헤직 언락 버그

1.만기 옵션의 돈이 풀리지 않았다#

헤직은 이용자가 ETH를 사고팔 권리를 옵션으로 사고, 유동성 공급자가 그 담보를 대는 디파이 옵션 프로토콜이었다. 옵션이 행사되지 않고 만기가 지나면 누군가 unlock 함수를 불러 묶인 담보를 다시 풀어 줘야 했는데, 2020년 4월 23일 올린 v1.0 계약에서 바로 이 함수가 고장 나 있었다. 디크립트에 따르면 출시 몇 시간 만에 약 2만 8,000달러어치 이용자 자금이 계약에 갇혔고, 대부분은 DAI 스테이블코인, 나머지는 ETH였다. 잠긴 돈은 계약 구조상 꺼낼 방법이 없었다.

헤직은 4월 25일 트위터에 "코드에서 오타가 발견됐다"며 만기 옵션의 유동성을 풀 수 없으니 갖고 있는 옵션을 모두 지금 행사하라고 알렸다. 옵션을 산 이용자에게는 낸 프리미엄을 100% 돌려주겠다고 했다.

2."오타가 아니라 버그다"#

"오타"라는 표현에 반발이 쏟아졌다. 이더리움 개발자 허드슨 제임슨은 "이건 오타가 아니라 버그다. 심각성을 축소하고 있다"고 썼다. 헤직은 출시 직전 트위터에서 코드가 트레일 오브 비츠의 "감사"를 받았다고 홍보했는데, 정작 트레일 오브 비츠의 댄 기도 최고경영자는 4월 초 3일 동안 코드를 검토하며 치명적 결함 10개를 찾았고 메인넷 출시를 미루라고 권했다고 밝혔다. 그는 헤직이 일부 버그만 고친 뒤 3일짜리 검토를 "감사"로 내세워 곧바로 배포했다며 "단위 테스트만 했어도 쉽게 잡을 오류"라고 말했다.

개발자 커먼 콜리가 살펴본 헤직 저장소에는 자동 테스트나 배포 스크립트 없이 솔리디티 파일만 있었다. 헤직은 이틀 뒤 낸 사후 보고서에서 "버그나 보안 문제가 아니라 오타라고 부른 것"에 대해 모든 이용자에게 사과했다.

3.창업자가 메운 4만 7,765달러#

헤직은 잠긴 자금을 자기 돈으로 메우겠다고 약속했다. 익명 창업자 몰리 윈터뮤트는 2020년 7월 더 디파이언트 인터뷰에서 계약에 영원히 잠긴 돈이 4만 7,765달러였고, 초기 후원자들의 도움으로 피해자에게 100% 돌려줬다고 밝혔다. 헤직은 5월 초 고친 v1.1 계약을 감사 없이 다시 올렸고, 감사는 한 달쯤 뒤에 받았다.

윈터뮤트는 같은 인터뷰에서 "메인넷부터 내놓는 개발 방식의 대가를 비싸게 치르고 있다"고 말했다. 이 사건은 3일짜리 보안 검토를 감사로 내세우는 관행, 출시를 서두르는 디파이 프로젝트와 보안업체 사이의 책임 문제를 두고 논쟁을 남겼다.

4.연표3건

1. 2020.04사건4월 23일 헤직 v1.0 메인넷 출시 몇 시간 만에 unlock 함수 오류로 자금 잠김
2. 2020.04이정표4월 25일 "오타" 공지와 옵션 행사 요청, 이틀 뒤 사후 보고서에서 표현 사과
3. 2020.05출시수정한 v1.1 계약 재배포(감사는 약 한 달 뒤)