수되지 않은 약 6,900만 CORE가 남아 있는 만큼, 앞으로의 회수 진행 상황도 계속 지켜볼 필요가 있습니다.
탈중앙화 네트워크에서도 이렇게 신속한 거버넌스 대응과 투명한 온체인 검증을 통해 문제를 해결할 수 있다는 점에서, 이번 사례는 블록체인 보안 대응의 참고 사례로 살펴볼 만한 가치가 있습니다.
이 글은 9월 6일 CoreDAO 공식 X(구 트위터)에 올라온 소식을 바탕으로, 누구나 이해하기 쉽게 재구성한 내용입니다.
Related Posts
